区域安全管理规范样本

中华人民共和国石油信息安全原则编号：中华人民共和国石油天然气股份有限公司区域安全管理规范（审视稿）版本号：V3审视人：王巍中华人民共和国石油天然股份有限公司前言随着中华人民共和国石油天然气股份有限公司（如下简称“中华人民共和国石油”）信息化建设稳步推动，信息安全日益受到中华人民共和国石油广泛关注，加强信息安全管理和制度无疑成为信息化建设得以顺利实行重要保障。中华人民共和国石油需要建立统一信息安全管理政策和原则，并在集团内统一推广、实行。本规范是根据中华人民共和国石油信息安全现状，参照国际、国内和行业有关技术原则及规范，结合中华人民共和国石油自身应用特点，制定适合于中华人民共和国石油信息安全原则与规范。目的在于通过在中华人民共和国石油范畴内建立信息安全有关原则与规范，提高中华人民共和国石油信息安全技术和管理能力。信息技术安全总体框架如下：整体信息技术安全架构从逻辑上共分为7个某些，分别为：物理环境、硬件设备、网络、操作系统、数据和文档、应用系统和通用安全管理原则。图中带阴影方框中带书名号为单独成册某些，共有13本《规范》和1本《通用原则》。对于13个《规范》中具备一定共性内容咱们整顿出了6个《原则》横向贯穿整个架构，这6个《原则》组合也根据了信息安全生命周期理论模型。每个《原则》都会对所有《规范》中有关涉及到内容产生指引作用，但每个《原则》应用在不同《规范》中又会有相应不同详细内容。咱们在行文上将这六个原则组合成一本《通用安全管理原则》单独成册。全文以信息安全生命周期办法论作为基本指引，《规范》和《原则》内容基本都依照认证——〉授权——〉内容安全——〉日记管理理论基本行文。信息系统所在区域物理环境安全是保护区域内计算机有关设备以及其他媒体免遭地震、水灾、火灾等环境事故以及周边环境因素影响。它是对系统所在环境安全保护，同步，还需要防止对区域未经授权访问。这种区域在信息安全中被称为“安全区域”。整个《物理环境安全管理规范》由《区域安全管理规范》和《机房安全管理规范》两个某些构成。本文即为信息安全总体框架中以深色标注某些：《区域安全管理规范》，本规范重要规定了不同包具有信息设备或信息资产区域对物理环境安全规定，这种区域概念时相对而言，各种包具有信息设备或信息资产区域都可以称之为安全区域。而由于机房是一种十分特殊且重要安全区域，包括了某些特有安全管理规范，同步在整个信息安全架构中又具备举足轻重地位，因而将机房这个独特安全区域作为《区域安全管理规范》一种详细案例单独进行阐述。本规范由中华人民共和国石油天然气股份有限公司提出。本规范由中华人民共和国石油天然气股份有限公司科技与信息管理部归口管理解释。起草单位：中华人民共和国石油制定信息安全政策与原则项目组。说明在中华人民共和国石油信息安全原则中涉及如下概念：组织机构中华人民共和国石油（PetroChina）指中华人民共和国石油天然气股份有限公司有时也称“股份公司”。集团公司（CNPC）指中华人民共和国石油天然气集团公司有时也称“存续公司”。为区别中华人民共和国石油地区公司和集团公司下属单位，担提及“存续某些”时指集团公司下属单位。如：辽河油田分公司存续某些指集团公司下属辽河石油管理局。计算机网络中华人民共和国石油信息网（PetroChinaNet）指中华人民共和国石油范畴内计算机网络系统。中华人民共和国石油信息网是在中华人民共和国石油天然气集团公司网络基本上，进行扩充与提高所形成连接中华人民共和国石油所属各个单位计算机局域网和园区网。集团公司网络（CNPCNet）指集团公司所属范畴内网络。中华人民共和国石油某些地区公司是和集团公司下属单位共用一种计算机网络，当提及“存续公司网络”时，指存续公司使用网络某些。