1. 目的和范圍

本程序是對信息資產(chǎn)分類(lèi)中物理資產(chǎn)下的硬件設備的規劃、購置、安裝、驗收、使用、維護、處置等各階段進(jìn)行有效控制，在保證設備安全的前提下最大限度發(fā)揮設備的效能，同時(shí)減少由于設備入網(wǎng)造成安全安全風(fēng)險。

2. 引用文件

(1)?? 下列文件中的條款通過(guò)本規定的引用而成為本規定的條款。凡是注日期的引用文件，其隨后所有的修改單（不包括勘誤的內容）或修訂版均不適用于本標準，然而，鼓勵各部門(mén)研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本標準。

(2) ISO/IEC27001:2005信息技術(shù)-安全技術(shù)-信息安全管理體系要求

(3) ISO/IEC27002:2005信息技術(shù)-安全技術(shù)-信息安全管理實(shí)施細則

(4) 介質(zhì)管理規定

(5) 筆記本電腦管理規定

(6) 機房管理規定

3. 職責

1) 技術(shù)部:負責信息設備的規劃、安裝、驗收、使用、維護、處置。信息設備指公司綜合部建設方面所需的硬件設備。負責重大設備或新類(lèi)設備的安全評估、風(fēng)險分析和安全驗收。

4. 設備管理流程

(1)設備入網(wǎng)

1) 需按設備本身提供的“設備安全操作說(shuō)明書(shū)”進(jìn)行正確操作和使用，設備在日常使用過(guò)程中應注意安全；

2) 系統工程師應查找有關(guān)的風(fēng)險評估報告，確定準備入網(wǎng)的設備是否已做過(guò)風(fēng)險評估。

3) 如果沒(méi)有類(lèi)似的設備做過(guò)風(fēng)險分析和處置計劃，則應按風(fēng)險評估的要求，通知信息安全管理小組進(jìn)行。

4) 如果做過(guò)風(fēng)險分析和處置計劃，則應按照相關(guān)的處置計劃和實(shí)施要求，制定設備入網(wǎng)計劃。

5) 系統工程師對計劃入網(wǎng)的設備在獨立的測試環(huán)境中進(jìn)行測試，測試通過(guò)后提交綜合部審批。

6) 技術(shù)部批準入網(wǎng)申請后,由系統工程師組織設備入網(wǎng)。

7) 設備入網(wǎng)應按照處置計劃和入網(wǎng)計劃對設備進(jìn)行安全加固。

8) 對入網(wǎng)系統進(jìn)行一段時(shí)間的監控，以觀(guān)察入網(wǎng)是否生效。如果發(fā)現問(wèn)題,要及時(shí)進(jìn)行處理,必要時(shí)要尋求供應商的協(xié)助。監控一段時(shí)間后，設備擔當組織人員進(jìn)行驗收，并通知信息安全管理小組對系統進(jìn)行安全檢測。

(2)設備安置與保護

(3)信息設備安裝管理

1) 技術(shù)部對信息設備安全的安置與保護工作，包括對溫度、濕度的監測和日常的巡檢等，詳見(jiàn)《機房管理規定》。

2) 信息安全設備的安置應按照設備制造商的說(shuō)明，安置工作由專(zhuān)業(yè)人員進(jìn)行。

3) 信息安全設備安置要選擇能夠避免或減少未授權訪(fǎng)問(wèn)的物理場(chǎng)所，應采取措施以減小潛在的物理威脅的風(fēng)險。

4) 重要系統使用的信息設備安置在專(zhuān)用的機房?jì)取?/p>

5) 安置在室外的信息設備要注意防盜、防雨、防雷、防塵、防腐蝕等工作。

6) 確保消防設備充足并隨時(shí)可用，定期進(jìn)行消防演練。

(4)支持性設施安置管理

1) 技術(shù)部負責信息安全設備支持性設施的管理工作，包括提供、維護、維修等。

2) 對支持關(guān)鍵業(yè)務(wù)操作的信息設備，使用不間斷電源（UPS）。UPS設備要定期地檢查，，詳見(jiàn)《機房管理規定》。

3) 應急電源開(kāi)關(guān)應位于設備房間應急出口附近，以便緊急情況時(shí)快速切斷電源。萬(wàn)一主電源出現故障時(shí)要提供應急照明。

