計算機機房管理安全檢查指南

計算機機房管理安全檢查指南檢查項1：計算機機房安全管理基本要求：（1）應制定機房安全工作的總體方針和安全策略，說明安全工作的總體目標、范圍、原則和框架等；應建立機房安全管理制度；應建立機房操作規(guī)程；應指定或授權(quán)專門的部門或人員負責安全管理制度的制定；安全管理制度應具有統(tǒng)一的格式，并進行版本控制；應組織相關(guān)人員對制定的安全管理制度進行論證和審定；安全管理制度應通過正式、有效的方式發(fā)布并定期評估、更新；安全管理制度應注明發(fā)布范圍，并對收發(fā)文進行登記；有密級的安全管理制度，應注明安全管理制度密級，并按密級管理；（2）應設(shè)立負責機房安全管理工作的職能部門，設(shè)立安全主管、安全管理等各方面的崗位，并定義各崗位的職責；（3）應對各類人員進行安全意識教育、崗位技能培訓和相關(guān)安全技術(shù)培訓；應對安全責任和懲戒措施進行書面規(guī)定并告知相關(guān)人員，對違反安全策略和規(guī)定的人員進行懲戒；應對定期安全教育和培訓進行書面規(guī)定；應對安全教育和培訓的情況和結(jié)果進行記錄并歸檔保存。檢查方法、步驟：（1）通過座談和調(diào)閱相關(guān)資料，了解機房安全工作的總體方針、安全策略、安全組織架構(gòu)、操作規(guī)程、人員職責以及安全管理制度的相關(guān)情況；（2）約談相關(guān)人員了解其職責履行、教育培訓、安全意識和制度執(zhí)行情況，判斷相關(guān)安全工作落實情況；（3）檢查安全教育和培訓情況的記錄。檢查項2：計算機機房集中監(jiān)控系統(tǒng)基本要求：（1）應通過值班等制度，確保通信線路、環(huán)境監(jiān)控系統(tǒng)、防盜監(jiān)控系統(tǒng)等7*24小時有效運行，形成記錄并妥善保存。實時監(jiān)控所獲取的內(nèi)容至少保存3個月,非定時監(jiān)控所獲取的內(nèi)容至少保存3年；有實時交易服務(wù)的數(shù)據(jù)中心應實行24小時值班，值班人員至少應有2名，并在數(shù)據(jù)工作區(qū)做到雙進雙出；（2）應組織相關(guān)人員定期對監(jiān)測和報警記錄進行分析和評審，審定有無可疑行為，形成分析報告，并采取必要的應對措施；（3）應制定監(jiān)控系統(tǒng)報警事件處理流程，并對相關(guān)人員進行培訓。檢查方法、步驟：（1）查看計算機機房監(jiān)控和值班的記錄和日志，檢查計算機機房監(jiān)控和值班的相關(guān)制度落實情況；（2）就監(jiān)測和報警記錄分析情況約談相關(guān)人員，判斷其做法是否有效；（3）查看監(jiān)控系統(tǒng)報警事件處理流程是否合理有效，并檢查相關(guān)人員的執(zhí)行情況。檢查項3：計算機機房安全區(qū)域訪問控制基本要求：（1）關(guān)鍵和敏感的業(yè)務(wù)信息處理設(shè)施應放置在安全區(qū)域內(nèi)，并受到已定義的安全周邊、適合的安全屏障和入口控制的保護。這些設(shè)施應在物理上避免未授權(quán)訪問、損壞和干擾；（2）安全區(qū)域訪問用戶和權(quán)限的管理應由專門部門執(zhí)行。對安全區(qū)域的訪問者應辦理進入手續(xù)，記錄他們進入和離開的時間，并予以監(jiān)督。只能允許他們訪問特定的、已授權(quán)的目標，并要向他們宣布關(guān)于該區(qū)域安全要求和必要的應急規(guī)程的說明。訪問敏感信息和信息處理設(shè)施應受到控制，并且僅限于已授權(quán)的人員。鑒別控制(插卡加個人識別號)應當用于授權(quán)和確認所有訪問。所有訪問的審核蹤跡應安全地加以維護。要求所有人員佩帶某種形式的可視標識，并且要求他們詢問無人護送的陌生人和未佩帶可視標識的任何人員。對安全區(qū)域的訪問權(quán)限應定期地予以評審和更新；（3）機房應具有獨立的出入口。機房出入口應安排專人值守并配置電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員；需進入機房的來訪人員應經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍；應對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)置交付或安裝等過渡區(qū)域；重要區(qū)域應配置第二道電子門禁系統(tǒng)，控制、鑒別和記錄進入的人員；（4）交付或安裝等過渡區(qū)域應設(shè)計成：在無需交貨人員獲得進入本建筑物其他部分的情況下就能卸下物資。當內(nèi)部的門打開時，交接區(qū)域的外部門應緊閉。在交付物資從交接區(qū)域運到使用地點之前，應檢查該物資是否有潛在危險。交付物資應在場地的入口處進行登記。由建筑物外進入交接區(qū)僅限于已標識的物資和已授權(quán)的人員。檢查方法、步驟：（1）判斷計算機機房安全區(qū)域的劃分、交付或安裝等過渡區(qū)域設(shè)置是否合理，各區(qū)域是否有效運作；（2）了解計算機機房訪問人員授權(quán)的情況，檢查有無過期和無效的授權(quán)；（3）通過實地檢查和查看日志記錄，檢查安全區(qū)域的物理防護和訪問控制是否能有效防范非授權(quán)物理訪問、破壞和干擾；（4）是否根據(jù)所運行業(yè)務(wù)重要性將機柜分類管理；（5）外來設(shè)備（如電信設(shè)備）與內(nèi)部設(shè)備是否分區(qū)放置，以確保安全。檢查項4：計算機機房運行管理基本要求：（1）運行管理體系架構(gòu)合理。物理環(huán)境/計算機機房管理崗位的設(shè)置應科學、規(guī)范、合理、全面，與實際管理需求相符合；（2）管理制度全面有效，制度執(zhí)行到位。管理制度切合實際，覆蓋計算機機房運維的各方面，并按工作要求及時調(diào)整、完善；（3）崗位職責設(shè)置合理，人員職責明確，人員資質(zhì)和能力勝任相應的崗位；（4）執(zhí)行相關(guān)培訓計劃；（5）人員的錄用、離崗和考核制度執(zhí)行有力。檢查方法、步驟：（1）通過座談了解：計算機機房運行管理的體系架構(gòu)、崗位設(shè)置和職責分工