16、本地环境管理

一、本地环境安全

本地环境：在网络安全环境中，本地环境是一个物理上独特的、独立的区域，可能是一个办公空间、建筑物或建筑群。本地环境可能具有特有的物理安全、人员安全和信息安全的需求，这些需求不同于企业的部分需求。

制定本地环境的政策时，需要考虑以下因素：
- 大多数组织都有许多不通的最终用户环境。这些最终用户环境通常跨越不同的物理位置，并且包括使用各种技术处理的个人。
- 最终用户在不通环境中的知识、行为和活动存在显著差异。
- 最终用户使用各种公司配给的和个人拥有的设备。
- 最终用户有时会模糊工作和个人计算之间的界限。
- 最终用户通常希望配置自己的用户环境并安装个人软件。
解决本地环境中安全问题的任何方法都必须重视企业目标，增加的功能和实用性以及最终用户控制其环境的能力。

1.1 本地环境总则

信息安全良好实践标准建议，对于每个不同的本地环境，负责人的安全官或小组应制定安全总则。该总则的关键要素包括：
- 个人：每个本地环境应该有一名或多名具有特定信息安全职责的工作人员。该总则应详细说明本地用户类型，包括其应用户程序和数据使用情况、安全意识培训级别、安全全身心啊、是否使用移动设备以及使用何种类型的移动设备。
- 业务流程和信息：这包括使用的信息类型以及是否可以访问任何敏感信息。总则应包括涉及用户信息访问的业务流程描述，以及任何外部供应商的描述。
- 技术用途：这包括使用的应用程序和IT设备。
- 位置：总则应提供容纳用户和设备的位置的说明。总则应知名公共或不属于该组织的其他人可以访问本地的程度、是否与其他组织共享物理空间，以及任何特定的环境灾害。

1.2 本地安全协调

企业必须实施双管齐下的策略，即确保在本地环境中实施企业范围的信息安全政策，以及确保信息安全政策适应本地总则。

1.2.1 信息安全协调员

信息安全协调员负责在本地环境中开发和维护信息安全，并与组织的安全主管和管理者进行协调。

1.2.2 信息保护优胜者

COBIT-5建议设置信息保护优胜者，可以促进整个组织的安全文化建设。

二、物理安全

对于信息系统，物理安全的作用是保护支持信息存储和处理的物理资产。物理安全涉及两个互补要求：首先，物理安全必须防止对维持信息系统的物理基础设施造成损害。其次，物理安全必须防止物理基础设施滥用，因为这会导致滥用或损坏受保护的信息。

2.1 物理安全威胁

物理安全威胁包含的问题对于不同的地点和组织是不同的。物理安全威胁可以分为以下几类：
- 环境威胁：环境威胁是由设施物理环境中的自然灾害或人为灾害引起的威胁；
- 技术威胁：对物理安全的两个主要威胁涉及电力和电磁辐射。
- 人为威胁：人为或诱发的威胁比环境威胁和技术威胁更难以处理，难以预测。更糟糕的是，人为威胁时为克服预防措施和寻找最薄弱攻击点而专门设计的。

2.2 物理安全官

物理安全官（Physical Secrurity Officer，PSO）负责整个组织物理安全控制的整体实施和管理，包括与适用的信息安全控制的集成。随着信息安全计划的制定，高级企业官员应努力确保这种互补控制的协调。每个本地环境还应指派一名具有本地PSO职责的员工，以协调并向企业PSO报告。

2.3 深度防御

深度（纵深）防御：是一种策略，它涉及构建一个具有分层、互补的安全机制和对策的系统安全体系结构，以便在一个安全机制失效时，另外的一个或多个其他机制（位于第一个机制之后或之下）仍然提供保护功能。

深度防御也适用于物理安全。

2.5 物理安全控制

NIST SP 800-53提供了物理和环境安全控制的详细列表。

2.5.1 控制基线

NIST SP 800-53提供了一组推荐的最小安全控制，称为控制基线，定义用户低、中、高影响的系统。FIPS 199定义了这些类别：
- 低等：预计会对组织运营、组织资产或个人造成有限的负面影响；
- 中等：预计会对组织运营、组织资产或个人造成严重的负面影响；
- 高等：预计会对组织运营、组织资产或个人造成严重或灾难性的负面影响；
控制基线旨在帮助组织为其系统选择一组与风险相称的控制。控制基线是一组控制，用于满足群体、组织或感兴趣的社区的保护需求。控制基线提供一组通用控制，表示后续定制活动的起点：这些定制活动应用于基线，以便为其要服务的实体生成更具针对性或定制的安全和隐私解决方案。

2.5.2 控制评估

NIST SP 800-53A为评估安全控制的有效性以及生成与系统开发生命周期中进行的安全评估相关的安全证据提供指导。
安全控制和评估指南的组合支持有效的物理安全策略。此外，这些控制和评估程序的实施可以为组织提供一定程度的保护，以防止各种形式的责任。