内审干货——IT审计之机房物理安全，审啥？
ID：内审师修行与实战
哪怕我们根本不知道那些闪着红点绿点黄点的、七上八下的设备都是干嘛用的，也不知道那一缕缕一坨坨的红绿电线到底是强电还弱电。
很多时候，外行去审计机房，看时都是一脸蒙，只能不明觉厉地听IT工程师们数落着一堆专业名词。
1.机房设置
如果不是身处IT行业，你们企业的机房大多会设置在犄角旮旯地方，因为位置好、环境好的办公区都给人用了。
审前第一件事：先了解你们有几个机房？
不要认为只有那些大型集中的放置IT设备的才叫机房，很多时候，一间小小的没窗户的储物间，或只放一两台电脑主机的档案室的某个角落，都可以称为机房。
所以，审计第一步，就是看那些不能作为机房的机房，是否合理？
找出所有存有IT设备的房间，有可能单独的，也有可能与监控室共用，也有可能就把服务器放在公共办公区域！
如果你懂一些强电弱电、信息设备的专业知识，那就更好了，空间布置就可以多看看。
2.物理访问控制
进出机房有没有监控，是必要的安全措施之一！
机房钥匙或密码掌握在谁手里？一共有几把钥匙？
物业或后勤人员能不能不受控制地出入？
外人访问机房，有没有申请或登记？
对我们审计来说，机房是重地，没有允许非专业人士都不能进，进出必须有记录，所以我们可以查出入记录。
3.消防安全：防水防火
防火，防水都是消防安全的范围。
防火，就是看有没有温度检测设备，有没有灭火设备。
防水，一是防机房漏雨漏水，可不要认为这是小事儿，就小编审计经历来看，机房物理安全的最大问题就是漏水。
不知道为啥机房都设在易漏雨水的地方，一下雨，IT部门的人都紧张机房！
还有机房内尽量不设喷淋系统，一不小心，自己下雨了，设备就毁了！
4.空调与防晒
机房内不安装空调，仿佛也是常见之事，哪怕夏季机房室内五六十多度，仍旧不安装空调。
一堆设备不停地在运行，始终发着热，室内呆不住人不是大事，问题是机器发烧也会烧傻啊！
你不管它，它就会宕机罢工给你看，甚至给你火一把！
防晒很容易理解，如果机房窗户过大，能被太阳直射，也是很有风险的一件事，设备高温是其次，一些见阳光易损坏的零部件是大事。
紫外线见多了，人会癌变，电器电线一样也会癌变！
5.机房不是杂货铺
总有一些IT同事，不想呆在自己工位上，太拘束了，常常跑到机房里面办公或搞维修！
机房空旷有空调，除了机器会叫之外，没有人的打扰！
查看机房时，有时会看到一堆服务器旁边，堆着一堆堆废旧电脑、打印机、和其他设备的零部件。
或着一堆堆电线扯的满地满屋都是，分不清哪些是正式线，哪些是废旧电线。
甚至有些机房，成了IT师们的休闲场所，吃饭、打牌和睡觉的家伙一应俱全！
也不知道他们为啥不怕电磁辐射？
干净整洁、功能分区清晰明了、不与办公混用，应该算是基本要求。
6.询问与调查问卷
有些物理安全风险，我们审计可能发现不了，此时就需要向专业人员请教！
比如：冷站、热站、或异地备份设备的机房要求；
比如：曾经发生过的防水、防火、防盗、防打砸不成功的案例；
比如：设备与机房不匹配，安装不到位；
比如：闲置或损坏设备占用机房。
等等...
诸如此类问题，需要充分的询问与沟通才能知晓。
亲，多点赞转发！
热门跟贴