在 ISO27001 审核时，通常会去机房进行审查。 机房是企业信息系统的重要物理设施场所，涉及到信息安全的多个方面，以下是审查机房的主要原因： **一、物理安全方面** 1. 门禁控制 - 审核员会检查机房是否有严格的门禁系统，以确保只有授权人员能够进入。这包括门禁卡、密码、生物识别等控制措施的有效性。 - 例如，查看门禁记录，确认是否有异常的进入记录；检查门禁设备是否正常运行，是否容易被破解或绕过。 2. 监控设施 - 机房通常应安装监控摄像头，审核员会检查监控系统的覆盖范围、图像质量和存储时间是否符合要求。 - 例如，确认监控是否能够覆盖机房的关键区域，如入口、设备区等；检查监控录像的保存期限是否足够长，以便在发生安全事件时进行调查。 3. 环境控制 - 审核机房的温度、湿度、电力供应等环境条件是否符合设备运行要求，以及是否有相应的监控和报警系统。 - 例如，检查温湿度传感器的读数是否在规定范围内；确认备用电源系统是否能够在主电源故障时及时启动，保证设备的持续运行。 **二、设备安全方面** 1. 服务器和网络设备 - 审核员会检查服务器和网络设备的配置和安全设置，包括访问控制、加密、漏洞管理等。 - 例如，查看服务器的用户权限设置是否合理，是否存在不必要的用户或过高的权限；检查网络设备的防火墙规则是否严格，是否能够有效阻止未经授权的访问。 2. 存储设备 - 对于存储重要数据的设备，审核员会关注其安全性，如加密、备份和恢复措施等。 - 例如，检查存储设备是否采用了加密技术保护数据；确认备份策略是否有效，备份数据是否能够及时恢复。 3. 安全设备 - 机房可能配备了防火墙、入侵检测系统、UPS（不间断电源）等安全设备，审核员会检查这些设备的运行状态和配置是否正确。 - 例如，检查防火墙的规则是否最新，是否能够有效阻挡外部攻击；确认入侵检测系统是否能够及时发现异常行为并发出警报。 **三、管理措施方面** 1. 机房管理制度 - 审核员会审查机房的管理制度，包括设备维护、人员进出管理、应急响应等方面的规定是否完善并得到有效执行。 - 例如，查看机房维护记录，确认设备是否按照规定进行定期维护；检查人员进出机房的登记记录，是否严格执行审批制度。 2. 标识和文档 - 机房内应有清晰的标识和文档，如设备标识、线路标识、操作指南等，审核员会检查这些标识和文档是否准确、完整。 - 例如，确认设备上的标识是否与实际情况相符，便于维护和管理；检查操作指南是否易于理解，是否能够指导操作人员正确处理各种情况。