等保2.0物理安全环境建设规范与技术要点详解

依据标准：《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）中对物理环境安全（8.1）的控制项要求。

核心目标：通过建立完善的物理安全控制措施，保障信息系统所在的物理环境免受自然灾害、人为破坏、未授权访问及环境事故的威胁，确保信息系统基础运行环境的稳定与安全。

01物理位置选择（对应标准条款：8.1.1.1）

控制要求：

机房场地应选择在具备防震、防风和防雨等自然灾害防护能力的建筑物内。
应避免将机房设置在建筑物的顶层或地下室。如确需设置于此类位置，须强化防水与防潮控制措施。

实施要点：

场地评估：核查建筑物设计/验收文件，明确其抗震设防等级、防风结构及防水性能是否符合要求。实地勘察屋顶、墙体、门窗及地面，确认无破损、开裂或雨水渗漏痕迹。

窗户管控：机房内不宜设置窗户。如存在窗户，必须实施永久性封闭（如砌墙）或采取可靠物理加固（如安装防护栅栏、防爆玻璃）并加装锁具。

特殊位置管理：如机房位于顶层（示例：北京市房山区某医院内科住院楼B1层），应部署额外防水措施（如增设高效排水槽、防水层加固）及加强型除湿设备（如大功率除湿机、防结露空调）。

符合性证据示例：

建筑物抗震设防审批或验收合格文件。
机房场地验收报告（含防水、防风评估）。
现场勘察记录（无渗漏痕迹、窗户已封闭/加固上锁、无结构裂缝）。
顶层/地下室机房专项防水防潮方案及实施记录（如引水槽设计图纸、防水施工报告）。

不执行后果：

建筑物结构缺陷可能导致机房坍塌（如地震时）。
顶层机房未做防水将造成设备水浸损坏（实例：2022年某银行地下室机房暴雨渗水致核心存储报废）。
地下室潮湿环境引发设备短路（主板腐蚀率提高300%）。

02物理访问控制（对应标准条款：8.1.1.2）

控制要求：

机房出入口应配置电子门禁系统，对进入人员进行身份鉴别、访问控制及操作行为记录。

实施要点：

门禁系统配置：在机房所有授权出入口（示例：机房共3个出入口）安装并启用电子门禁系统（如刷卡、生物识别）。

功能完整性：门禁系统需具备

身份鉴别：有效验证进入者身份标识（卡、指纹等）。

访问控制：基于预设权限策略控制准入。

审计追溯：自动、准确记录进入人员的身份信息（姓名、编号）、时间点及对应门禁点。

访问区域管理： 机房内部关键区域（如核心设备区、配电室）宜实施进一步的分级门禁控制。

符合性证据示例：

电子门禁系统设备清单及技术参数说明。
门禁系统运行状态记录（定期维护、功能测试报告）。
门禁系统日志记录（含人员ID、时间戳、出入点信息），审计报告。
机房区域划分图及门禁权限分配表。

不执行后果

未配置分级门禁的核心设备区遭恶意物理入侵（实例：外包人员窃取某运营商核心交换机配置板卡，损失￥120万）。
门禁审计功能失效，无法追溯违规携带U盘植入设备的操作人员（案例：2024年某医院HIS系统遭USB病毒攻击，数据被勒索加密）。

03防盗窃和防破坏（对应标准条款：8.1.1.3）

控制要求：

固定设备或主要部件并设置明显不易去除的标识。
将通信线缆铺设在隐蔽安全处。
设置防盗报警系统或设有专人值守的视频监控系统。

实施要点：

设备固定与标识：

所有关键设备（服务器、网络设备、存储等）及核心组件（如电源、硬盘模组）必须通过机柜托盘、导轨、螺栓等方式牢固固定于机架内。
每台设备/主要部件粘贴或刻蚀包含唯一性信息（设备名称、资产编号、启用日期）的耐久性标签。标签需采用难以完整撕除或破坏的材料（如韧性标签、金属铭牌）。

线缆安全敷设：

所有通信线缆（网线、光纤等）必须敷设于封闭式线槽、桥架或地板下通道内，确保物理隐蔽与防护，避免踩踏、拉扯或意外损伤。

防盗监控：

方案一：部署覆盖机房全域无死角的防盗报警系统（如红外/微波探测器、震动传感器、门磁），并确保报警联动有效。
方案二：安装高清视频监控系统（覆盖所有设备区、出入口、通道），录像保存期≥90天，并安排专职安保人员在监控室实时值守（示例：现有机房部署了无死角视频监控，但无专人值守，此为待改进项）。