主干网是从中华人民共和国石油总部连接到各个下属各地区公司网络某些，涉及中华人民共和国石油总部局域网、各个二级局域网（或园区网）和连接这些网络专线远程信道。有些单位通过拨号线路连接到中华人民共和国石油总部，不是运用专线，这样单位和所使用远程信道不属于中华人民共和国石油专用网主干网构成某些。地区网地区公司网络和所属单位网络总和。这些局域网或园区网互相连接所使用远程信道可以是专线，也可以是拨号线路。局域网与园区网局域网普通指，在一座建筑中运用局域网技术和设备建设高速网络。园区网是在一种园区（例如大学校园、管理局基地等）内多座建筑内各种局域网，运用高速信道互相连接起来所构成网络。园区网所运用设备、运营网络合同、网络传播速度基本相似于局域网。局域网和园区网普通都是顾客自己建设。局域网和园区网与广域网不同，广域网不但覆盖范畴广，所运用设备、运营合同、传送速率都与局域网和园区网不同。传播信息信道普通都是电信部门建设。二级单位网络指地区公司下属单位网络总和，也许是局域网，也也许是园区网。专线与拨号线路从连通性划分两大类网络远程信道。专线，指数字电路、帧中继、DDN和ATM等经常保持连通状态信道；拨号线路，指只在传送信息时才建立连接信道，如电话拨号线路或ISDN拨号线路。这些远程信道也许用来连接不同地区局域网或园区网，也也许用于连接单台计算机。石油专网与公网石油专业电信网和公共电信网简称。最后一公里问题建设广域网时，顾客局域网或园区网连接附近电信部门信道最后一段距离连接问题。这段距离普通不大于一公里，但也有不不大于一公里状况。为简便，同称为最后一公里问题。涉及计算机网络术语和定义请参见《中华人民共和国石油局域网原则》。目录1 概述 62 目的 63 合用范畴 74 引用文献或原则 85 术语和定义 106 区域安全分级原则 127 区域物理环境安全 137.1 环境控制 137.2 电气技术安全 147.3 给水排水有关规范 157.4 消防与其她安全规范 167.5 自然灾害防御 178 人员出入安全区域有关管理规范 198.1 人员身份辨认管理规范 198.2 安全区域出入授权管理规范 238.3 安全区域有关日记和权限审计管理——审计跟踪 26附录1 参照文献 28附录2 本规范用词阐明 29概述信息系统所在区域物理环境安全是保护区域内计算机有关设备以及其他媒体免遭地震、水灾、火灾等环境事故以及周边环境因素影响。它是对系统所在环境安全保护，同步，还需要防止对区域未经授权访问。物理环境安全管理规范重要规定了不同区域对物理环境安全规定和相应保护办法和规章制度。安全区域是指需要被组织保护商务场合和包括被保护信息解决设施物理区域。因而咱们所指区域概念可以是一栋办公大楼，也可以是一种数据中心机房或是不同大楼楼层配线间，区域概念相称宽泛。而某些和信息不有关区域如车间、转井平台等不属于本规范讨论范畴。在咱们规范中重要将各个各样不同区域分为三个级别：核心级、重要级和普通级。针对这样三种不同级别区域咱们制定了三种不同规范加以约束。目的本规范目的为：保护各种不同安全区域安全性。由于安全区域自身并不包具有信息资产，但安全区域内会存在各种信息设备或信息资产。因而安全区域安全性重要从区域自身特点出发，目是保护区域内部信息设备或信息资产免受外界干扰、窃取或破坏。外界对于信息设备或信息资产影响重要来自于两个方面。一是物理环境因素，二是人为因素。因而本规范目的也可以分为两个分目的：保护区域物理环境安全，使得区域内信息设备或信息资产免受物理环境（如温度湿度等）影响。保护区域进出授权管理，使得区域内信息设备或信息资产免受非法或未经授权访问、窃取或破坏。

