【文章內(nèi)容簡介】 正常工作時間之外，例如，在家里工作的情況（）。　 用戶培訓目的：確保用戶知道信息安全威脅和利害關系，并準備好在其正常工作過程中支持組織的安全策略。為了使可能的安全風險減到最小，用戶應接受安全規(guī)程和正確使用信息處理設施方面的培訓?！?信息安全教育和培訓組織的所有雇員和（若相關的）第三方用戶要接受組織的策略和規(guī)程方面的適當培訓和定期更新內(nèi)容。這包括安全要求、合法職責和業(yè)務控制以及在給予訪問信息和服務之前正確使用信息處理設施的培訓，例如登錄過程，使用軟件包等?！?對安全事故和故障的響應目的：使安全事故和故障的損害減到最小，并監(jiān)督這種事故以及從事故中學習。影響安全的事故要盡可能快地通過合適的管理渠道予以報告。要使所有雇員和合同商知道報告可能對組織的資產(chǎn)安全有影響的不同類型事故（安全違規(guī)、威脅、弱點或故障）的規(guī)程，應要求他們盡可能快地把任何觀察到的或預測到的事故報告給指明的聯(lián)系點。該組織對涉及安全違規(guī)的雇員應建立一個正式的紀律處理辦法。為了能正確地指出事故，在出現(xiàn)事故之后盡可能快地收集證據(jù)可能是必要的（）?！?報告安全事故安全事故要盡可能快地通過合適的管理渠道報告。應建立正式的報告規(guī)程以及事故響應規(guī)程，以及在收到事故報告時提出要采取的動作。要讓所有雇員和合同商知道報告安全事故的規(guī)程，并要求他們盡可能快地報告這樣的事故。相應的反饋過程應予以實現(xiàn)，以確保在事故已經(jīng)處理和結束之后將結果通知報告事故的人們。在用戶安全意識培訓時，這些事故可用作可能發(fā)生什么，如何響應這樣的事故，如何在將來避免這樣的事故（）的例子?！?報告安全弱點應要求信息服務的用戶通知并報告任何觀察到的或預測到的系統(tǒng)或服務的安全弱點。他們要盡可能快地向其管理層或直接向其服務提供者報告這些情況。要通知用戶在任何情況下，他們不要企圖證明預測到的弱點。這是為了其自身的保護，因為可能將測試的弱點看作系統(tǒng)的潛在濫用?！?報告軟件故障要建立報告軟件故障的規(guī)程。下列動作要予以考慮。a） 應記錄下問題的征兆和任何顯示在屏幕上的消息。b） 如有可能，計算機要加以隔離，并且停止對其的使用。要立即向相應的聯(lián)系點報警。如果設備 待檢查，在重新加電之前，設備要與任何組織的網(wǎng)絡斷開。磁盤不要轉移到其他計算機。c） 應立即向信息安全管理者報告此情況。用戶不要試圖移去可疑的軟件，除非被授權這樣做。要由已受過相當培訓的和有經(jīng)驗的人員進行恢復?！?從事故中學習要有適當?shù)臋C制，以使事故和故障的類型、數(shù)量和代價能被量化和監(jiān)督。該信息要用來標識重復發(fā)生的或影響很大的事故或故障。這樣做可以指出需要增強的或附加的控制，以限制未來出現(xiàn)事故的頻度、損壞和代價，或者要將它們計入安全策略評審過程中（）?！?紀律處理對于違反了組織安全策略和規(guī)程（，關于證據(jù)的保存，）的雇員，要具有正式的紀律處理。對雇員來說，這樣一種辦法起威懾的作用，否則他可能傾向于不顧安全規(guī)程。此外，宜確保正確、公正地對待牽涉重大違規(guī)或經(jīng)常違規(guī)的雇員。7　 物理和環(huán)境的安全　 安全區(qū)域目的：防止對業(yè)務辦公場所和信息未授權訪問、損壞和干擾。關鍵和敏感的業(yè)務信息處理設施要放置在安全區(qū)域內(nèi)，并受到一種已定義的安全周邊和適合的安全屏障和入口控制的保護。這些設施要在物理上避免未授權訪問、損壞和干擾。所提供的保護要與所標識的風險相匹配。