B.7 物理與環境安全（PE）

B.7 物理與環境安全（PE）

B.7.1　物理與環境安全策略和規程（PE-1）

控制：
組織應：
a） 制定并發布正式的物理和環境安全策略，內容至少應包含：目的、范圍、角色、責任、管理承諾、相關部門間的協調和合規性；
b） 制定并發布正式的物理和環境安全章程，以推動物理和環境保護策略和相關安全控制的實施；
c） 按【賦值：組織定義的時間間隔】，對物理和環境保護策略及規程進行評審和更新。
補充指導：
a) 物理和環境保護策略和章程應與適用的法律、法規、政策及標準等相一致。物理和環境保護策略可以包含在組織的通用信息安全策略中，需要時，可針對特殊ICS予以開發。

B.7.2　物理訪問授權（PE-2）

控制：
組織應：
a) 制定并維護對ICS具有訪問權限的人員名單；
b) 按【賦值：組織定義的時間間隔】對授權人員進行評審和批準；
c) 根據職位、角色對ICS實施進行物理訪問授權。
補充指導：
a） 授權證書包括標記卡和智能卡等；
b） 組織應及時從訪問列表中清除那些不再訪問ICS的人員。

B.7.3　物理訪問控制（PE-3）

控制：
組織應：
a) 加強對ICS實施所在出入口的物理訪問控制；
b) 在指定出入口采用圍墻、門禁、門衛等物理訪問控制措施，具有物理訪問授權不代表對該區域ICS組件有邏輯訪問權；
c) 在訪問ICS設施前對人員的訪問權限進行驗證；
d) 維護物理訪問記錄；
e) 制定公共訪問區訪問控制策略；
f) 在需要對訪客進行陪同和監視的環境下對訪問者的行為進行陪同和監視。
補充指導：
a） 組織應使用物理訪問設備（如，密碼鎖、讀卡機）或配備門衛等方式控制人員訪問ICS設施；
b） 組織應使用規則保護密碼鎖和其它訪問控制設施；
c） 組織應按【賦值：組織定義的時間間隔】更換訪問控制設備的口令，在密碼泄露和人員調動或離職時更換訪問控制設備的口令；
d） 置于公共區域內的ICS外圍設備應控制該區域的訪問。
e） 相關安全控制：PE-2、PE-4、PS-3。
控制增強：
a) 組織應控制對ICS的物理訪問，這些控制應獨立于對設施的物理訪問控制；
b) 應對較容易進入且擁有可移動介質驅動器的計算機采取帶鎖、卸載或禁用等手段提高安全性；
c) 應將服務器放置在帶鎖的區域并采用認證保護機制；

B.7.4　傳輸介質的訪問控制（PE-4）

控制：
a) 組織應采用安全防護措施對ICS設施內的傳輸線路進行物理訪問控制。
補充指導：
a) 對ICS實施傳輸線路的保護有助于防止對意外損壞、中斷和物理篡改；
b) 物理安全措施有助于防止未加密的傳輸信息的竊聽和篡改。
c) 相關安全控制：MP-2、MP-4、PE-2、PE-3。

B.7.5　輸出設備的訪問控制（PE-5）

控制：
a) 組織應控制對ICS輸出設備的物理訪問，防止未授權人員獲取輸出信息。
補充指導：
a) ICS輸出設備，包括：監視器、打印機以及其他視聽設備等；
b) 輸出設備的訪問控制包括，放置在鎖定的房間內、放置在安全領域，對輸出設備進行授權訪問，監控人員使用。
c) 相關安全控制： PE-2、PE-3、PE-4。
控制增強：
a) 控制對輸出設備的物理訪問；
b) 確保只有授權人員收到來自設備的輸出；

B.7.6　物理訪問監控（PE-6）

控制：
a) 組織應監控對ICS的物理訪問，以監測并響應物理安全事件。
補充指導：
a） 組織應按【賦值：組織定義的時間間隔】審查物理訪問日志，調查明顯的安全侵害或可疑的物理訪問行為；
b） 組織應對檢測出的物理安全事件做出響應。
c） 相關安全控制：CA-7、IR-4。
控制增強：
a) 組織應設置防盜報警系統，識別潛在入侵、實時入侵報警并發起適當的響應行為；
b) 組織應采用自動化設備識別入侵，并實施自動響應動作；

B.7.7　訪問日志（PE-7）

控制：
a) 組織應保存ICS訪問日志；
b) 組織應指派人員按【賦值：組織定義的時間間隔】期審查訪問日志。
補充指導：
a) 訪問日志應包括：來訪人員的名字、所屬組織、訪客簽名、訪問目的、鑒別形式、訪問的ICS及部件、進入和離開的時間、陪同監視人名字；
b) 公共區域的訪問不記錄在ICS訪問日志內。
控制增強：
a） 組織使用自動化的機制促進訪問日志的維護和回顧；