合用范畴本套规范合用范畴涉及了各种使用信息设备安全区域，只要该区域内有正在使用信息设备或有信息资产，则该区域属于本规范讨论范畴。例如各种使用计算机系统进行办公办公室、仓库、车间等。如果该区域内没有信息设备或信息资产，则不属于本规范讨论范畴之内。但机房这一种相对独特安全区域由于其重要性相对突出，因而不包括在本规范讨论范畴内。该规范针对各个不同安全区域，例如各种使用计算机系统进行寻常办公部门，用于保证安全区域各种安全条件符合安全使用信息设备规定。

引用文献或原则下列文献或原则中条款通过本规范引用而成为本规范条款。本原则出版时，所示版均为有效。所有原则都会被修订，使用本原则各方应探讨使用下列原则最新版本也许性。GAT390-《计算机信息系统安全级别保护通用技术规定》GB50174-93《电子计算机机房设计规范》SJ/T30003-93《电子计算机机房施工及验收规范》GB9361-88《计算站场地安全规定》GB2887-《电子计算机场地通用规范》GB6650-86《计算机机房用活动地板技术条件》GB50052《供配电系统设计规范》GB50057_94《建筑物防雷设计规范》GB173-1998《计算机信息系统防雷安全规范》GB50045-95《高层民用建筑设计防火规范》GBJ16-87《建筑设计防火规范》NIST信息安全系列——美国国标技术院英国国家信息安全原则BS7799信息安全基本保护ITBaselineProtectionManual(Germany)BearingPointConsulting内部信息安全原则RUSecure安全技术原则信息系统安全专家丛书CertificateInformationSystemsSecurityProfessional

术语和定义安全区域指区域内有需要受保护信息资产或信息设备物理区域。该物理区域之因此需要受到保护是由于在该区域所在物理区域范畴内有需要受到保护信息系统有关资产，该种信息系统有关资产也许是物理上存在各种电子设备，也也许是无形电子信息数据。而某些和信息系统无关物理区域如机械车间、转井平台等不属于本规范安全区域范畴。核心级区域放置了大量核心IT有关设备（如服务器和骨干网络设备）区域。该区域一旦浮现安全故障会直接影响到公司总部或各个地区公司信息系统正常运作，从而影响公司总部业务运作或各个地区公司业务运作，同步会对公司带来巨大经济上或名誉上损失。在这里对核心级区域定义重要指各个地区公司或公司总部计算机房区域。 举例：地区公司机房或数据中心、中油公司级总机房或数据中心等注：由于该级别区域特指机房，因而不在本规范中详细描述，该某些详细内容请参《机房安全管理规范》重要级区域区域内有重要信息设备或信息资产，如信息敏感部门办公区域等。其中包括了除机房区域以外其她重要安全区域，该区域一旦浮现信息安全故障会直接影响到各个业务单元或业务部门信息系统正常运作，从而影响各个业务单元或业务部门运作，同步会对公司带来明显经济上或名誉上损失。举例：信息敏感部门办公区域核心业务部门办公区域等普通级区域——区域内有某些普通信息设备或信息资产。该区域一旦浮现信息安全故障只会影响到个人或小范畴群体信息系统正常运作，同步对公司带来经济上或名誉上损失也相对较小。举例：普通办公区域等安全级别为表达信息不同敏感度，按保密限度不同对信息进行层次划分组合或集合。访问控制一种安全保证手段，即信息系统资源只能由被授权实体按授权方式进行访问，防止对资源未授权使用。审计为了测试出系统控制与否足够，为了保证与已建立方略和操作相符合，为了发现安全中漏洞，以及为了建议在控制、方略中作任何指定变化，而对系统记录与活动进行独立观测。认证验证顾客、设备和其她实体身份验证数据完整性。授权在确认了访问者身份之后，依照不同访问者权限设定赋予其相应权利和义务过程。日记log一种信息汇集，记录关于对系统操作和系统运营所有事项，提供了系统历史状况。隔离为防止其她顾客或程序非授权访问，把操作系统、顾客程序、数据文献加以彼此独立存储行为。接地计算机系统直流地、交流工作地、安全保护地和防雷保护地与大地之间关系。接地电阻接地体或自然接地估对地电阻和接地线电阻总和。不间断供电系统UPS保证计算机不断止工作供电系统。身份辨认使信息解决系统能辨认出顾客、设备和其她实体测试实行过程。同身份验证。例：检查一种口令或身份权标。智能卡一种安装有集成电路芯片，用于存储和解决数据塑料卡片。智能卡中存有顾客数据信息和密钥，是当前最有效身份认证手段之一。生物体征辨认是指通过计算机运用人体所固有生理特性或行为特性来进行个人身份辨认和（或）验证目。惯用生物特性涉及：指纹、掌纹、虹膜、脸像等。

