改善物理環境安全性的10個關鍵措施
責編：gltian ｜2024-04-24 15:23:10現代企業組織在開展網絡安全建設時，往往會側重于防范網絡攻擊引發的風險，卻容易忽視物理環境的安全性，甚至有些網絡安全專業人員會認為物理環境安全與網絡信息安全并不相關。但是事實上，網絡安全是一個整體，只要有一個地方出現了漏洞，攻擊者就有可能入侵成功，而保障物理環境安全是組織計算機網絡系統安全穩定運行的前提和基礎。
物理環境安全主要是指保護計算機網絡設備、設施以及其他媒體免遭地震、水災、火災等環境事故、人為操作失誤或各種計算機犯罪行為導致的破壞過程。在實際應用時，企業的物理環境安全可能面臨的威脅主要包括：
?自然環境威脅：主要指洪水、地震、暴風雨、火災、極端的氣候條件等。
?供應保障系統威脅：主要指停電、空調系統、通信中斷以及其他自然資源（如水、蒸汽、汽油）短缺等。
?人為威脅：未授權訪問（內部的和外部的）、爆炸、惡意員工造成的錯誤和事故、故意破壞、欺詐、盜竊以及其他威脅。
?政治動機引發的威脅：包括罷工、暴亂、恐怖襲擊等。
隨著網絡攻擊的復雜性不斷上升，攻擊者開始選擇更獨特的攻擊路徑，物理環境安全成為新的突破點，其重要性也進一步凸顯，企業需要更加重視物理環境安全的防護與建設。日前，“CSO在線”網站梳理了10個加強物理環境安全性的關鍵措施，可以為企業加強物理環境安全建設提供參考：
1?加固IT基礎設施和數據中心
數據中心和敏感的IT基礎設施是企業需要重點保護的物理環境因素。所采取的安全措施應因設施類型而異，可根據風險高低來擴縮規模。對于存放關鍵信息數據的物理環境（比如放置敏感服務器的辦公室），應該實行最高等級的安全控制。因此，企業的安全管理者（CISO）必須了解數據資源的物理存儲情況，評估相應的環境設施遭到破壞后帶來的風險，并以此針對性地加強物理環境保護。
2?日常辦公環境安全
在現代網絡攻擊中，即便是最平常的辦公環境，也可能成為惡意攻擊者的潛入目標，甚至辦公環境中的任何網絡插孔都可能成為非法進入企業網絡系統的通道。因此，安全運營人員應深入參與所有辦公環境設施的物理安全架構和標準制定，無論其敏感度如何，以確保落實合適的縱深防御措施，防止對IT環境進行非法的物理訪問。
盡管遠程和混合工作在一定程度上改變了傳統對辦公室的定義，但CISO還是應該嚴格監管一些基本的物理安全工作。企業仍需要確保在辦公室落實足夠的物理安全控制措施，部署端口安全措施、無線接入點安全、門禁系統和攝像頭在今天仍然很重要，不容忽視。
3?阻止物理環境中的橫向運動
當企業審查物理環境安全的風險時，應該重點關注攻擊者在企業物理空間中的橫向移動和非法闖入的容易程度。一旦攻擊者設法潛入了公司辦公大樓、數據倉庫或經營場地，就可以更容易地開展攻擊活動，除非組織采取了有效的管控措施。
就像組織使用分段和零信任身份驗證來保護網絡中的數字資產一樣，當有人在企業的辦公環境中隨意走動和訪問時，組織應及時查證其訪問權和目的，如果有人靠近最敏感的區域或房間時，需要能夠及時發現確保已落實了嚴格的措施。
4?保護托管和云端的資產
企業對物理環境安全的監管不應該局限于組織自身的辦公環境中，還需要考慮如何保護位于托管數據中心或云上的資產。企業需要對每臺和自身數據相關的機架設施進行保護，并能夠通過遠程技術手段加以控制和審計。此外，即使組織完全無法參與系統的物理安全維護工作，比如在使用公共云和SaaS資源時，CISO仍需要清楚的評估這些系統是如何加以物理控制的。此時，企業九需要了解合同和服務級別協議的重要性以及第三方審計認證的價值。
