张晓磊
新疆天衡信息系统咨询管理有限公司
摘要：网络安全等级保护制度是国家网络安全的基石，2019年修订的《网络安全等级保护基本要求》等国家标准正式实施，网络安全等级保护进入2.0时代。文章以数据中心设计规范（GB 50174-2017）为基准，结合实际测评、基本要求和高风险判定指引，阐述在网络安全等级保护测评中，安全物理环境测评实施的内容和要点。
关键词：网络安全等级保护测评，安全物理环境
安全物理环境主要包括机房、办公场地和介质存放场所等，但我们在实际测评项目实施的时候，重点关注的是机房的安全，办公和介质存放场所为辅，以《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）中第三级安全通用要求为例，安全物理环境涉及的安全控制点包括物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火等十个层面。现场测评主要是测评师通过现场实地查看、访谈、资料查阅等方式进行测评。
一、测评实施
1、物理位置选择
本安全控制点，要求测评师检查机房所在建筑物的验收或监理文档，抗震设防类别不应该低于丙类，部分核心系统机房抗震设防类别不应低于乙类。针对部分由办公室后期改建的机房，存在窗户、水管或暖气管，需核查窗户是否封堵，是否存在漏水情况及暖气管、水管是否经过改造等，以对符合情况进行综合判断。如果是采用集装箱式数据中心，则需核查模块化机柜所在的环境，但因为模块化机柜相对封闭可控，故可以对面临相应的风险进行调整。
2、物理访问控制
本安全控制点，首先需要测评师查看机房所有出入口是否配置电子门禁系统，对机房进出行为进行记录，要求项虽然写得简单，但是需要核查的点较多。首先需要测评师核查机房的门禁系统是否运行正常，市电掉电后门禁是否正常。其次登录门禁管理系统，查看门禁系统中账号分配的情况和进出情况记录，检查账号和人员是否对应且一致，并且进出记录是否存留6个月。若是单机版门禁，则查看设置，导出近期记录进行查看。如果是老旧机房，无门禁管理系统，那如果机械钥匙统一管理，使用需登记审批，可以起到对进出人员进行识别和控制，那也可以对风险进行相应调整。另外一种比较特殊的情况，模块化的机柜，大门访问控制较弱，但是模块化机房的门禁可以做到基于人员的访问控制，那也可以对风险进行调整。
3、防盗窃和防破坏
按照标准要求，第一，对于主要设备和主要部件设置不易去除的标签，内容不应仅有设备名称，还应包括：IP地址、用途、责任人、重要程度等。第二，介质是指磁盘、磁带、U盘之类的存储，需要及时分类并贴上标签放在指定位置。不然会对后期管理留下隐患，比如人员离职，交接不明确，没有说明文档，后来的人无法接管工作。第三，机房的防盗窃防破坏应该由视频安防监控系统、入侵报警系统和出入口控制系统组成，各系统之间具备联动控制功能，且视频监控应无盲区，硬盘录像机磁盘空间充足，满足视频记录留存6个月的要求。若仅配置有视频安防监控系统，则需专人值守，不限于机房运维区的专人值守，可以与大楼视频监控一起接入保安室，但是需要确认视频监控系统是否单独组网，未部署在互联网上，因为在工业控制安全检查的过程中，发现大量监控摄像头暴露在互联网上，存在安全漏洞及弱口令现象。
4、防雷击
本项测评时，如果业主或运维方可以提供每年的第三方的防雷检测报告，我们即可判定为符合。若无法提供，就需要测评工程师进行实地检查，检查机房内所有设备的金属外壳、各类金属管道、金属线槽等是是否进行等电位联结并接地，检查等点位联结网格，通过等点位联结导体将电位联结带。此类隐蔽工程，核查难度较大。若面对雷击风险大的雷电多发地区，防雷或过压防护装置则不能只核查弱电箱或列头柜。首先要核查总供电端是否安装三相电源避雷器作为第一级防护；其次核查在给机房主供电的分配电柜内是否安装箱式电源避雷器或模块式避雷器，作为整个机房供配电系统的第二级防护；再次在机房的电源进线端（UPS前端）核查是否分别安装安装箱式电源避雷器或模块式避雷器，作为机房供配电系统的第三级防护；另外需在机房的电源UPS后端安装电源防雷插座，作为机房供配电系统的电源精密级保护（末级保护）。
5、防火
测评师需实地查看核查，主机房是否配置气体灭火系统或者细水雾灭火系统，常见气体灭火剂分为卤代烷和惰性混合气体，并设置两组独立的火灾探测器，如温感和烟感，因为对于安装了新风系统的主机房，空气流通较快，感烟探测器的灵敏度降低，而且一定要现场检查温感和烟感探头已启用。当缆线敷设在吊顶内或地板下时，存在火灾隐患，且不易被发现，此时就应对缆线采取防火措施，增加火灾探测器，或采取阻燃性能的线缆。主机房的顶棚、壁板、隔断应采用防火材料，这些的防火等级都是需要查阅项目的设计或者验收文件确认的。