区域安全分级原则区域类型定义信息系统/业务影响范畴公司经济上或名誉上损失举例核心级区域放置了大量核心IT有关设备（如服务器和骨干网络设备）区域公司总部或各个地区公司巨大各种类型机房。重要级区域区域内有重要信息设备或信息资产，如信息敏感部门办公区域等。其中包括了除机房区域以外其她重要安全区域各个业务单元或业务部门明显信息敏感部门办公区域核心业务部门办公区域等普通级区域区域内有某些普通信息设备或信息资产，包括了除关健级和重要级区域以外其她一切信息安全区域个人或小范畴群体较小信息敏感部门或核心业务部门以外普通办公区域等

区域物理环境安全环境控制温度、湿度所有安全区域温、湿度必要满足区域内计算机设备、计算机网络设备、计算机辅助设备、信息存储媒介规定。安全区域内温、湿度应满足下列规定：表1开机时温、湿度级别项目重要级区域普通级区域温度(℃)15～305～30相对湿度(%)40～70按设备规定湿度条件温度变化率(℃/h)<10不得凝露按设备规定温度变化率防烟防尘控制重要级和普通级区域应当保持环境清洁，经常打扫。防噪声对不可避免强噪音源应采用必要消音办法和隔离办法；电气技术安全供电和电缆区域场地供电电源应满足下列规定：频率50Hz电压380V/220V相数三相五线或三相四线制/单相三线制供电电源应满足如下规定：级别项目重要级和普通级稳态电压偏移范畴，%-15～+10稳态频率偏移范畴，Hz-1～+1电压波形畸变率，%10容许断电持续时间，ms200～1500重要级区域依照所在区域状况宜考虑配备交流不间断电源系统供电。重要级区域电源进线应按现行国标《建筑防雷设计规范》采用防雷办法。电缆必要铺设在线槽内或地板下。不间断供电系统（UPS）供电重要级区域机房宜使用在线式UPS；UPS设备和相应电池组应定期检查和维护(涉及充电和放电)，以保证UPS有充分供电能力保证在断电状况下设备在按照设计原则正常运作，同步按制造商建议进行测试。适度控制好UPS电源连接负载，保证UPS负载量不超过其额定功率85%；后备式UPS不适当用在对电源敏感设备上；保护服务器UPS电源宜具备智能管理功能；UPS功率应当与保护对象功率相匹配；禁止把电感性负载连接到UPS电源上；不得频繁开关UPS电源。给水排水普通规定位于用水设备下层安全区域，应在吊顶上设防水层，并设漏水检查装置。与安全区域无关给排水管道不得穿过该区域。安全区域内如设有地漏，地漏下应加设水封装置，并有防止水封破坏办法。

消防与其她安全有关规范消防安全普通规定安全区域内应设二氧化碳或卤代烷灭火系统，并应按现行关于规范规定执行。重要级区域内应设火灾自动报警系统，并应符合现行国标《火灾自动报警系统设计规范》规定。报警系统和自动灭火系统应与空调、通风系统联锁。空调系统所采用电加热器，应设立无风断电保护。消防设施在安全区域内应在吊顶里、重要空调管道中及易燃物附近部位应设立烟、温感探测器。必要配备火灾报警及消防设施。且灭火器应当尽量放置在走道等明显位置。安全区域出口应设立向疏散方向启动且能自动关闭门。并应保证在任何状况下都能从内打开。其她安全规范机房及其周边地区禁止放置易燃易爆物品。在核心级机房出入口、通道和重要设施处应设立闭路监视系统（CATV）。机房内及其周边地区禁止放置有害、腐蚀性化学物质物品。机房内腐蚀性气体二氧化硫<=0.15mg/l，硫化氢<=0.01mg/l。在易受鼠害场合应采用堵塞等防范办法，同步设立捕鼠设施，电缆和电线上应涂敷驱鼠药剂。

