計(jì)算機(jī)機(jī)房管理安全檢查指南

計(jì)算機(jī)機(jī)房管理安全檢查指南檢查項(xiàng)1：計(jì)算機(jī)機(jī)房安全管理基本要求：（1）應(yīng)制定機(jī)房安全工作的總體方針和安全策略，說(shuō)明安全工作的總體目標(biāo)、范圍、原則和框架等；應(yīng)建立機(jī)房安全管理制度；應(yīng)建立機(jī)房操作規(guī)程；應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)安全管理制度的制定；安全管理制度應(yīng)具有統(tǒng)一的格式，并進(jìn)行版本控制；應(yīng)組織相關(guān)人員對(duì)制定的安全管理制度進(jìn)行論證和審定；安全管理制度應(yīng)通過(guò)正式、有效的方式發(fā)布并定期評(píng)估、更新；安全管理制度應(yīng)注明發(fā)布范圍，并對(duì)收發(fā)文進(jìn)行登記；有密級(jí)的安全管理制度，應(yīng)注明安全管理制度密級(jí)，并按密級(jí)管理；（2）應(yīng)設(shè)立負(fù)責(zé)機(jī)房安全管理工作的職能部門，設(shè)立安全主管、安全管理等各方面的崗位，并定義各崗位的職責(zé)；（3）應(yīng)對(duì)各類人員進(jìn)行安全意識(shí)教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)；應(yīng)對(duì)安全責(zé)任和懲戒措施進(jìn)行書(shū)面規(guī)定并告知相關(guān)人員，對(duì)違反安全策略和規(guī)定的人員進(jìn)行懲戒；應(yīng)對(duì)定期安全教育和培訓(xùn)進(jìn)行書(shū)面規(guī)定；應(yīng)對(duì)安全教育和培訓(xùn)的情況和結(jié)果進(jìn)行記錄并歸檔保存。檢查方法、步驟：（1）通過(guò)座談和調(diào)閱相關(guān)資料，了解機(jī)房安全工作的總體方針、安全策略、安全組織架構(gòu)、操作規(guī)程、人員職責(zé)以及安全管理制度的相關(guān)情況；（2）約談相關(guān)人員了解其職責(zé)履行、教育培訓(xùn)、安全意識(shí)和制度執(zhí)行情況，判斷相關(guān)安全工作落實(shí)情況；（3）檢查安全教育和培訓(xùn)情況的記錄。檢查項(xiàng)2：計(jì)算機(jī)機(jī)房集中監(jiān)控系統(tǒng)基本要求：（1）應(yīng)通過(guò)值班等制度，確保通信線路、環(huán)境監(jiān)控系統(tǒng)、防盜監(jiān)控系統(tǒng)等7*24小時(shí)有效運(yùn)行，形成記錄并妥善保存。實(shí)時(shí)監(jiān)控所獲取的內(nèi)容至少保存3個(gè)月,非定時(shí)監(jiān)控所獲取的內(nèi)容至少保存3年；有實(shí)時(shí)交易服務(wù)的數(shù)據(jù)中心應(yīng)實(shí)行24小時(shí)值班，值班人員至少應(yīng)有2名，并在數(shù)據(jù)工作區(qū)做到雙進(jìn)雙出；（2）應(yīng)組織相關(guān)人員定期對(duì)監(jiān)測(cè)和報(bào)警記錄進(jìn)行分析和評(píng)審，審定有無(wú)可疑行為，形成分析報(bào)告，并采取必要的應(yīng)對(duì)措施；（3）應(yīng)制定監(jiān)控系統(tǒng)報(bào)警事件處理流程，并對(duì)相關(guān)人員進(jìn)行培訓(xùn)。檢查方法、步驟：（1）查看計(jì)算機(jī)機(jī)房監(jiān)控和值班的記錄和日志，檢查計(jì)算機(jī)機(jī)房監(jiān)控和值班的相關(guān)制度落實(shí)情況；（2）就監(jiān)測(cè)和報(bào)警記錄分析情況約談相關(guān)人員，判斷其做法是否有效；（3）查看監(jiān)控系統(tǒng)報(bào)警事件處理流程是否合理有效，并檢查相關(guān)人員的執(zhí)行情況。檢查項(xiàng)3：計(jì)算機(jī)機(jī)房安全區(qū)域訪問(wèn)控制基本要求：（1）關(guān)鍵和敏感的業(yè)務(wù)信息處理設(shè)施應(yīng)放置在安全區(qū)域內(nèi)，并受到已定義的安全周邊、適合的安全屏障和入口控制的保護(hù)。