2023年区域安全管理规范030319v3fd（范文推荐）

下面是小编为大家整理的2023年区域安全管理规范030319v3fd（范文推荐）,供大家参考。

区域安全管理规范030319v3fd 编号：

　　 中国石油天然气股份有限公司 区域安全管理规范 （批阅稿） 版本号：V3 批阅人：王巍 中国石油天然股份有限公司 前 言 随着中国石油天然气股份有限公司（下列简称“中国石油”）信息化建设的稳步推进，信息安全日益受到中国石油的广泛关注，加强信息安全的管理与制度无疑成为信息化建设得以顺利实施的重要保障。中国石油需要建立统一的信息安全管理政策与标准，并在集团内统一推广、实施。

　　 本规范是根据中国石油信息安全的现状，参照国际、国内与行业有关技术标准及规范，结合中国石油自身的应用特点，制定的适合于中国石油信息安全的标准与规范。目标在于通过在中国石油范围内建立信息安全有关标准与规范，提高中国石油信息安全的技术与管理能力。

　　信息技术安全总体框架如下：

　　 《区域安全管理规《区域安全管理规范》范》《机房安全管理规《机房安全管理规范》范》《硬件设备管理规《硬件设备管理规范》范》《网络安全管理规范》《通用安全管理标准》《数据和文档安全《数据和文档安全管理规范》管理规范》《应用系统使用安《应用系统使用安全管理标准通则》全管理标准通则》《应用系统开发安《应用系统开发安全管理标准通则》全管理标准通则》《商业软件购买管《商业软件购买管理标准》理标准》《电子邮件安全管《电子邮件安全管理规范》理规范》《Web系统安全管系统安全管理规范》理规范》《电子商务安全规《电子商务安全规范》范》《防御恶意代码和《防御恶意代码和计算机犯罪管理规计算机犯罪管理规范》范》《信息安全技术标准》物理环境安全管理硬件设备安全管理操作系统安全管理数据和文档安全管理应用系统安全管理网络安全管理概述通用网络安全管理规范内部网络安全管理规范外部网络安全管理规范认证管理通用标准通用安全管理标准概述授权管理通用标准加固管理通用标准加密管理通用标准日志管理通用标准系统登陆管理通用标准《操作系统安全管《操作系统安全管理规范》理规范》 1） 整体信息技术安全架构从逻辑上共分为 7 个部分，分别为：物理环境、硬件设备、网络、操作系统、数据与文档、应用系统与通用安全管理标准。图中带阴影的方框中带书名号的为单独成册的部分，共有 13 本《规范》与 1 本《通用标准》。

　　2） 关于 13 个《规范》中具有一定共性的内容我们整理出了 6 个《标准》横向贯穿整个架构，这6 个《标准》的组合也根据了信息安全生命周期的理论模型。每个《标准》都会对所有的《规范》中有关涉及到的内容产生指导作用，但每个《标准》应用在不一致的《规范》中又会有相应不一致的具体的内容。我们在行文上将这六个标准组合成一本《通用安全管理标准》单独成册。

　　3） 全文以信息安全生命周期的方法论作为基本指导，《规范》与《标准》的内容基本都根据认证——〉授权——〉内容安全——〉日志管理的理论基础行文。

　　 信息系统所在区域的物理环境安全是保护区域内计算机有关设备与其它媒体免遭地震、水灾、火灾等环境事故与周围环境的因素影响。它是对系统所在环境的安全保护，同时，还需要防止对区域的未经 授权的访问。这种区域在信息安全中被称之“安全区域”。

　　整个《物理环境安全管理规范》由《区域安全管理规范》与《机房安全管理规范》两个部分构成。本文即为信息安全总体框架中以深色标注的部分：《区域安全管理规范》，本规范要紧规定了不一致的包含有信息设备或者信息资产的区域对物理环境的安全要求，这种区域的概念时相对而言的，各类包含有信息设备或者信息资产的区域都能够称之为安全区域。而由于机房是一个十分特殊且重要的安全区域，包含了一些特有的安全管理规范，同时在整个信息安全架构中又具有举足轻重的地位，因此将机房这个特殊的安全区域作为《区域安全管理规范》的一个具体的案例单独进行阐述。

