11.2 設備

11.2 設備

11.2.1設備安置和保護

控制
宜安置或保護設備，以減少由環境威脅和危險所造成的各種風險以及未授權訪問的機會。
實現指南
為保護設備，宜考慮下列指南：
a) 設備宜進行適當安置，以盡量減少不必要的對工作區域的訪問；
b) 宜謹慎放置處理敏感數據的信息處理設施，以減少其在使用期間信息被未授權人員窺視的風險；
c) 宜保護存儲設施以防止未授權訪問；
d) 宜保證那些需要特別保護的部件是安全的，以降低所要求的總體保護等級；
e) 宜采取控制以最小化潛在的物理和環境威脅的風險，例如偷竊、火災、爆炸、煙霧、水（或供水故障）、塵埃、振動、化學影響、電源干擾、通信干擾、電磁輻射和故意破壞；
f) 宜建立在信息處理設施附近飲食和吸煙的規定；
g) 宜監視可能對信息處理設施運行狀態產生負面影響的環境條件（例如溫度和濕度）；
h) 所有建筑物都宜采用避雷保護，所有接入的電源和通信線路都宜裝配雷電保護過濾器；
i) 對于工業環境中的設備，宜考慮使用專門的保護方法，例如鍵盤保護膜；

11.2.2支持性設施

控制
宜保護設備使其免于由支持性設施的失效而引起的電源故障和其他中斷。
實現指南
支持性設施（如電力、電信、供水、燃氣、排污、通風和空調）宜：
a) 符合設備制造商規范及本地相關法律要求；
b) 定期評估其能力以滿足業務增長的需要并保持與其他支持設施的交互；
c) 定期檢查和測試確保其功能正常；
d) 如需要，報警以檢測故障；
e) 如需要，使用多種物理途徑進行多路供給。
宜提供應急照明和應急通信。關閉電源、供水、供氣和其他設施的應急開關和閥門宜位于應急出口或設備室附近。
其他信息

11.2.3布纜安全

控制
宜保證傳輸數據或支持信息服務的電源布纜和通信布纜免受竊聽、干擾或損壞。
實現指南
對于布纜安全，宜考慮下列指南：
a) 進入信息處理設施的電源和通信線路宜在地下，若可能，或提供足夠的可替換的保護；
b) 為了防止干擾，電源電纜宜與通信電纜分開；
c) 對于敏感的或關鍵的系統，宜考慮更進一步的控制：
1) 在檢查點和終接點處安裝鎧裝電纜管道和上鎖的房間或盒子；
2) 使用電磁屏蔽裝置保護電纜；
3) 對于電纜連接的未授權裝置宜主動實現技術清除和物理檢查；

11.2.4設備維護

控制
設備宜予以正確地維護，以確保其持續的可用性和完整性。
實現指南
對于設備維護，宜考慮下列指南：
a) 宜按照供應商推薦的服務時間間隔和規范對設備進行維護；
b) 只有已授權的維護人員才可對設備進行修理和服務；
c) 宜保存所有可疑的或實際的故障的記錄，以及所有預防性和糾正性維護記錄；
d) 當對設備安排維護時，宜實現適當的控制，并考慮到是現場維護還是送出維護；當必要時，保密信息宜從設備中刪除或者維護人員宜是足夠可靠的；
e) 宜遵守保險策略中規定的所有維護要求；

11.2.5資產的移動

控制
設備、信息或軟件在授權之前不宜帶出組織場所。
實現指南
宜考慮下列指南：
a) 宜對授權允許將資產帶出辦公場所的員工和外部用戶進行標識；
b) 宜設置資產帶出的時間限制，并在返還時進行符合性驗證；
c) 若必要并適合，宜對資產的和返還進行記錄；
d) 任何處理或使用資產的人員的身份、角色和隸屬關系宜形成文件，并隨設備、信息或軟件一同返回。
其他信息