這些設(shè)施應(yīng)在物理上避免未授權(quán)訪問(wèn)、損壞和干擾；（2）安全區(qū)域訪問(wèn)用戶和權(quán)限的管理應(yīng)由專門部門執(zhí)行。對(duì)安全區(qū)域的訪問(wèn)者應(yīng)辦理進(jìn)入手續(xù)，記錄他們進(jìn)入和離開(kāi)的時(shí)間，并予以監(jiān)督。只能允許他們?cè)L問(wèn)特定的、已授權(quán)的目標(biāo)，并要向他們宣布關(guān)于該區(qū)域安全要求和必要的應(yīng)急規(guī)程的說(shuō)明。訪問(wèn)敏感信息和信息處理設(shè)施應(yīng)受到控制，并且僅限于已授權(quán)的人員。鑒別控制(插卡加個(gè)人識(shí)別號(hào))應(yīng)當(dāng)用于授權(quán)和確認(rèn)所有訪問(wèn)。所有訪問(wèn)的審核蹤跡應(yīng)安全地加以維護(hù)。要求所有人員佩帶某種形式的可視標(biāo)識(shí)，并且要求他們?cè)儐?wèn)無(wú)人護(hù)送的陌生人和未佩帶可視標(biāo)識(shí)的任何人員。對(duì)安全區(qū)域的訪問(wèn)權(quán)限應(yīng)定期地予以評(píng)審和更新；（3）機(jī)房應(yīng)具有獨(dú)立的出入口。機(jī)房出入口應(yīng)安排專人值守并配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員；需進(jìn)入機(jī)房的來(lái)訪人員應(yīng)經(jīng)過(guò)申請(qǐng)和審批流程，并限制和監(jiān)控其活動(dòng)范圍；應(yīng)對(duì)機(jī)房劃分區(qū)域進(jìn)行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)置交付或安裝等過(guò)渡區(qū)域；重要區(qū)域應(yīng)配置第二道電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員；（4）交付或安裝等過(guò)渡區(qū)域應(yīng)設(shè)計(jì)成：在無(wú)需交貨人員獲得進(jìn)入本建筑物其他部分的情況下就能卸下物資。當(dāng)內(nèi)部的門打開(kāi)時(shí)，交接區(qū)域的外部門應(yīng)緊閉。在交付物資從交接區(qū)域運(yùn)到使用地點(diǎn)之前，應(yīng)檢查該物資是否有潛在危險(xiǎn)。交付物資應(yīng)在場(chǎng)地的入口處進(jìn)行登記。由建筑物外進(jìn)入交接區(qū)僅限于已標(biāo)識(shí)的物資和已授權(quán)的人員。檢查方法、步驟：（1）判斷計(jì)算機(jī)機(jī)房安全區(qū)域的劃分、交付或安裝等過(guò)渡區(qū)域設(shè)置是否合理，各區(qū)域是否有效運(yùn)作；（2）了解計(jì)算機(jī)機(jī)房訪問(wèn)人員授權(quán)的情況，檢查有無(wú)過(guò)期和無(wú)效的授權(quán)；（3）通過(guò)實(shí)地檢查和查看日志記錄，檢查安全區(qū)域的物理防護(hù)和訪問(wèn)控制是否能有效防范非授權(quán)物理訪問(wèn)、破壞和干擾；（4）是否根據(jù)所運(yùn)行業(yè)務(wù)重要性將機(jī)柜分類管理；（5）外來(lái)設(shè)備（如電信設(shè)備）與內(nèi)部設(shè)備是否分區(qū)放置，以確保安全。檢查項(xiàng)4：計(jì)算機(jī)機(jī)房運(yùn)行管理基本要求：（1）運(yùn)行管理體系架構(gòu)合理。物理環(huán)境/計(jì)算機(jī)機(jī)房管理崗位的設(shè)置應(yīng)科學(xué)、規(guī)范、合理、全面，與實(shí)際管理需求相符合；（2）管理制度全面有效，制度執(zhí)行到位。管理制度切合實(shí)際，覆蓋計(jì)算機(jī)機(jī)房運(yùn)維的各方面，并按工作要求及時(shí)調(diào)整、完善；（3）崗位職責(zé)設(shè)置合理，人員職責(zé)明確，人員資質(zhì)和能力勝任相應(yīng)的崗位；（4）執(zhí)行相關(guān)培訓(xùn)計(jì)劃；（5）人員的錄用、離崗和考核制度執(zhí)行有力。檢查方法、步驟：（1）通過(guò)座談了解：計(jì)算機(jī)機(jī)房運(yùn)行管理的體系架構(gòu)、崗位設(shè)置和職責(zé)分工