最佳实践：

结合报警系统与专人值守视频监控。

符合性证据示例：

设备固定方式照片/说明文档。
设备资产标签样式及粘贴规范。
线缆敷设方案图纸及现场照片（线槽/桥架应用）。
防盗报警系统或视频监控系统的设备清单、运行状态、巡检/维护记录。
视频监控录像保存策略及日志。
(若有)专人值守排班表及工作日志。

不执行后果：

未固定的设备遭搬运倾倒，导致硬盘阵列RAID崩溃（案例：某高校机房保洁误碰未锁机柜，32盘位存储损毁）。
裸露线缆被鼠类咬断（某物流仓库因光纤中断致全国分拣系统停摆14小时）。

04防雷击（对应标准条款：8.1.1.4）

控制要求：

将机柜、设施和设备等通过接地系统安全接地。
采取防感应雷措施（如设置防雷保安器SPD、过电压保护装置）。

实施要点：

基础接地： 所有金属机柜、机架、设备外壳、线槽桥架、空调金属外壳等均需通过截面积达标（≥6mm²）的黄绿双色接地导线，接入建筑物共用接地系统（接地电阻≤1Ω）。

感应雷防护：

在机房配电系统各级（总进线、UPS输入/输出、列头柜、机柜PDU）安装适配的浪涌保护器（SPD）。
重要信号线路（网络、电话、监控等）入机房处安装信号浪涌保护器。
验收与检测：所有防雷接地工程及SPD设备需通过专业机构检测认证，符合GB 50057等相关标准要求。

符合性证据示例：

机房接地系统拓扑图、施工记录及接地电阻测试报告（需≤1Ω）。
浪涌保护器（SPD）安装位置清单、型号参数及国家防雷检测机构颁发的技术检测/验收合格报告。
SPD巡检维护记录。
示例中提及UPS具备浪涌防护功能，需提供UPS的技术规格书或检测报告证明其SPD符合标准。

不执行后果：

未安装SPD的机柜PDU遭雷击感应过电压，整列服务器主板击穿（实例：2023年华南某IDC机房雷暴损失￥350万）。
接地电阻＞4Ω时，设备静电累积引发网卡端口批量损坏（某电商机房年故障率高达37%）。

05防火（对应标准条款：8.1.1.5）

控制要求：

设置火灾自动消防系统（自动检测、报警、灭火）。
采用耐火等级建筑材料。
区域划分管理并设置防火隔离措施。

实施要点：

自动消防系统：

安装符合规范的火灾自动报警系统（FAS），探测器（烟感、温感）覆盖所有区域。
部署自动灭火系统（气体灭火如IG541、七氟丙烷；或高压细水雾等）。系统应能自动触发灭火剂释放。（示例：采用柜式七氟丙烷灭火装置）。
系统需定期维保、检测，确保功能正常。维保周期应符合规范及厂家建议（示例：每三个月检修）。

耐火建筑材料：

机房墙体、隔断、吊顶、门等结构材料应使用不低于相关规范（如GB 50016, GB 50222）规定耐火极限的A级不燃材料（如防火石膏板、轻钢龙骨、防火玻璃、防火涂料处理的钢结构）。禁用木材等易燃材料。

防火分区与隔离：

对机房进行功能区域划分（如主机房区、配电区、存储区、监控区、缓冲区）。
区域之间必须设置符合耐火极限要求的防火隔断（如实体防火墙、甲级防火门/防火玻璃隔断）。（示例：明确提到“机房未划分专门区域”，此为不符合项）。

符合性证据示例：

火灾自动报警系统（FAS）及自动灭火系统设计文件、验收报告、国家消防检测机构检测合格证明。
消防系统定期维护、检测报告（包括钢瓶压力、控制系统功能测试等）。
建筑材料清单及对应的防火等级证明材料（检验报告、合格证书）。
机房建筑平面图，标明防火分区及防火隔断位置、材质、耐火极限。
防火门/防火窗型式认可证书及检验报告。

不执行后果：

防火分区未隔离，配电柜电弧起火蔓延至主机房（案例：某银行机房蓄电池短路致全区域设备烧毁）。
气体灭火系统未维保，钢瓶压力不足失效（某社保机房UPS火灾未触发灭火，灾后数据恢复成本￥210万）。

06防水和防潮（对应标准条款：8.1.1.6）

控制要求：

防止雨水通过窗户、屋顶、墙壁渗透。
防止水蒸气结露和地下积水转移渗透。
安装对水敏感的检测仪表或元件（漏水检测系统）进行监测报警。

实施要点：

防外部渗透：

确保屋顶、外墙、窗体连接部位的防水层完整有效。机房内无窗户最优（示例机房无窗）。若有窗，窗台下端及窗框四周需重点加强密封防水处理。
（顶层机房）加强屋面排水（如增加排水沟槽）。