推薦用清理臺面和清空屏幕策略以減少未授權訪問或損壞記錄紙、媒體和信息處理設施的風險。　 物理安全周邊物理保護可通過在業(yè)務辦公場所信息處理設施周圍建立若干物理屏障來達到。各個屏障建立一個安全周邊，每個屏障都增強所提供的整體保護。組織要使用安全周邊來保護包含信息處理設施的區(qū)域（）。安全周邊是指構建屏障的某樣東西，例如，墻、卡控制的入口門或有人管理的接待臺。各個屏障的設置地點和強度取決于風險評估的結果。若合適，下列指南和控制應予以考慮：a） 安全周邊應清晰地予以定義。b) 包含有信息處理設施的建筑物或場地的周邊應在物理上是安全的（即，在周邊或區(qū)域內(nèi)不應存在可能易于闖入的任何缺口）。場地的外墻應是堅固結構，所有外部門要有適當保護以防止未授權進入，例如，控制機制、門閂、報警器、鎖等等。b） 有人管理的接待區(qū)域或控制物理訪問場地或建筑物的其他手段要到位。進入場地或建筑物應僅限于已授權人員。c） 如果需要，物理屏障應從真正的地板擴展到真正的天花板，以防止未授權進入和由諸如火災和水災所引起的環(huán)境污染。d） 安全周邊的所有防火門應可發(fā)出報警信號，并應緊閉。　 物理入口控制安全區(qū)域要由適合的入口控制所保護，以確保只有已授權的人員才允許訪問。下列控制要予以考慮。a） 對安全區(qū)域的訪問者要予以監(jiān)督或辦理進入手續(xù)，并記錄他們進入和離開的日期和時間。只能允許他們訪問特定的、已授權的目標，并要向他們宣布關于該區(qū)域安全要求和應急規(guī)程的說明。b） 訪問敏感信息和信息處理設施要受到控制，并且僅限于已授權的人員。鑒別控制［例如，插卡加個人識別號（PIN）］應用于授權和確認所有訪問。所有訪問的審核蹤跡要安全地加以維護。c） 要求所有人員佩帶某種形式的可視標識，并且鼓勵他們詢問無人護送的陌生人和未佩帶可視標識的任何人。d） 對安全區(qū)域的訪問權利要定期地予以評審和更新?！?辦公室、房間和設施的安全保護安全區(qū)域可以是在物理安全周邊內(nèi)側上鎖的辦公室或者幾個房間。這種辦公室可以是上鎖的并且可以包含可鎖的鐵柜或保險柜。安全區(qū)域的選擇和設計要考慮到防止火災、水災、爆炸、國內(nèi)動蕩以及其他形式的自然或人為災難的損壞的可能性。還要考慮到相關健康和安全的規(guī)章和標準。對于由鄰接建筑物所引起的任何安全威脅（例如，來自其他區(qū)域的水泄漏）也要予以考慮。下列控制應予以考慮。a） 使關鍵設施坐落在避免公眾進行訪問的場地。b） 建筑物要不引人注目，并且在建筑物內(nèi)側或外側用不明顯標記給出其用途的最少指示，以標識信息處理機構的存在。c） 支持性功能件和設備（例如，影印機，傳真機）適宜坐落在安全區(qū)域內(nèi)，以避免可能泄露信息的要求訪問。d） 無人值守時門窗要上鎖，外部保護時應考慮對窗戶的保護，特別是對落地門窗。e） 按照專業(yè)標準所安裝的并定期測試的相應的入侵檢測系統(tǒng)要裝在合適的位置，以便涵蓋所有外部門和可接近的窗戶。對未占用的區(qū)域，在所有時刻也要予以監(jiān)視。對于其他區(qū)域（例如，計算機機房或通信機房）也要提供掩蔽物。f） 組織所管理的信息處理設施在物理上要與第三方所管理的那些信息處理設施分開。g） 標識敏感信息處理設施位置的目錄和內(nèi)部電話簿不要輕易被公眾得到。h） 危險或易燃物品要安全地存儲在離安全區(qū)域有一定的安全距離的地方。成批的供應品（諸如信紙文具之類）除非必要都不應存儲在安全區(qū)域內(nèi)。i） 基本維持運行的設備和備份媒體要以一定的安全距離存放，以免受主要場地災難的損壞?！?在安全區(qū)域工作可以要求附加控制和指南，以增強安全區(qū)域的安全，這包括對在安全區(qū)域中工作的人員或第三方以及在這里進行第三方活動的控制。