等保2.0标准执行之高风险判定(物理环境篇)

等保2.0标准执行之高风险判定（物理环境篇）2019年5月13日下午，国家标准新闻发布会新闻发布厅召开，网络安全等级保护2.0系列核心标准在千呼万唤中终于正式发布，等保2.0时代又迈出坚实一步。等级保护2.0标准发布后，对广大等级保护测评机构的工作提出了更高的要求，为了更好地提升全国等级保护测评体系的技术能力，统一测评机构对网络安全风险的评判尺度，由中关村信息安全测评联盟组织，上海市信息安全测评认证中心主笔，杭州安信检测技术有限公司、江苏金盾检测技术有限公司、深圳市网安计算机安全检测技术有限公司、合肥天帷信息安全技术有限公司、山东新潮信息技术有限公司、成都安美勤信息技术股份有限公司、甘肃安信信息安全技术有限公司、江苏骏安信息测评认证有限公司、安徽祥盾信息科技有限公司等机构共同参与编写了等保测评行业指引性文件——《网络安全等级保护测评高风险判定指引》（简称“判定指引”）。《判定指引》凝聚着全国测评机构多年测评实践的智慧结晶，它的发布是等级保护技术领域研究成果的一次重要展示。《判定指引》的适用范围：1、用于指导测评机构在测评活动中对高风险问题的判定；2、用于行业主管部门开展的安全检查；3、作为“负面清单”供运营单位在按照等级保护2.0标准开展系统设计、开发、建设、维护等过程中参考。《判定指引》每条判例均包括“对应标准要求”、“判例内容”、“适用范围”、“需满足的条件”以及“补偿措施”等内容。在判定过程中，使用者应知晓《判定指引》是基于“一般场景”假设的编制思路。因此，在具体风险判定中，应根据被测对象的实际情况来综合确定该风险严重程度是否为“高”。如初步符合“适用范围”、“需满足的条件”后，还需根据“补偿措施”所引申的方向思考是否可降低风险严重程度；鼓励根据实际情况对于补偿措施中未涉及但确实能起到降低风险等级的安全措施进行深入分析。《网络安全等级保护测评高风险判定指引》——物理环境篇01物理访问控制1.1机房出入口控制措施对应要求：机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。判例内容：机房出入口区域无任何访问控制措施，机房无电子或机械门锁，机房入口也无专人值守；办公或外来人员可随意进出机房，无任何管控、监控措施，存在较大安全隐患，可判高风险。适用范围：所有系统。满足条件（同时）：1、机房出入口区域无任何访问控制措施；2、机房无电子或机械门锁，机房入口也无专人值守；3、办公或外来人员可随意进出机房，无任何管控、监控措施。补偿措施：如机房无电子门禁系统，但有其他防护措施，如机房出入配备24小时专人值守，采用摄像头实时监控等，可酌情降低风险等级。整改建议：机房出入口配备电子门禁系统，通过电子门禁鉴别、记录进入的人员信息。02防盗窃和防破坏2.1机房防盗措施对应要求：应设置机房防盗报警系统或设置有专人值守的视频监控系统。判例内容：机房无防盗报警系统，也未设置有专人值守的视频监控系统，出现盗窃事件无法进行告警、追溯的，可判高风险。适用范围：3级及以上系统。满足条件（同时）：1、3级及以上系统所在机房；2、机房无防盗报警系统；3、未设置有专人值守的视频监控系统；4、机房环境不可控；5、如发生盗窃事件无法进行告警、追溯。补偿措施：如果机房有专人24小时值守，并且能对进出人员进出物品进行登记的（如部分IDC机房有要求设备进出需单登记），可酌情降低风险等级。整改建议：建议机房部署防盗报警系统或设置有专人值守的视频监控系统，如发生盗窃事件可及时告警或进行追溯，确保机房环境的安全可控。03防火3.1机房防火措施对应要求：机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火。判例内容：机房内无防火措施（既无自动灭火，也无手持灭火器/或手持灭火器药剂已过期），一旦发生火情，无任何消防处置措施，可判高风险。