　　 本规范由中国石油天然气股份有限公司提出。

　　本规范由中国石油天然气股份有限公司科技与信息管理部归口管懂得释。

　　起草单位：中国石油制定信息安全政策与标准项目组。 说 明 在中国石油信息安全标准中涉及下列概念：

　　组织机构 中国石油（PetroChina） 指中国石油天然气股份有限公司有的时候也称“股份公司”。

　　集团公司（CNPC） 指中国石油天然气集团公司有的时候也称“存续公司”。为区分中国石油的地区公司与集团公司下属单位，担提及“存续部分”时指集团公司下属的单位。如：辽河油田分公司存续部分指集团公司下属的辽河石油管理局。

　　计算机网络 中国石油信息网（PetroChinaNet） 指中国石油范围内的计算机网络系统。中国石油信息网是在中国石油天然气集团公司网络的基础上，进行扩充与提高所形成的连接中国石油所属各个单位计算机局域网与园区网。

　　集团公司网络（CNPCNet） 指集团公司所属范围内的网络。中国石油的一些地区公司是与集团公司下属的单位共用一个计算机网络，当提及“存续公司网络”时，指存续公司使用的网络部分。

　　主干网 是从中国石油总部连接到各个下属各地区公司的网络部分，包含中国石油总部局域网、各个二级局域网（或者园区网）与连接这些网络的专线远程信道。有些单位通过拨号线路连接到中国石油总部，不是利用专线，这样的单位与所使用的远程信道不属于中国石油专用网主干网构成部分。

　　 地区网 地区公司网络与所属单位网络的总与。这些局域网或者园区网互相连接所使用的远程信道能够是专线，也能够是拨号线路。

　　局域网与园区网 局域网通常指，在一座建筑中利用局域网技术与设备建设的高速网络。园区网是在一个园区（比如大学校园、管理局基地等）内多座建筑内的多个局域网，利用高速信道互相连接起来所构成的网络。园区网所利用的设备、运行的网络协议、网络传输速度基本相同于局域网。局域网与园区网通常都是用户自己建设的。局域网与园区网与广域网不一致，广域网不仅覆盖范围广，所利用的设备、运行的协议、传送速率都与局域网与园区网不一致。传输信息的信道通常都是电信部门建设的。

　　 二级单位网络 指地区公司下属单位的网络的总与，可能是局域网，也可能是园区网。

　　 专线与拨号线路 从连通性划分的两大类网络远程信道。专线，指数字电路、帧中继、DDN 与 ATM 等经常保持连通状态的信道；拨号线路，指只在传送信息时才建立连接的信道，如电话拨号线路或者ISDN 拨号线路。这些远程信道可能用来连接不一致地区的局域网或者园区网，也可能用于连接单台计算机。

　　 石油专网与公网 石油专业电信网与公共电信网的简称。

　　 最后一公里问题 建设广域网时，用户局域网或者园区网连接邻近电信部门信道的最后一段距离的连接问题。这段距离通常小于一公里，但也有大于一公里的情况。为简便，同称之最后一公里问题。

　　 涉及计算机网络的术语与定义请参见《中国石油局域网标准》。

　　 目 目 录 1 概述 ........................................................................... 6 2 目标 ........................................................................... 6 3 适用范围 ....................................................................... 7 4 引用的文件或者标准 ............................................................. 8 5 术语与定义 .................................................................... 10 6 区域安全分级标准 .............................................................. 12 7 区域物理环境安全 .............................................................. 13 7.1 环境操纵 ......................................................................................................................................13 7.2 电气技术安全 ..............................................................................................................................14 7.3 给水排水有关规范 ......................................................................................................................15 7.4 消防与其他安全规范 ..................................................................................................................16 7.5 自然灾害防御 ..............................................................................................................................17 8 人员出入安全区域有关的管理规范 ................................................ 19 8.1 人员身份识别管理规范 ..............................................................................................................19 8.2 安全区域出入授权管理规范 ......................................................................................................23 8.3 安全区域有关日志与权限的审计管理——审计跟踪 ..............................................................26 附录 1 参考文献 .................................................................................................................... 28 附录 2 本规范用词说明 ......................................................................................................... 29 1 概述 信息系统所在区域的物理环境安全是保护区域内计算机有关设备与其它媒体免遭地震、水灾、火灾等环境事故与周围环境的因素影响。它是对系统所在环境的安全保护，同时，还需要防止对区域的未经授权的访问。