4) 技術(shù)部要確保通風(fēng)和空調系統等運行良好，對其運行情況可進(jìn)行定期檢查。

(5)線(xiàn)纜安全

1) 公司網(wǎng)絡(luò )系統進(jìn)入信息設備的電源和電信線(xiàn)路布在地板上,要建有冗余線(xiàn)路或留有可替換線(xiàn)路，以保障線(xiàn)路的可用性。

2) 電纜要避開(kāi)公眾區域,鋪設電纜要有線(xiàn)槽保護，以避免未授權竊聽(tīng)或損壞的危害。為了防止干擾,電源電纜要與通信電纜分開(kāi)布線(xiàn)。

3) 要采取切實(shí)有效的措施防范鼠患，防止電纜被鼠噬。

4) 電纜要使用牢固、清晰、可識別的標記,使用文件化配線(xiàn)列表減少布線(xiàn)失誤的可能性,以使失誤最小化，詳見(jiàn)《機房管理規定》。

(6)設備移動(dòng)

1) 在公司物理環(huán)境以外嚴禁放置服務(wù)器、交換機、電腦等信息設備。

2) 公司原則上禁止機房設備移出公司物理環(huán)境。如確因工作需要，如展會(huì )、維修等，需將公司的服務(wù)器、交換機、路由器等信息設備移到辦公地點(diǎn)外使用，需經(jīng)研發(fā)主管批準后才能移出公司的物理環(huán)境。

3) 如需要供應商將設備移出公司物理環(huán)境進(jìn)行維修時(shí)，在設備移出前，設備管理人員要將設備中敏感信息從設備中刪除或確保維護人員對其不可訪(fǎng)問(wèn)或獲取。

4) 離開(kāi)建筑物的信息設備和移動(dòng)介質(zhì)在公共場(chǎng)所要有專(zhuān)人看護和保管，不允許無(wú)人值守，適當時(shí)，還要施加其它措施進(jìn)行控制，例如上鎖，以防止損壞、盜竊等事件發(fā)生。

5) 筆記本在公司辦公場(chǎng)所以外使用，依《筆記本電腦管理規定》。

(7)維護、保養

1) 機器設備日常維護由設備使用者在日常使用時(shí)進(jìn)行，維護項目限于查看設備外觀(guān)有無(wú)明顯損壞、是否正常工作、是否通電正常等內容。

2) 定期維護由技術(shù)部專(zhuān)業(yè)工程師或供應商進(jìn)行，定期維護根據不同設備決定不同的維護周期，從一周一次到半年一次不等，定期維護項目包括軟硬件更換、性能檢查、性能調優(yōu)等。

3) 定期維護和年底維護后，要將維護項目、維護過(guò)程、維護人員、維護結果等內容詳細記錄在《設備維護記錄》中。

(8)設備處置

1) 設備的處置由設備使用部門(mén)提出，經(jīng)經(jīng)總經(jīng)理批準后，對設備進(jìn)行處理；

2) 信息設備在處置過(guò)程中須考慮信息安全。

3) 設備報廢前設備管理責任人要負責刪除所有信息，對包含敏感信息的設備要對其信息載體在物理上應予以銷(xiāo)毀，或者采用使原始信息不可獲取的技術(shù)將其安全地重寫(xiě)，如消磁。

4) 信息設備的報廢工作由綜合部負責，需要填寫(xiě)《廢棄介質(zhì)處置記錄》,經(jīng)總經(jīng)理批準后，才能進(jìn)行報廢。

5) 對于因閑置、人員離辭或設備換代等原因不再使用的信息設備，特別是個(gè)人電腦，在設備歸倉前，要采用信息不可獲取的技術(shù)將其敏感信息、工作信息和個(gè)人信息刪除。以確保在設備重用時(shí)，重用者不會(huì )獲得與其工作無(wú)關(guān)的內容。

6) 對試用設備和測試設備（無(wú)論是自有的還是供應商的）中的信息在試用和測試后，由試用或測試人員立即清除，防止重要信息泄露。

7) 廢棄介質(zhì)處理方法參見(jiàn)《介質(zhì)管理規定》

5. 實(shí)施策略

(1) 設備管理規定涉及到包括《設備維護記錄》共1個(gè)表單。

(2) 對設備的定期維護等內容詳細填寫(xiě)《設備維護記錄》。

6. 相關(guān)記錄

本程序發(fā)生的記錄匯總表

表1-1 ????????????????? ISMS文件日常應用表格