防内部结露与渗漏：

部署带精密控湿功能的专用机房空调（高显热比空调），严格控制环境湿度（推荐：35% - 55%）在设备允许范围，消除结露风险。
安装主动式漏水检测系统（如感应线缆式或点式传感），覆盖机房地面（特别是精密空调下方、水管接头、窗户下方、屋顶接缝处等高风险点）。
漏水检测系统需与监控平台联动，实现实时报警（声光、短信/邮件通知）。(示例：部署了该系统)。
排水设施：在精密空调附近设置有效的地面排水槽（有组织排水）。

符合性证据示例：

屋顶/外墙/窗体防水施工方案及验收报告。
精密空调设备参数（显示具备湿度精确控制能力）及运行记录（显示湿度维持状态，如当前湿度52%）。
漏水检测系统部署图、设备清单、安装说明、测试报告及报警记录。
现场照片（引水槽、空调排水管、无渗漏墙体、漏水检测绳位置）。

不执行后果：

屋顶漏水滴入精密空调风机，导致机房湿度骤升至85%（某机场调度系统因服务器大面积短路停运）。
未部署漏水检测的地下机房，水管爆裂12小时后才被发现（案例：2022年某石化企业DCS控制系统全军覆没）。

07防静电（对应标准条款：8.1.1.7）

控制要求：

采用防静电地板或地面并采用必要的接地防静电措施。
采取防静电措施（如静电消除器、防静电手环）。

实施要点：

防静电地面：

全机房铺设防静电架空活动地板（或防静电地坪）。
防静电地板支撑脚架需通过编织铜带或扁铜带可靠接入地网（静电接地电阻值需符合相关规范）。

静电泄放：

在主要设备操作区域（机柜前）配备可移动式离子风机或固定工位安装离子风棒。
为接触设备硬件（插拔板卡、硬盘、内存等）的工作人员配备并强制使用防静电手环（腕带），腕带插头须接入设备机柜或专用接地端子。（示例：配备了防静电手环）。

环境控制： 精密空调维持适宜湿度（40%-60%RH）亦是重要防静电手段。

符合性证据示例：

防静电地板采购/安装/验收文件（含接地施工图、测试报告）。
防静电接地电阻测试记录。
静电消除器（离子风机）及防静电手环配置清单、使用管理规定。
温湿度监控记录（湿度维持在要求范围）。

不执行后果：

未接地防静电地板操作内存时，CMOS芯片被击穿（某实验室年损毁内存条83条）。
湿度＜30%时设备表面静电电压＞8KV，引发网络设备误报警（某证券交易系统单日异常重启9次）。

08温湿度控制（对应标准条款：8.1.1.8）

控制要求：

设置温湿度自动调节设施，使机房温湿度变化在设备运行允许范围内。

实施要点：

专用空调： 必须部署N+1冗余配置的机房精密空调系统（非普通舒适性空调）。具备精确的温度（±1℃精度）和相对湿度（±5%精度）控制能力。

温湿度范围： 维持机房温度在22℃ ±2℃（冬季）或24℃±2℃（夏季），相对湿度保持在40% - 60%RH范围。部分精密设备可能要求更窄范围。

实时监测： 安装独立于空调控制系统的温湿度传感器网络，将监测数据实时上传至动环监控平台，设定阈值告警（如温度>26℃、湿度<30%或>70%)。(示例：当前温度23.4℃，湿度52%符合要求)。

符合性证据示例：

精密空调选型依据、设计文件、验收报告、维保合同/记录。
（独立的）机房温湿度传感器部署点图。
动环监控平台温湿度历史趋势图、告警记录（体现维持良好状态）。
设备制造商对环境温湿度的要求文档（如有特殊要求）。

执行后果：

单台空调故障无冗余，机房温度飚升至42℃致CPU熔毁（案例：2024年某视频平台CDN节点批量宕机）。
湿度＞70%引发光模块透镜霉变（某省级骨干网年更换光模块成本增加￥65万）。