下列控制要予以考慮。a） 只在有必要知道的基礎上，人員才應知道安全區(qū)域的存在或在其中的活動。b） 由于安全(safety)原因和防范惡意活動的可能，均應避免在安全區(qū)域內(nèi)進行不受監(jiān)督的工作。c） 未用的安全區(qū)域在物理上要鎖上并周期地予以檢查。d） 僅在要求時，才同意第三方支持性服務人員對安全區(qū)域或敏感性信息處理設施進行有限制的訪問。該訪問要經(jīng)過授權和并受到監(jiān)督。在安全周邊內(nèi)側具有不同安全要求的區(qū)域之間，可能需要用來控制物理訪問的附加屏障和周邊。e） 除非授權，不允許攜帶攝影、聲頻、視頻或其他記錄設備?！?交接區(qū)域的隔離交接區(qū)域要受到控制，如有可能，要與信息處理設施隔離，以免未授權訪問。這類區(qū)域的安全要求要根據(jù)風險評估來確定。下列控制要予以考慮。a） 由建筑物外進入交接區(qū)限于已標識的和已授權的人員。b） 交接區(qū)域應設計成這樣，即在無需交貨人員獲得進入本建筑物其他部分的情況下就能卸下物資。c） 當內(nèi)部的門打開時，交接區(qū)域的外部的門應緊閉。d） 在進來的物資從交接區(qū)域運到使用地點之前，要檢查有潛在危險的進來物資（）。e） 如果合適（），進來的物資應在場地的入口處進行登記?！?設備安全目的：防止資產(chǎn)的丟失、損壞或泄露和業(yè)務活動的中斷。在物理上應使設備免受安全威脅和環(huán)境危險。對設備的保護（包括離場使用）是減少未授權訪問數(shù)據(jù)的風險和防止丟失或損壞所必需的。這樣做還要考慮設備安置和處置?？梢砸髮ｉT的控制用來防止危險或未授權訪問和保護支持性設施，諸如電源和布纜基礎設施?！?設備安置和保護安置或保護設備，以減少由環(huán)境威脅和危險所造成的各種風險以及未授權訪問的機會。下列控制要予以考慮。a） 設備應進行安置，以盡量減少不必要的進入工作區(qū)域訪問。b） 應把處理敏感數(shù)據(jù)的信息處理設施和存儲設施放在適當?shù)奈恢茫詼p少在其使用期間被窺視的風險。c） 要求專門保護的部件要予以隔離，以減低所要求的總體保護等級。d） 應采取控制使包括下列潛在威脅的風險減到最小：1） 偷竊；2） 火災；3） 爆炸；4） 煙霧；5） 水（或供水故障）；6） 塵埃；7） 振動；8） 化學影響；9） 電源干擾；10） 電磁輻射。e） 一個組織要考慮關于在信息處理設施附近進食、喝飲料和抽煙的策略。f） 對于可能負面影響信息處理設施運行狀態(tài)的環(huán)境條件要予以監(jiān)督。g） 對于工業(yè)環(huán)境中的設備，要考慮使用專門保護方法（諸如，鍵盤保護膜）。h） 在附近建筑物內(nèi)發(fā)生災難的影響，例如，鄰近建筑物的火災，屋頂漏水或地下室地板滲水或者街上爆炸等，均要予以考慮。　 電源設備應免受電源故障和其他電異?，F(xiàn)象。要提供符合設備制造商規(guī)范的合適電源。獲得電源連續(xù)性的選項包括：a） 多路饋電，以避免電源中單點故障；b） 不間斷電源（UPS）；c） 備份發(fā)電機。對于支持關鍵業(yè)務操作的設備，推薦使用支持有序關機或連續(xù)運行的UPS。偶然事故計劃要包括UPS故障時要采取的動作。UPS設備要定期地檢查，以確保它擁有足夠能力，并按照制造商的建議予以測試。如果電源故障延長，而處理要繼續(xù)進行，則要考慮備份發(fā)電機。如果安裝，電機要按照制造商的說明定期地予以測試。要提供足夠的燃料供給，以確保在延長的時間內(nèi)發(fā)電機可以進行工作。另外，應急電源開關應位于設備房間應急出口附近，以便萬一應急時快速切斷電源。