火灾报警系统需与灭火系统和视频监控系统联动，当温感烟感出现问题时，7*24值班的视频监控系统也可以及时发现问题，并启动灭火系统。同时应该对机房进行功能区域划分或者系统区域划分并隔离开，且隔断应为不可燃烧体。
因机房的消防措施易产生高风险的问题，但重建或整改，涉及到费用和时间的问题，较容易地降低风险的整改措施为增加手持式灭火器，但干粉灭火器、手持式气溶胶灭火器其残留物对电子信息设备有腐蚀作用，将造成电子信息设备损坏，所有建议采用手提式二氧化碳灭火器、水基喷雾灭火器等，且定期巡检，确保手持灭火器药剂在有效期内。
6、防水和防潮
经识别，机房的渗水风险主要来源屋顶、未封堵的窗户，水管、消防管、暖气管和空调进水管等，我们测评师在核查时主机房内所有管道，明确用途，不应该有无关的给排水管道穿过，必须的给排水管道不可以在电子信息设备的上方，进入主机房地给水管应前后加装阀门。给排水管道应暗敷或采取防漏保护的套管，附近应敷设漏水检测感应线等检测预警措施，与动力环境检测系统联动，及时预警，并加强防水措施，例如防水漆。挡水和排水设施用于自动喷水灭火系统动作后的排水、空调冷凝水及加湿器的排水，防水小堤坝内需要有积水转移措施，例如洁净室专用地漏或自闭式地漏等。针对管道结露滴水会破坏机房工作环境，为防止给排水管道结露，管道应采取保温措施。
7、防静电
本项需测评师现场核查的是主机房地板或地面应有静电泄放措施和接地构造，不论是防静电地板或是涂料敷设方式的防静电地面，工作台面等建议采用与地面同级别的防静电措施，此类工程，只能通过现场核查机房验收或设计文档进行查验。而针对防止静电产生的措施，比较简单的方式，现在设备出厂都配置有防静电手环，只需要收集和统一在运维区进行管理即可。
8、温湿度控制
本测评项，需测评师现场核查，温湿度控制是否有自动调节措施，一般为精密空调。而温湿度数据取值不应该只是单纯的查查看精密空调显示，应按照动力环境监测系统中的各个点位的数值取平均值来计算。按照最新节能减排的要求，主机房（冷通道或机柜进风区域）的温度在18℃-27℃之间，湿度35%-60%之间，辅助区温湿度温度在18℃-27℃之间，湿度35%-75%，不间断电源系统电池室温度20℃-30℃之间在我们即可判断为符合。
9、电力供应
测评师需现场查看，机房应由专用配电变压器或专用回路供电，或配置稳压器和过电压防护设备，以保证电子信息设备供电电源的稳态电压偏移范围、稳态频率偏移范围、输入电压失真度等质量参数符合机房设计规范对电源质量的要求；当电子信息设备采用直流电源供电时，供电电压应符合电子信息设备的要求。
测评师需核查机房配备的不间断电源UPS设备后备蓄电池的配置容量。不间断电源UPS后备电力供应设施至少应满足设备在断电情况下的正常运行要求。其中不间断电源系统应有自动和手动旁路装置，且不间断电源系统的基本容量应留有余量，不间断电源系统的基本容量可按E≥1.2P（P为设备的计算负荷）计算。
测评师需核查机房为计算机系统供电的冗余或并行的电力电缆线路。机房应由双重电源供电，并应设置备用电源。备用电源宜采用独立于正常电源的柴油发电机组，也可采用供电网络中独立于正常电源的专用馈电线路。当正常电源发生故障时，备用电源应能承担机房正常运行所需要的用电负荷。
10、电磁防护
本测评项，测评师需核查两点，第一，电源线和通信线缆应分开敷设，一般机房采用上走线的方式，电源线和通信线缆套管后敷设在不同的桥架内，按照布线规范，一般间距符合《GB 50311综合布线系统工程设计规范》8.0.1条款规定。第二，对关键设备实施电磁屏蔽，实际上核心关键设备如果放置在电磁屏蔽机柜中，存在散热等问题，不利于设备的长时间稳定运行，因此在本项评测的时候，考虑采用信号干扰仪、电磁泄漏防护插座、屏蔽缆线、屏蔽接线模块、屏蔽布线系统、光缆布线系统或建筑屏蔽等电磁泄漏防护措施，来降低安全风险。当采用屏蔽布线系统时，应保证链路或信道的全程屏蔽和屏蔽层可靠接地。
二、测评注意点
在我们的实际测评过程中，部分单位因机房建设时间较长，人员换岗，资料缺失，导致访谈和资料查阅工作难以推进或难以得到准确的结果，此时就需要测评师结合自身的经验，现场查看和检测，特别是隐蔽部分工程，例如机房的均压铜网未与大楼接地联结、视频监控系统不支持回放或影像视频存留时间不够、暖气管封在吊顶内未改管、防水小堤内的地漏仅仅是个摆设和UPS未定期运维切换存在问题等，若不仔细，很容易遗漏，特别是一些高风险的问题，测评工作成为摆设，不能起到真正的指导作用，留下安全隐患。
三、结束语
安全物理环境是网络安全的第一把门锁，是后期在进行风险分析时重要的考量部门，尤其应受到重视。本文通过对安全物理环境的测评分析，总结经验，提高了测评结论的客观性，虽未涵盖全面，但未来应在已有的测评方法基础上，进一步进行系统性的研究，以提高测评师的综合能力，以提升测评能力。