5?保護OT環境中的物理連接
除了要思考物理中的操作會如何影響網絡環境外，企業還需要考慮網絡活動對物理環境（無論是生產裝配線、發電廠還是采礦作業）可能造成怎樣的風險影響。如今IT環境和OT環境高度融合，企業必須高度關注其設施中的物理到網絡連接，即使它們不在封閉的工業環境下運營。只要物理環境中的工業控制設備可以遠程控制或管理，企業就需要做好安全防護工作。未經授權使用鍋爐或高爐等工業機械設備，可能導致嚴重的故障，甚至危及操作人員的生命安全。
6?對廣泛部署的物聯網設備需要重點管控
說到物理/網絡連接，現代企業需要考慮的一個重點物理環境安全考量因素就是如何保護分布廣泛的物聯網設備。與OT系統一樣，物聯網系統可以控制汽車、輪船、飛機、工廠和電梯等多種設備。這些設備必須有內部監測功能，以檢測和防止惡意操作，比如未經授權的軟件更改或病毒感染。萬一有人破壞了物聯網設備，就必須有災難響應和恢復的預案。
7?保護遠程辦公設備的物理安全性
網絡的傳統邊緣已發生了變化，因此企業必須考慮適用于組織業務、特定環境以及可接受風險水平的威脅模型和控制措施。所有利益相關者都需要與供應鏈合作伙伴密切合作，以確保物理環境的完整性，因為每個人都對企業的網絡安全產生影響，反之亦然。
考慮到現代企業高度分散的辦公環境。這意味著企業必須擴大對遠程設備的物理安全監管范圍，建議將經過加固的設備發放給公司高管和系統管理員等擁有特權的重要人員。
8?采用集成式訪問控制
不管是由哪個部門負責物理訪問控制和樓宇保護的日常管理，企業的網絡安全團隊都應該全面參與設計，起碼了解每個設施入口點的防護狀況。特別是對CISO而言，應該充分了解企業物理環境中的訪問控制風險狀況，包括外部人員進入組織是否有監控或門禁，辦公場地入口點是否使用閉路電視進行攝錄，是否記錄并審查門禁和閉路電視查找可疑活動，以及數據中心區域的計算機網絡柜是否有額外的門禁要求。
企業應該將這些訪問控制方法整合到統一的邏輯訪問控制中。這種整合可以將物理訪問控制和邏輯訪問控制統一協同起來，尤其是在訪問憑據丟失或員工被解雇的情況下。
9?保護監控系統及其數據
與物理環境的訪問控制一樣，安防監控系統的日常管理可能不屬于安全團隊的職責范圍，但他們應該幫助設計和加固這類系統。CISO通常是組織中隱私問題和監管方面的專家，因此他們會幫助建議哪些可以監控、哪些不可以監控以及如何存儲數據。
考慮到視頻監控系統會帶來的各種隱私問題、監管責任及其他敏感問題，CISO應該在管理方面起到了重要作用。他們必須與其他相關部門（比如法務團隊）密切合作，以確保組織了解并遵守視頻監控方面的法律法規。
此外，現代視頻監控也是IT環境的一部分，這意味著此類系統是安全運營團隊需要擔心的另一個網絡攻擊面。經常會發現辦公室的閉路電視攝像頭連接到主要的公司網絡，這使得它們很容易被網絡上的其他用戶監視，也很容易被威脅分子監視。
10?整合所有的監控數據以便調查
最后，如何整合所有的物理環境安全管控數據也是企業需要重要考慮因素。由于一些嚴重的破壞可能歸因于對物理設施的初始入侵，因此響應人員需要能夠輕松地將物理空間中的活動與邏輯系統上的活動聯系起來，而全面的數據整合有助于彌合這個差距。
參考鏈接：
https://www.csoonline.com/article/566635/what-is-physical-security-how-to-
keep-your-facilities-and-devices-safe-from-on-site-attackers.html
來源：安全牛