物理安全 主机安全（AIX） 主机安全（操作系统linux） 主机安全（win2008 ser） 数据库（SQL Server） 数据库(oracle 10g) Cisco IPS 4215 交换机(Cisco 6509) 路由器(Cisco7606) 防火墙(Cisco ws-svc-fwm) 应用安全 数据安全及备份恢复 安全管理制度 安全管理机构 人员安全管理 系统建设管理 系统运维管理主机安全（操作系统linux） 主机安全（win2008 ser） 数据库（SQL Server） 数据库(oracle 10g) 交换机(Cisco 6509) 路由器(Cisco7606) 防火墙(Cisco ws-svc-fwm) 数据安全及备份恢复类别测评项 测评实施 1 2序 号 物 理 位 置 的 选 择a）机房和办公场地应选择在具有防震 、防风和防雨等能力的建筑内。1）应检查机房和办公场地的设计 /验收文档，查看是 否具有机房场地的选址说明，查看是否说明机房和办 公场地所在的建筑具有防震、防风和防雨等能力。 2）应检查机房和办公场地所在的建筑物，查看其是 否具有防震、防风和防雨等能力的基本条件。 b）机房场地应避免设在建筑物的高层 或地下室，以及用水设备的下层或隔壁 。1）应检查机房场地是否避免在建筑物的高层或地下 室，以及用水设备的下层或隔壁。 物 理 访 问 控 制a）机房出入口应有专人值守，控制、 鉴别和记录进入的人员。1）应检查是否具有对进入机房人员的身份鉴别措施 ，如戴有可见的身份辨别标识。 2）应检查机房所有开放的出入口是否具有专人值守 ，进入机房的人员登记记录。 b）需进入机房的来访人员应经过申请 和审批流程，并限制和监控其活动范围 。1）应检查机房安全管理制度，查看其是否具有关于 外来人员出入机房方面的规定，如需要审批和专人陪 同等。 2）应检查是否具有来访人员进入机房的审批记录， 进入机房是否具有人员陪同。 c）应对机房划分区域进行管理，区域 和区域之间设置物理隔离装置，在重要 区域前设置交付或安装等过渡区域。1）应访谈物理安全负责人，如果业务或安全管理需 要，是否对机房进行了划分区域管理，是否对各个区 域都有专门的管理要求。 2）应检查机房区域划分是否合理，是否在机房重要 区域前设置交付或安装等过渡区域。是否对同一机房 的不同区域之间设置有效的物理隔离装置（如隔墙等 ）。 d）重要区域应配置电子门禁系统，控 制、鉴别和记录进入的人员。1）应检查是否具有电子门禁系统，是否正常工作（ 不考虑断电后的工作情况），是否能够鉴别和记录进 入人员身份。2 3 4物 理 访 问 控 制 d）重要区域应配置电子门禁系统，控 制、鉴别和记录进入的人员。 2) 应检查重要区域配置的电子门禁系统是否有验收文 档或产品安全认证资质。 3) 应检查是否有电子门禁系统运行和维护记录。 防 盗 窃 和 防 破 坏a）应将主要设备放置在机房内。 1）应检查主要设备是否都放置在机房内。 b）应将设备或主要部件进行固定，并 设置明显的不易除去的标记。1）应检查设备或设备主要部件的固定情况，是否不 易被移动或被搬走，是否设置明显的不易除去的标记 。 c）应将通信线缆铺设在隐蔽处，可铺 设在地下或管 道中。1）应检查 通信线缆铺设是否在 隐蔽处（如铺设在地 下或管道中等）。 d）应对介质分类标识， 存储在介质库 或档案室中。1）应访谈资产管理员，是否对 介质进行了分类标识 ，是否存放在介质库或档 案室中。 2）应检查 介质的管理情况，查看 介质是否具有正 确 的分类标识，是否 存放在介质库或档 案室中，并且进 行分类存放（满足磁介质、纸介质等的存放要求）。 e）应利用光、电等技术设置机房的防 盗报警系统。1）应检查机房是否具有防盗 报警设施，查看其是否 正常运行。 2) 应检查是否有机房防盗 报警设施的安全资质 材料、 安装测试和验收报告。 3) 应检查机房防盗 报警系统是否有运行记录、定 期检 查和维护记录。 f）应对机房设置监控 报警系统。1）应检查机房是否具有 摄像、传感等监控报警系统 ，查看其是否正常运行。 2) 应检查是否有机房监控 报警设施的安全资质 材料、 安装测试和验收报告。 3) 应检查机房监控 报警系统是否有运行记录、定 期检 查和维护记录。 防 雷 击a）机房建筑应设置避 雷装置。1）应访谈物理安全负责人， 询问为防止雷击事件导 致重要设备 被破坏采取了哪些防护措施，机房建筑是 否设置了避 雷装置，是否 通过验收或 国家有关部门的 技术检测。4 5 6防 雷 击a）机房建筑应设置避 雷装置。