　　物理环境安全管理规范要紧规定了不一致的区域对物理环境的安全要求与相应的保护措施与规章制度。

　　安全区域是指需要被组织保护的商务场所与包含被保护信息处理设施的物理区域。因此我们所指的区域的概念能够是一栋办公大楼，也能够是一个数据中心机房或者是不一致的大楼楼层的配线间，区域的概念相当的宽泛。而一些与信息不有关的区域如车间、转井平台等不属于本规范讨论的范围。在我们的规范中要紧将各个各样不一致的区域分为三个等级：关键级、重要级与普通级。针对这样的三种不一致级别的区域我们制定了三种不一致的规范加以约束。

　　 2 目标 本规范的目标为：

　　保护各类不一致的安全区域的安全性。由于安全区域本身并不包含有信息资产，但安全区域内会存在各类信息设备或者信息资产。因此安全区域的安全性要紧从区域本身的特点出发，目的是保护区域内部的信息设备或者信息资产免受外界的干扰、窃取或者破坏。外界关于信息设备或者信息资产的影响要紧来自于两个方面。一是物理环境的因素，二是人为的因素。因此本规范的目标也能够分为两个分目标：

　　 保护区域物理环境的安全，使得区域内的信息设备或者信息资产免受物理环境（如温度湿度等）的影响。

　　 保护区域的进出授权管理，使得区域内的信息设备或者信息资产免受非法或者未经授权的访问、窃取或者破坏。

　　 3 适用范围 本套规范适用的范围包含了各类使用信息设备的安全区域，只要该区域内有正在使用的信息设备或者有信息资产，则该区域属于本规范讨论的范围。比如各类使用计算机系统进行办公的办公室、仓库、车间等。假如该区域内没有信息设备或者信息资产，则不属于本规范讨论的范围之内。但 机房这一个相对特殊的安全区域由于其重要性相对突出，因此不包含在本规范讨论的范围内。

　　该规范针对各个不一致安全区域，比如各类使用计算机系统进行日常办公的部门，用于确保安全区域的各类安全条件符合安全使用信息设备的要求。

　　 4 引用的文件或者标准 下列文件或者标准中的条款通过本规范的引用而成为本规范的条款。

　　本标准出版时，所示版均为有效。所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的可能性。

　　 1. GAT390-2002 《计算机信息系统安全等级保护通用技术要求》 2. GB50174-93 《电子计算机机房设计规范》 3. SJ/T30003-93 《电子计算机机房施工及验收规范》 4. GB9361-88 《计算站场地安全要求》 5. GB2887-2000 《电子计算机场地通用规范》 6. GB6650-86 《计算机机房用活动地板技术条件》 7. GB50052 《供配电系统设计规范》 8. GB50057_94 《建筑物防雷设计规范》 9. GB173-1998《计算机信息系统防雷安全规范》 10. GB50045-95 《高层民用建筑设计防火规范》 11. GBJ16-87 《建筑设计防火规范》 12. NIST 信息安全系列——美国国家标准技术院 13. 英国国家信息安全标准 BS7799 14. 信息安全基础保护 IT Baseline Protection Manual (Germany) 15. BearingPoint Consulting 内部信息安全标准 16. RU Secure 安全技术标准 17. 信息系统安全专家丛书 Certificate Information Systems Security Professional 5 术语与定义 安全区域 指区域内有需要受保护的信息资产或者信息设备的物理区域。该物理区域之因此需要受到保护是由于在该区域所在的物理区域范围内有需要受到保护的信息系统有关的资产，该种信息系统有关的资产可能是物理上存在的各类电子设备，也可能...