11.2.6組織場所外的設備與資產安全

控制
宜對組織場所外的資產采取安全措施，要考慮工作在組織場所外的不同風險。
實現指南
在組織場所外使用信息存儲和處理設備宜得到管理者的授權。這適用于組織擁有的設備，和為了組織利益使用的私人設備。
對于離開場所的設備的保護，宜考慮下列指南：
a) 離開場所的設備和介質在公共場所不宜無人看管；
b) 宜始終遵守制造商的設備保護說明，例如，防止暴露于強電磁場內；
c) 組織場所外工作位置如家庭工作、遠程辦公和臨時工作地點的控制宜根據風險評估確定，當適合時，宜應用合適的控制，例如，可上鎖的存檔柜、清理桌面策略、對計算機的訪問控制以及與辦公室的安全通信（參見ISO/IEC 27033[15][16][17][18][19]）；
d) 當組織場所外的設備在不同個體或外部方之間傳遞時，宜維護設備的一系列保管記錄，該記錄宜至少包括設備負責人的姓名和所屬組織。
諸如損壞、被盜和竊聽等風險在一些場所之間可能不同，宜在確定最合適的控制予以考慮。
其他信息
用于家庭工作或從常規工作地點帶走的信息存儲和處理設備包括所有形式的個人計算機、管理設備、移動電話、智能卡、紙張或其他形式的設備。
有關保護移動設備其他方面的更多信息可見6.2.

11.2.7設備的安全處置或再利用

控制
包含儲存介質的設備的所有部分宜進行核查，以確保在處置或再利用之前，任何敏感信息和注冊軟件已被刪除或安全的重寫。
實現指南
在設備處置或再利用前，宜驗證其是否包含存儲介質。
包含保密或版權信息的存儲介質宜進行物理銷毀，或者采用使原始信息不可獲取的技術進行破壞、刪除或寫覆蓋，而不能采用一般的刪除或格式化功能。
其他信息
包含存儲介質且已損壞的設備可能需要進行風險評估，以確定這些設備是否要物理銷毀、而不是送去修理或丟棄。設備的草率處置或再利用可能導致信息泄露。
當設備予以處置或重新調配時，除了安全的磁盤擦除，全盤加密可以減少保密信息泄露的風險，如果：
a) 加密過程足夠強壯并覆蓋整個磁盤（包括剩余空間、交換文件等）；
b) 加密密鑰足夠長能抵御暴力破解攻擊；
c) 加密密鑰自身的機密性能夠得到保障（如用于加密磁盤的密鑰從不存儲在被加密保護的磁盤中）。
關于加密的更多建議見第10章。

11.2.8無人值守的用戶設備

控制
用戶宜確保無人值守的用戶設備有適當的保護。
實現指南
所有用戶宜了解保護無人值守的設備的安全要求和規程，以及他們對實現這種保護所負有的責任。建議用戶宜：
a) 結束時終止活動的會話，除非采用一種合適的鎖定機制保證其安全，例如，口令保護的屏幕保
全機制；
b) 不再需要時退出應用程序或網絡服務；

11.2.9清理桌面和屏幕策略

控制
宜針對紙質和可移動存儲介質，采取清理桌面策略；宜針對信息處理設施，采用清理屏幕策略。
實現指南
清理桌面和清理屏幕策略宜考慮信息分級（見8.2）、法律和合同要求（見18.1）、相應的風險和組織的文化方面。宜考慮下列指南：
a) 當不需要諸如紙質上的或電子存儲介質上的敏感或關鍵業務信息時，特別是辦公室無人時，宜將其鎖起來（理想情況下，在保險柜或保險箱或者其他形式的安全設備中）；
b) 當無人值守時，計算機和終端宜退出登錄，或使用由口令、令牌或類似的用戶鑒別機制控制的屏幕和鍵盤鎖定機制進行保護；當不使用時，宜使用帶鑰匙的鎖、口令或其他控制進行保護；
c) 宜防止復印機或其他復制技術（例如掃描儀、數字照相機）的未授權使用；
d) 包含敏感或涉密信息的介質宜立即從打印機中取走。
其他信息
清理桌面/清理屏幕策略降低了正常工作期間和工作之外未授權訪問、丟失、破壞信息的風險。保險箱或其他形式的安全存儲設施還可保護存儲于其中的信息免受如火災、地震、洪水或爆炸等災難的影響。