1）应访谈物理安全负责人， 询问为防止雷击事件导 致重要设备 被破坏采取了哪些防护措施，机房建筑是 否设置了避 雷装置，是否 通过验收或 国家有关部门的 技术检测。 b）应设置防 雷保安器，防 止感应雷。1）应检查是否在电 源和信号线上增加有资质的防 雷 保安器，以避免 感应雷击。 2）应检查是否具有 相关防雷检测部门的检测 报告。 c）机房应设置交流电 源地线。1）应访谈物理安全负责人， 询问机房计 算机系统接 地是否设置了交流电 源地线。 2）应检查机房设计/验收文档，查看是否具有地 线连 接要求的描述，是否与实际情况一致。 防 火a）机房应设置火 灾自动消防系统， 自 动检测火情、 自动报警，并自动灭火。1）应访谈物理安全负责人， 询问机房采取了哪些防 火措施，是否设置了 灭火设备，是否设置了 自动检测 火情、自动报警、自动灭火的自动消防系统。 2）应检查 灭火设备摆放位置是否合理，有效 期是否 合格。 3）应检查机房是否设置了 自动检测火情、 自动报警 、自动灭火的消防系统，查看其是否正常运行。 4) 应检查是否具有 自动消防系统的运行记录、检查和 定期维护记录。 b）机房及 相关的工作房间和 辅助房应 采用具有耐火等级的建筑材料。1）应检查机房设计/验收文档，查看是否说明机房及 相关的工作房间和 辅助房间的建筑 材料具有相应的耐 火等级。 c）机房应 采取区域隔离防火措施，将 重要设备 与其他设备隔离开。1）应检查机房是否 采取区域隔离防火措施，将重要 设备与其他设备隔离开。 防 水 和 防 潮a）水管安装，不 得穿过机房屋顶和活 动地板下。1）应访谈物理安全负责人， 询问机房内是否具有 上 下水管安装，如果有水管安装是否避免 穿过屋顶和活 动地板下。 b）应采取措施防止雨水通过机房窗户 、屋顶和墙壁渗透。1）应检查机房是否具有对外开放的 窗户，如果有 窗 户是否采取必要的防雨措施。在 屋顶和墙壁等是否不 存在漏水、渗透和返潮现象，机房及其 环境是否不存 在明显的 漏水和返潮的威胁。 c）应采取措施防止机房内水 蒸气结露 和地下积水的转移与渗透。1）应访谈物理安全负责人， 询问机房采取哪些防水 、防潮措施，是否出 现过漏水、渗透和返潮现象，是 否配备除 湿装置，是否具有人负责机房防水防 潮事宜 。6 7 8 9防 水 和 防 潮 c）应采取措施防止机房内水 蒸气结露 和地下积水的转移与渗透。1）应访谈物理安全负责人， 询问机房采取哪些防水 、防潮措施，是否出 现过漏水、渗透和返潮现象，是 否配备除 湿装置，是否具有人负责机房防水防 潮事宜 。 2）应检查机房是否具有除 湿装置并能够正常运行， 是否具有防 止出现机房地下 积水的转移与渗透的措施 ，是否与机房湿度记录情况一 致。 d）应安装对水 敏感的检测仪表或元件 ，对机房进行防水检测和 报警。1）应检查是否设置水 敏感的检测仪表或元件，对机 房进行防水检测和 报警，查看该仪表或元件是否正常 运行。 2) 应检查是否有防水检测装置的运行记录、定 期检查 和维护记录。 防 静 电a）主要设备应 采用必要的接地防静电 措施。1）应访谈物理安全负责人， 询问机房是否 存在静电 问题或因静电引起的故障事件，采取了哪些有效防静 电措施，主要设备是否 采用必要的接地防静电措施。 2）应检查机房设计/验收文档，查看是否 采取了接地 防静电措施， 描述内容与实际情况是否一 致。 b）机房应 采用防静电地板。1）应检查机房是否不 存在明显的 静电现象。 2）应检查机房是否 铺设了防静电地板。 温 湿 度 控 制a）机房应设置 温、湿度自动调节设施 ，使机房温、湿度的变化在设备运行所 允许的范围之内。1）应检查 温、湿度自动调节系统是否能够正常运行 。 2) 应检查是否具有 温湿度自动调节设施的运行记录、 定期检查和维护记录。 电 力 供 应a）应在机房 供电线路上设置稳压器和 过电压防护设备。1）应访谈物理安全负责人， 询问是否出 现过电压不 稳现象，计算机系统供电线路上是否设置了 稳压器和 过电压防护设备。 2）应检查机房，查看计 算机系统供电线路上的稳压 器、过电 压防护设备是否正常运行，查看 供电电压是 否正常。 b）应提供短期的备用电力 供应，至少 满足主要设备在断电情况下的正常运行 要求。1）应访谈物理安全负责人，是否设置了 短期备用电 力供应设备（如UPS），供电时间是否满足系统最低 电力供应需求。9 10电 力 供 应b）应提供短期的备用电力 供应，至少 满足主要设备在断电情况下的正常运行 要求。2）应检查 短期备用电力 供应设备是否工作正常。 3) 应检查是否具有 短期备用电力 供应设备的运行记录 、定期检查和维护记录。 c）应设置 冗余或