适用范围：所有系统。满足条件（同时）：机房内无任何防火措施（既无自动灭火，也无手持灭火器/或手持灭火器药剂已过期）。补偿措施：无。整改建议：建议机房设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火，相关消防设备如灭火器等应定级检查，确保防火措施有效。04温湿度控制4.1机房温湿度控制措施对应要求：应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内。判例内容：机房无有效的温湿度控制措施，或温湿度长期高于或低于设备允许的温湿度范围，可能加速设备损害，提高设备的故障率，对设备的正常运行带来安全隐患，可判高风险。适用范围：所有系统。满足条件（同时）：1、机房无温湿度调节措施；2、机房温湿度长期处于设备运运行的范围之外。补偿措施：对于一些特殊自然条件或特殊用途的系统，可酌情降低风险等级。整改建议：建议机房设置温、湿度自动调节设备，确保机房温、湿度的变化在设备运行所允许的范围之内。05电力供应5.1机房短期的备用电力供应措施对应要求：应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求。判例内容：对于可用性要求较高的系统，如银行、证券等交易类系统，提供公共服务的民生类系统、工控类系统等，机房未配备短期备用电力供应设备（如UPS）或配备的设备无法在短时间内满足断电情况下的正常运行要求的，可判高风险。适用范围：对可用性要求较高的3级及以上系统。满足条件（同时）：1、3级及以上系统；2、系统可用性要求较高；3、无法提供短期备用电力供应或备用电力供应无法满足系统短期正常运行。补偿措施：如机房配备多路供电，且供电方同时断电概率较低的情况下，可酌情降低风险等级。整改建议：建议配备容量合理的后备电源，并定期对UPS进行巡检，确保在在外部电力供应中断的情况下，备用供电设备能满足系统短期正常运行。5.2机房电力线路冗余措施对应要求：应设置冗余或并行的电力电缆线路为计算机系统供电。判例内容：机房未配备冗余或并行电力线路供电来自于同一变电站，可判高风险。适用范围：对可用性要求较高的3级及以上系统。满足条件（同时）：1、3级及以上系统；2、系统可用性要求较高；3、机房未配备冗余或并行电力线路供电来自于同一变电站。补偿措施：如机房配备大容量UPS，且足够保障断电情况下，一定时间内系统可正常运行或保障数据存储完整的，可酌情降低风险等级。整改建议：建议配备冗余或并行的电力线路，电力线路应来自于不同的变电站；对于可用性要求较高的系统（4级系统），建议变电站来自于不同的市电。5.3机房应急供电措施对应要求：应提供应急供电设施。判例内容：系统所在的机房必须配备应急供电措施，如未配备，或应急供电措施无法使用，可判高风险。适用范围：4级系统。满足条件（同时）：1、4级系统；2、机房未配备应急供电措施，或应急供电措施不可用/无法满足系统正常允许需求。补偿措施：如果系统采用多数据中心方式部署，且通过技术手段能够实现应用级灾备，一定程度上可降低单一机房发生故障所带来的可用性方面影响，可酌情降低风险等级。整改建议：建议配备应急供电设施，如备用发电设备。06电磁防护6.1机房电磁防护措施对应要求：应对关键设备或关键区域实施电磁屏蔽。判例内容：对于涉及大量核心数据的系统，如机房或关键设备所在的机柜未采取电磁屏蔽措施，可判高风险。适用范围：对于数据防泄漏要求较高的4级系统。满足条件（同时）：1、4级系统；2、系统存储数据敏感性较高，有较高的保密性需求；3、机房环境复杂，有电磁泄露的风险。补偿措施：如该4级系统涉及的信息对保密性要求不高，或者机房环境相对可控，可酌情降低风险等级。整改建议：建议机房或重要设备或重要设备所在的机柜采用电磁屏蔽技术，且相关产品或技术获得相关检测认证资质的证明。附表: