物理和環(huán)境安全的風(fēng)險主要來(lái)源于自然環(huán)境災害，人員訪(fǎng)問(wèn)控制失效，機房基礎設施缺失導致的火災、漏水、雷擊和靜電對設備電路的破壞，溫濕度失調、設備失竊等安全事件，會(huì )影響網(wǎng)絡(luò )、主機和業(yè)務(wù)的連續性，甚至導致業(yè)務(wù)數據丟失等。

物理和環(huán)境安全的目標是為機房選擇一個(gè)合理的物理位置，最大程度上避開(kāi)雷擊多發(fā)區，爆炸、火災、水災隱患地點(diǎn)；在此基礎上，為機房配置完善的基礎設施，包括通過(guò)電子門(mén)禁控制人員的出入、配置自動(dòng)告警和滅火的消防系統來(lái)確?；鹎榭梢约皶r(shí)地被發(fā)現和消除；機房環(huán)境控制要具備溫濕度檢測、漏水檢測以及告警功能來(lái)保證運維人員可以及時(shí)發(fā)現機房溫濕度失衡和空調漏水，配置雙路冗余電路、UPS電源以及柴油發(fā)電機等備用電力輸出系統來(lái)保證機房電力供應的持續性，使機房?jì)鹊脑O備可以在穩定的環(huán)境中運行，降低設備故障的概率，保障信息系統的業(yè)務(wù)連續性。

1、物理和環(huán)境安全要求

（1）物理位置選擇要求

1）機房場(chǎng)地應選擇在具有防震、防風(fēng)和防雨等能力的建筑內；

2）機房場(chǎng)地應避免設在建筑物的頂層或地下室，否則應加強防水和防潮措施。

（2）物理訪(fǎng)問(wèn)控制要求

機房出入口應配置電子門(mén)禁系統，控制、鑒別和記錄進(jìn)入的人員。

（3）防盜竊和防破壞

1）應對機房設備或主要部件進(jìn)行固定，并設置明顯的不易除去的標志；

2）應將通信線(xiàn)纜鋪設在隱蔽處，可鋪設在地下或管道中；

3）應設置機房防盜報警系統或設置有專(zhuān)人值守的視頻監控系統。

（4）防雷擊要求

1）應將各類(lèi)機柜、設施和設備等通過(guò)接地系統安全接地；

2）應采取措施防止感應雷，例如設置防雷保安器或過(guò)壓保護裝置等。

（5）防火要求

1）應設置火災自動(dòng)消防系統，能夠自動(dòng)檢測火情、自動(dòng)報警，并自動(dòng)滅火；

2）機房及相關(guān)的工作房間和輔助房間應采用具有耐火等級的建筑材料；

3）應對機房進(jìn)行劃分區域管理，區域和區域之間設置隔離防火措施。

（6）防水和防潮要求

1）應采取措施防止雨水通過(guò)機房窗戶(hù)、屋頂和墻壁滲透；

2）應采取措施防止機房?jì)人魵饨Y露和地下積水的轉移與滲透；

3）應安裝對水敏感的檢測儀表或元件，對機房進(jìn)行防水檢測和報警。

（7）防靜電要求

1）應安裝防靜電地板并采用必要的接地防靜電措施；

2）應采用措施防止靜電的產(chǎn)生，例如采用靜電消除器、佩戴防靜電手環(huán)等。

（8）溫、濕度控制要求

機房應設置溫、濕度自動(dòng)調節設施，使機房溫、濕度的變化在設備運行所允許的范圍之內。

（9）電力供應要求

1）應在機房供電線(xiàn)路上配置穩壓器和過(guò)電壓防護設備；

2）應提供短期的備用電力供應，至少滿(mǎn)足設備在斷電情況下的正常運行要求；

3）應設置冗余或并行的電力電纜線(xiàn)路為計算機系統供電。

（10）電磁防護要求

1）電源線(xiàn)和通信線(xiàn)纜應隔離鋪設，避免互相干擾；

2）應對關(guān)鍵設備實(shí)施電磁屏蔽。

（11）云計算的物理和環(huán)境安全要求

1）確保云計算服務(wù)器、承載云租戶(hù)賬戶(hù)信息、鑒別信息、系統信息及運行關(guān)鍵業(yè)務(wù)和數據的物理設備均位于中國境內；

2）IDC應具有國家相關(guān)部門(mén)頒發(fā)的IDC運營(yíng)資質(zhì)。

（12）移動(dòng)互聯(lián)的物理和環(huán)境安全要求

應為無(wú)線(xiàn)接入設備的安裝選擇合理位置，避免過(guò)度覆蓋。

2、物理和環(huán)境安全措施

（1）物理位置安全措施

存儲在機房的重要信息系統的設備應避免嚴重震動(dòng)（特別是磁盤(pán)陣列），需要在一個(gè)相對密閉的環(huán)境中運行。因此，機房應該選擇建設在具備防震、防風(fēng)和防雨能力的建筑內，應避免將機房部署在建筑物的頂層或地下室，以防頂層漏水、地下室雨水倒灌或地下水滲透。如果不得已將機房部署在以上位置的，應當加強防水和防潮措施：部署在頂層的應特別加強房頂的防水處理，部署在地下室的在加強防水處理的同時(shí)應在機房出入口處設置1～2層防水擋板并常備應急防水沙袋。

（2）物理訪(fǎng)問(wèn)控制安全措施

機房出入口是進(jìn)行物理訪(fǎng)問(wèn)控制的第一道屏障，也是最重要的一道屏障。機房出入口應配置電子門(mén)禁系統，控制、鑒別和記錄進(jìn)入的人員。電子門(mén)禁系統另一個(gè)重要的用途是對進(jìn)入的人員進(jìn)行記錄，一旦發(fā)生網(wǎng)絡(luò )安全事件，可以進(jìn)行事件追溯，其日志記錄應保存6個(gè)月以上。

（3）防盜和防破壞安全措施

機房的設備或主要部件應當固定在機架上，并且在顯著(zhù)位置張貼不易除去的資產(chǎn)標志或標簽，防止外來(lái)人員將機房?jì)鹊脑O備帶出機房；通信線(xiàn)纜應鋪設在隱僻處或難以觸及的位置，可鋪設在地下或管道中；應設置機房防盜報警系統或設置有專(zhuān)人值守的視頻監控系統，并在非工作時(shí)段啟用自動(dòng)報警，實(shí)時(shí)展示報警區域的視頻監控圖像。視頻監控文件保存6個(gè)月以上。

（4）防雷擊安全措施

應當在機房?jì)仍O置接地系統，并將各類(lèi)機柜、設施和設備等通過(guò)接地系統安全接地；由于高強度雷擊會(huì )使放電范圍內1千米的閉環(huán)電路產(chǎn)生感應雷，因此應在電路中部署防止感應雷電破壞計算機信息系統的保安裝置，以防止由電源線(xiàn)侵入的感應雷電破壞計算機設備。

（5）防火安全措施

機房?jì)葢O置火災自動(dòng)消防系統，通過(guò)煙感或紅外檢測自動(dòng)發(fā)現火情，自動(dòng)報警并啟動(dòng)滅火程序。機房及相關(guān)的工作房間等應采用防火地板、防火天花板、防火墻板和防火涂層，避免木質(zhì)結構等易燃物質(zhì)裸露；另外，應對機房劃分區域進(jìn)行管理，區域和區域之間設置隔離防火措施。

（6）防水和防潮安全措施

機房應當做好防水處理，防止雨水通過(guò)窗戶(hù)、屋頂和墻壁滲透；應通過(guò)溫、濕度控制和冷熱風(fēng)道設計等措施防止機房?jì)人魵饨Y露，并合理處理地下積水；應安裝對水敏感的檢測儀表或元件，對機房進(jìn)行防水檢測和報警。

（7）防靜電安全措施

應鋪設防靜電地板，將機柜和重要設備連接至接地系統，采用防靜電措施；另外，還應采用措施防止靜電的產(chǎn)生，使用靜電消除器消除靜電或佩戴防靜電手環(huán)。