自然灾害防御自然灾害往往难以预料，防御自然灾害最有效手段是在灾害到来前尽早做好准备，在劫难发生时将损失减小到最低。在灾害多发区应建立相应灾害预警机制和劫难恢复机制。雷击防范安全区域可遵循国标GB50057《建筑防雷设计规范》中第三类和第四类防雷建筑物规定采用相应防雷办法。这里列举普通规定：各类防雷建筑物应采用防直击雷和防雷电波侵入办法。装有防雷装置建筑物，在防雷装置与其他设施和建筑物内人员无法隔离状况下，应采用等电位连接。防雷建筑物防直击雷办法，宜采用装设在建筑物上避雷网（带）或避雷针或由这两种混合构成接闪器。避雷网（带）应按有关规定沿屋角屋脊、屋檐和檐角等易受雷击部位敷设。并应在整个屋面构成不不不大于20m×20m或24m×16m网格。每根引下线冲击接地电阻不适当不不大于30Ω，其接地装置宜与电气设备等接地装置共用。防雷接地装置宜与埋地金属管道相连。当不共用、不相连时，两者间在地中距离不应不大于2m。建筑物宜运用钢筋混凝士屋面板、粱、柱和基本钢筋作为接闪器、引下线和接地装置。当土壤电阻率ρ不大于或等于3000Ω·m时，在防雷接地装置同其他接地装置和进出建筑物管道相连状况下，防雷接地装置可不计及接地电阻值。砖烟囱、钢筋混凝土烟囱，宜在烟囱上装设避雷针或避雷环保护。多支避雷针应连接在闭合环上。引下线不应少于两根，但周长不超过25m且高度不超过40m建筑物可只设一根引下线。引下线应沿建筑物四周均匀或对称布置，其间距不应不不大于25m。当仅运用建筑物四周钢柱或柱子钢筋作为引下线时，可按跨度设引下线，但引下线平均间距不应不不大于25m。防止雷电流流经引下线和接地装置时产生高电位对附近金属物或线路反击。在雷电频繁区域，应装设浪涌电压吸取装置。应当安装防雷保安器以防止感应雷对计算机系统破坏。详细防雷保安器有关规范可以参见国标《计算机信息系统防雷保安器》GA173-1998。地震防范在地震多发地区，安全区域应根据国家关于规范采用相应保护办法。水灾防范在水灾易发生地区，安全区域不能位于地表水平面或地表如下位置。台风防范在台风易发生地区，建议建筑物遵循防范台风有关规定。

人员出入安全区域有关管理规范人员身份辨认管理依照《认证管理通用原则》，在所有认证技术手段中只有如下三种状况适合本规范内容：安全区域采用认证手段应遵循下表规定安全级别认证办法重要级区域普通级区域PIN码(顾客所知)+Θ智能卡(顾客所持)ΘΘ生物鉴别(顾客生物体征)--表中符号阐明： -：不规定；＋：规定；Θ：可选所有存储重要信息资产安全区域都至少需要使用门锁进行基本保护。对于重要级区域应至少采用PIN码或智能卡身份辨认方式。生物鉴别技术非方案优选。普通级区域宜采用PIN码或智能卡身份辨认方式。