09电力供应（对应标准条款：8.1.1.9）

控制要求：

供电线路上配置稳压器和过电压防护设备。
提供短期备用电力供应（如UPS），满足设备断电后正常运行要求。
设置冗余或并行的电力电缆线路。

实施要点：

稳压与浪涌防护：

在市电输入总配电柜及UPS输入/输出端安装高性能参数稳压器或AVR功能模块。
各级配电柜内安装符合要求的浪涌保护器（SPD）进行多级防护。

不间断电源（UPS）：

部署具有足够容量（考虑负载量、功率因数和冗余度）和后备时间（≥15分钟关键业务，建议≥30分钟）的在线式UPS系统（示例：满载支持30分钟）。
建立规范的UPS维护制度（电池状态检测、充放电测试、主机参数校准等）。

冗余供电：

实现双路市电输入（不同变电站或来自同一变电站的不同母线段）。
核心设备采用双路或多路UPS输出，通过ATS或STS实现自动切换（示例：双路市电已接入）。

符合性证据示例：

供配电系统图（标明稳压器、SPD、UPS位置）。
市电双路接入证明（供电协议等）。
UPS系统选型及容量计算书、验收报告、维保记录（含电池放电测试报告、充放电记录）。
运维手册中对UPS后备时间的要求及实际测得后备时间记录。
（关键设备）冗余供电实施方案说明及测试切换记录。

执行后果：

UPS电池未做放电测试，实际后备时间仅3分钟（案例：某医保平台断电致13省业务中断，数据回退8小时）。
强电与弱电混布线槽，浪涌电流串扰致防火墙误重启（实例：某政务外网单日丢包率超90%）。

10电磁防护（对应标准条款：8.1.1.10）

控制要求：

电源线和通信线缆应隔离铺设。
对关键设备实施电磁屏蔽。

实施要点：

布线隔离：

电源电缆（强电线缆）与所有通信线缆（弱电线缆：网线、光纤、同轴电缆、控制线等）必须严格物理隔离。

推荐方案：

分别敷设于不同金属线槽/桥架中。若同槽敷设，必须设置牢固的金属隔离挡板（如使用分层桥架，强电走底层，弱电走上层）。
两种线缆在空间中交叉时，应尽量以接近90度相交，最小间距>30cm。

关键设备屏蔽：

对于处理高度敏感信息（如密码设备、国家机密信息）的核心设备（如核心数据库服务器、密码机、涉密存储阵列），应将其放置在具有电磁屏蔽功能的屏蔽机柜或建设专用的电磁屏蔽机房内。
屏蔽机柜/机房需通过国家认可的检测机构测试，确认其屏蔽效能符合相关标准（如GB/T 12190）要求。（示例：提及需要落实此要求）。

符合性证据示例：

机房综合布线设计图纸（清晰标明强电、弱电线缆路由、线槽/桥架类型及隔离方式）。
现场照片（显示电源与通信线缆在桥架中被有效隔离）。
（如有）关键设备清单及电磁屏蔽需求评估报告。
电磁屏蔽机柜/机房的设计文件、施工记录及第三方权威机构出具的屏蔽效能检测合格报告。

不执行后果：

非屏蔽机柜旁使用大功率变频空调，数据库丢包率激增（某期货交易系统每秒丢单21笔）。
强电线缆与光缆平行敷设＜15cm，导致千兆链路降速至百兆（案例：某智能制造工厂MES系统响应延迟＞5s）。

物理环境安全作为信息系统安全的第一道防线，是实现等保2.0合规性不可或缺的基础。通过对机房物理位置的科学选址、严格的出入控制、多重防护措施（防盗窃/破坏、雷击、火灾、水患、静电、电磁干扰）以及保障电力稳定与环境适宜，可最大限度地降低物理层面对信息系统造成的风险隐患。在实施过程中，务必注意：

标准对照：所有措施需严格对应GB/T 22239-2019标准相关条款。

建设合规：设计、施工、选型符合国家及行业相关建设规范（如GB 50174）。

证据留存：完整保存设计文档、采购记录、施工/验收报告、检测证明（消防、防雷、屏蔽等）、系统运行维护记录等所有符合性证据。

持续改进：对目前存在的不足（如视频监控无专人值守、未划分防火分区、关键设备电磁屏蔽待实施）应制定明确的整改计划和时间表。

综合防御：物理安全各项措施相辅相成，需系统性地规划与实施，并定期组织整体性演练与评估。

新增不执行后果：

非屏蔽机柜旁使用大功率变频空调，数据库丢包率激增（某期货交易系统每秒丢单21笔）。
强电线缆与光缆平行敷设＜15cm，导致千兆链路降速至百兆（案例：某智能制造工厂MES系统响应延迟＞5s）。

以上总结目的是为全面构建和评估符合等保2.0要求的物理安全环境提供详细的技术指导与合规依据。

来源互联网，本文不代表等保测评机构意见建议。