在萬一主電源出現(xiàn)故障時要提供應急照明。所有建筑物都應采用避雷保護，所有外部通信線路都應裝配雷電保護過濾器?！?布纜安全電源和運載數(shù)據(jù)或支持信息服務的電信布纜要免受竊聽或損壞。下列控制要予以考慮。a） 進入信息處理設施的電源和電信線路宜在地下，若可能，或者提供足夠的可替換保護；b） 網(wǎng)絡布纜要免受未授權竊聽或損壞，例如，利用電纜管道或使路由避開公眾區(qū)域；c） 為了防止干擾，電源電纜要與通信電纜分開；d） 對于敏感的或關鍵的系統(tǒng)，更進一步控制考慮包括：1） 在檢查點和終接點處安裝鎧裝電纜管道和上鎖的房間或盒子；2） 使用可替換的路由選擇或傳輸媒體；3） 使用布光纜；4） 清除與電纜連接的未授權裝置?！?設備維護設備要予以正確地維護，以確保它的連續(xù)的可用性和完整性。下列控制應予以考慮。a） 要按照供應商推薦的服務時間間隔和規(guī)范對設備進行維護；b） 只有已授權的維護人員才可對設備進行修理和服務；c） 要保存所有可疑的或?qū)嶋H的故障和所有預防和糾正維護的記錄；d） 當送設備到建筑物外維護（、擦除和蓋寫數(shù)據(jù)）時要采取合適的控制。要遵守由保險策略所施加的所有要求。　 離開建筑物的設備的安全與所有權無關，為了信息處理在組織建筑物外使用任何設備要通過管理層授權。所提供的安全應等同于用于同一目的現(xiàn)場使用設備的安全，同時要考慮到組織建筑物外的工作風險。信息處理設備包括所有形式的個人計算機、電子記事簿、移動電話、記錄紙或其他形式，這些是適用于家庭工作的或離開常規(guī)工作地點便于運輸?shù)脑O施。下列指南要予以考慮。a） 離開建筑物的設備和媒體在公共場所不要無人值守。便攜式計算機要作為手提行李攜帶在旅行 時，若可能宜偽裝起來；b） 制造商保護設備用的說明書要始終加以遵守，例如，防止暴露于強電磁場內(nèi)；c） 家庭工作控制應根據(jù)風險評估確定，當適合時，要施加合適的控制，例如，可鎖的存檔柜，清理桌面策略以及對計算機的訪問控制；d） 足夠的安全保障掩蔽物宜到位，以保護設備離開場地。安全風險在不同場所可能有顯著地不同，例如，損壞、盜竊和截取，要考慮確定最合適的控制?！?設備的安全處置或安全重用信息可能通過對設備的草率處置或重用而被泄漏（）。包含敏感信息的存儲器在物理上應予以摧毀或者將其安全地蓋寫而不是使用標準刪除功能。包含存儲媒體（例如，固定硬盤）的設備中的所有部件應予以檢查，以確保任何敏感數(shù)據(jù)和許可的軟件在處理之前已經(jīng)清除或蓋寫。包含敏感數(shù)據(jù)的已損壞的存儲器可以要求風險評估，以確定這些部件是否要進行銷毀、修理或丟棄?！?一般控制目的：防止信息和信息處理設施的受損害或被盜竊。信息和信息處理設施應予以保護，以防止泄露給未授權人員，而被其修改或盜竊，控制應到位，以使丟失或損壞減到最小?！?清理桌面和清空屏幕策略組織要考慮對記錄紙和可移動的存儲媒體采取清理桌面策略，對信息處理設施采取清空屏幕策略，以便減少在正常工作期間和在正常工作時間之外對信息的未授權訪問、丟失和損壞的風險。該策略要考慮到信息安全分類（）、相應的風險和組織的文化方面。離開桌面的信息也可能在災難中（諸如火災、水災或爆炸）被損壞或被摧毀。下列控制要予以考慮。a） 若合適，當不使用時，特別是在工作時間之外，記錄紙和計算機媒體要存儲在相應的上鎖的柜子和/或其他形式的安全器具中；b） 當不用時，特別是當離開辦公室時，敏感或關鍵業(yè)務信息應藏起來（理想的是，藏在耐火保險柜或箱中）；c） 當無人值守時，個人計算機和計算機終端和打印機不要保留登錄，當不使用時，要利用帶鑰匙的鎖、口令或其他控制進行保護；d） 進來和出去的郵件點和無人值守