PIN码使用每隔90天修改口令。明确每个顾客使用PIN码责任。顾客应保守PIN码秘密性，不得将密码告诉任何不有关人。顾客应避免保存PIN码纸面记录或电子记录。顾客应避免将PIN码通过Email、电话等任何电子或纸质方式传播出去。PIN码最短长度不得低于6位。应避免使用与个人关于数据（如生日、身份证字号、单位简称、电话号码、同事名字等）当做PIN码。应避免在不同应用状况下使用同样PIN码。任何时候有迹象表白PIN码也许已经泄漏或受损害时必要及时更换。智能卡有关原则(SmartCard)智能卡是一种安装有集成电路芯片，用于存储和解决数据塑料卡片。智能卡中存有顾客数据信息和密钥，是当前最有效身份认证手段之一。智能卡具备安全性高、防伪性好、可靠性高、信息存储量大及使用简便特点。当前对于智能卡物理特性和技术特性和通讯合同有严格有关原则，但用作身份认证时没有详细使用管理规范。如下列举了某些国际上关于智能卡物理特性、技术特性和通讯合同有关原则，仅供参照：ISO7816——采用最广泛智能卡原则。国内已采用其第一、二、三某些为中华人民共和国原则。此原则重要定义了塑料基片物理和尺寸特性(7816/1)，触点尺寸和位置(7816/2)，信息互换底层合同描述(7816/3)。7816/4阐述了跨行业命令集。EMV——世界重要信用卡联合体Visa，Mastercard和Europay于1996年修订完毕。定义了CPU卡合同、数据和指令。提供了除卡内部保护机制之外附加安全办法。SET——用于电子商务原则，是“安全电子交易”(SecureElectronicTransaction)缩写。此原则由Visa和Mastercard共同制定。当前使用极为广泛，系统向顾客规定卡号和失效日期，然后信息被加密和核算。系统只检查卡有效性，而不判断使用者合法性。顾客生物体征顾客生物体征辨认(BIOMETRICS)是指通过计算机运用人体所固有生理特性或行为特性来进行个人身份辨认和（或）验证目。惯用生物特性涉及：指纹、掌纹、虹膜、脸像等。生物特性辨认是当前正在发展一门新兴技术，还没有成熟原则可参照。指纹辨认计算机系统通过个体指纹生理特性提取、比对、验证，从而达到身份辨认目。当前，指纹鉴定已经被各方所广泛接受成为一种有效身份辨认手段。指纹辨认技术在所有生物特性辨认技术中性能价格比最佳。指纹门禁系统、指纹考勤系统是基于指纹身份鉴别技术最直接应用成果，随着网络化更加普及，指纹辨认应用将更加广泛。虹膜辨认一种新兴生物特性辨认技术，通过对个体虹膜图象提取、图像解决、虹膜特性提取、匹配与辨认等手段达到身份辨认目。它具备唯一性、稳定性、可采集性、非侵犯性等长处。虹膜具备更高精确性。当前，虹膜辨认错误率是各种生物特性辨认中最低。

安全区域出入授权管理外来访问者管理 确认访问者身份记录访问有关信息授予相应访问权限记录离开有关信息并收回相应访问权限举例——重要级区域访问管理办法来访者应由受访者亲自当面确认其身份；应记录访问者访问时间、访问地点和事由；确认身份后向外来访问者发放暂时访问卡；授权获得暂时访问卡外来访问人员必要在规定期间、规定地点，在被授权区域内访问；访问结束后应及时收回暂时访问卡，并记录结束时间。举例——普通级区域访问管理办法来访者应出示有关证件；应记录访问者访问时间、访问地点和事由；对被核准外来访问者发放暂时访问卡；授权获得暂时访问卡外来访问人员应在规定期间、规定地点，在被授权区域内访问；访问结束后应及时收回暂时访问卡，并记录结束时间；

内部员工授权管理内部员工访问控制管理办法应采用分权分级并基于角色和应用相结合授权办法。(这里指内部员工是指在安全区域内工作人员，非该区域内中华人民共和国石油其她部门人员都不属于内部员工概念范畴，而属于外来访问者)通过人事系统中员工状况授予其相应权限和承担责任。以书面方式将员工权限和相应责任提交给员工本人。依照员工权限和责任大小确认与否需要订立有关保密合同。在寻常工作中记录员工安全区域访问日记信息。员工一旦离职或调动岗位应及时收回或调节其访问权限。举例——重要级区域内部员工管理办法：新员工进入公司后有关档案信息进入人事系统，然后依照该员工职权范畴授予相应访问权限；将访问权限写入该员工身份标记卡（如智能卡）后发放给该员工；书面告知该员工相应权利和责任并订立有关保密合同；在寻常使用中记录该员工访问日记，以备日后审核；内部顾客一旦离职或岗位变动应及时收回或调节访问权限，同步收回或更换身份标记。举例——普通级区域内部员工管理办法：新员工进入公司后有关档案信息进入人事系统，然后依照该员工级别给与相应访问权限；可将访问权限写入该员工身份标记卡（如智能卡）后发放给该员工。书面告知该员工相应权利和责任；在寻常使用中记录该员工访问日记，以备日后审核；内部顾客一旦离职或岗位变动应及时收回或调节访问权限，同步收回或更换身份标记。

安全区域有关日记和权限审计管理外部访问人员进出登记簿管理登记簿中记录内容应涉及：访问者姓名、证件号码、访问日期和进出时间；访问者单位、访问事由、携带物品和有关接待人；检测、报警系统报警时间、现场执班人员姓名、到达时间、以及现场其她状况如发生安全事故状况