（8）溫、濕度控制安全措施

機房應設置溫度、濕度自動(dòng)調節設施，使機房溫、濕度的變化在設備運行所允許的范圍之內。對于使用設置精密空調控制機房?jì)鹊臏貪穸鹊?，按照GB 50174—2017《數據中心設計規范》執行，詳見(jiàn)表1。

（9）電力供應安全措施

通常，設備開(kāi)關(guān)機、線(xiàn)路短路、電源切換等情況下可能會(huì )引起浪涌，即產(chǎn)生超出正常工作電壓的瞬間過(guò)電壓，因此需要在供電線(xiàn)路上配置穩壓器和過(guò)電防壓護設備，一般機房PDU電源都具備防浪涌的功能；應設置至少兩路電力電纜線(xiàn)路提供電力供應，并根據機房設備功率和實(shí)際情況配置 UPS或柴油發(fā)電機等短期的備用電力供應，以滿(mǎn)足設備在斷電情況下的正常運行要求。

（10）電磁防護安全措施

機房?jì)鹊碾娫淳€(xiàn)和通信線(xiàn)纜應隔離鋪設，避免互相干擾；應對關(guān)鍵設備實(shí)施電磁屏蔽。比如：電源線(xiàn)（強電）可鋪設在防靜電地板下的線(xiàn)槽內，通信線(xiàn)纜（弱電）可鋪設在上橋架內。

此外，計算機、通信機等電子設備在正常工作時(shí)會(huì )產(chǎn)生一定強度的電磁波，該電磁波可能會(huì )被專(zhuān)用設備所接收，以竊取其內容，因此關(guān)鍵設備需要進(jìn)行電磁屏蔽，使用專(zhuān)門(mén)的電磁屏蔽機柜和屏蔽網(wǎng)線(xiàn)。

（11）云計算的物理和環(huán)境安全

云計算平臺是指采用了云計算技術(shù)的信息系統，一般由設施、硬件、資源抽象控制層、虛擬化計算資源、軟件平臺和應用軟件等組成，如圖1所示。一般來(lái)說(shuō)，基礎設施及服務(wù)（IaaS）、平臺及服務(wù)（PaaS）和軟件及服務(wù)（SaaS）是三種基本的云計算服務(wù)模式。

在基礎設施及服務(wù)模式下，云計算平臺由設施、硬件、資源抽象控制層組成；在平臺及服務(wù)模式下，云計算平臺包括設施、硬件、資源抽象控制層、虛擬化計算資源和軟件平臺；在軟件及服務(wù)模式下，云計算平臺包括設施、硬件、資源抽象控制層、虛擬化計算資源、軟件平臺和應用軟件。

這三種基本的云計算服務(wù)模式都有共同的三個(gè)組件：設施、硬件和資源抽象控制。物理和環(huán)境安全保護即是對設施和硬件的安全保護，三種不同的服務(wù)模式對物理和環(huán)境安全的要求是一致的。云計算的物理與環(huán)境安全要求是確保云計算基礎設施和硬件位于中國境內。

（12）移動(dòng)互聯(lián)的物理和環(huán)境安全措施

采用移動(dòng)互聯(lián)技術(shù)的等級保護對象由移動(dòng)端、移動(dòng)應用和無(wú)線(xiàn)網(wǎng)絡(luò )三部分組成。移動(dòng)端（通常指移動(dòng)通用終端和專(zhuān)用終端）通過(guò)無(wú)線(xiàn)信道連接無(wú)線(xiàn)接入設備并訪(fǎng)問(wèn)服務(wù)器，并通過(guò)移動(dòng)終端管理系統的服務(wù)端軟件向客戶(hù)端軟件發(fā)送移動(dòng)設備管理、移動(dòng)應用管理和移動(dòng)內容管理策略對移動(dòng)端進(jìn)行安全管理。涉及的物理與環(huán)境安全事項是，應為無(wú)線(xiàn)接入設備的安裝選擇合理位置，避免過(guò)度覆蓋和電磁干擾。

來(lái)源：計算機與網(wǎng)絡(luò )安全