B.7.8　電力設備與電纜（PE-8）

控制：
a) 組織應保護ICS的電力設備和電纜，免遭破壞和損壞；
b) 組織應依據安全需求和風險，采用禁用或對電源進行物理保護的手段來防止系統的非授權的使用。
補充指導：無
a) 組織應確定在不同地點的電力設備和電纜的保護需求。
b) 相關安全控制：PE-4。
控制增強：
a） 組織使用冗余的電力設備和電纜；

B.7.9　緊急停機（PE-9）

控制：
組織應：
a） 確保在緊急情況下能夠切斷ICS電源或個別組件電源；
b） 在【賦值：組織定義的工業控制系統或系統部件位置】設置安全易用的緊急斷電開關或設備；
c） 保護緊急斷電能力以防止非授權操作。
補充指導：無

B.7.10　應急電源（PE-10）

控制：
組織應：
a) 為ICS配備應急UPS電源，并計算其續航時間；
b) 提供短期不間斷電源，以便在主電源失效的情況下正常關閉ICS；
c) 提供長期備份電源，以便主電源失效時在規定時間內保持ICS功能。
補充指導：
a) 相關安全控制：AT-3、CP-2。
控制增強：
a） 組織應為ICS提供備用電力供應系統，ICS能夠在主電源長期喪失的事故中有能力維持ICS所必須的最小的運行能力。

B.7.11　應急照明（PE-11）

控制：
組織應：
a) 為ICS部署應急照明并進行維護，并確保其在斷電情況下的可用性；
b) 在急照明設施中包含緊急通道和疏散通道指示牌。
補充指導：無
a) 相關安全控制：CP-2、CP-7。

B.7.12　消防(PE-12）

控制：
組織應：
a) 為ICS部署火災檢測和消防系統或設備，并維護該設備；
b) 為消防系統或設備配備獨立電源。
補充指導：
a) 防火滅火設備或系統包括但不限于灑水系統、手動滅火器、固定滅火水龍帶和冒煙檢測設備。
控制增強：
a） 使用防火設備或系統，該設備或系統在火災事故中會自動激活并通知組織和緊急事件處理人員；
b） 使用滅火設備或系統，該設備或系統為組織和緊急事件處理人員提供任何激活操作的自動通知；
c） 使用自動滅火系統；

B.7.13　溫濕度控制（PE-13）

控制：
組織應：
a) 維護ICS所在設施的溫濕度，使其處于可接受的范圍；
b) 按【賦值：組織定義的時間間隔】監視溫濕度。
補充指導：無
控制增強：

B.7.14　防水（PE-14）

控制：
a) 組織應提供易用、工作正常的、關鍵人員知曉的總閥門或隔離閥門以保護ICS免受漏水事故的損害。
b) ICS組件集中部署的區域，如主機房、通信設備機房等水管安裝不得穿過機房屋頂和活動地板下，防止雨水通過機房窗戶、屋頂和墻壁滲透。
補充指導：無
控制增強：

B.7.15　交付和移除（PE-15）

控制：
a) 組織應對【賦值：組織定義的工業控制系統部件類型】進行授權、監視、控制，并維護相關記錄。
補充指導：
a) 組織應控制交付和移除區域，如果可能，設置獨立區域，以防止未授權訪問。
b) 相關安全控制：CM-3、MA-2。

B.7.16　備用工作場所(PE-16)

控制：
組織應:
a) 在備用工作場所，使用【賦值：組織定義的管理、運行和技術上的工業控制系統安全控制】；
b) 評估備用工作場所安全控制措施的可行性和有效性；
c) 提供安全事件發生時與信息安全人員溝通的渠道。
補充指導：無

B.7.17　防雷（PE-17）

控制：
a) 組織應在放置ICS的設施內應設置避雷裝置，系統和組件集中部署區域，如主機房、通信設備機房等應滿足機房相關安全標準。
補充指導：無

B.7.18　電磁防護（PE-18）

控制：
a) ICS應滿足電磁防護要求，防止外界電磁干擾和設備寄生耦合干擾；電源線和通信線纜應隔離，避免互相干擾。
補充指導：無

B.7.19　信息泄露（PE-19）

控制：
a) 組織應保護ICS使其免遭電磁信號輻射造成的信息泄露。
補充指導：無

B.7.20　人員和設備追蹤（PE-20）

控制：
a) 組織應采用資產定位技術來追蹤并監視控制區域內的人員活動和設備位置，以確保它們處于被允許的區域，識別需要輔助的人員，并支持應急響應。
補充指導：無
控制增強：