区域安全管理规范.doc

中国石油信息安全标准
编号：

中国石油天然气股份有限公司
区域安全管理规范
（审阅稿）

版本号：V3
审阅人：王巍

中国石油天然股份有限公司

前 言
随着中国石油天然气股份有限公司（以下简称“中国石油”）信息化建设的稳步推动，信息安全日益受到中国石油的广泛关注，加强信息安全的管理和制度无疑成为信息化建设得以顺利实行的重要保障。中国石油需要建立统一的信息安全管理政策和标准，并在集团内统一推广、实行。

本规范是依据中国石油信息安全的现状，参照国际、国内和行业相关技术标准及规范，结合中国石油自身的应用特点，制定的适合于中国石油信息安全的标准与规范。目的在于通过在中国石油范围内建立信息安全相关标准与规范，提高中国石油信息安全的技术和管理能力。
信息技术安全总体框架如下：

1） 整体信息技术安全架构从逻辑上共分为7个部分，分别为：物理环境、硬件设备、网络、操作系统、数据和文档、应用系统和通用安全管理标准。图中带阴影的方框中带书名号的为单独成册的部分，共有13本《规范》和1本《通用标准》。
2） 对于13个《规范》中具有一定共性的内容我们整理出了6个《标准》横向贯穿整个架构，这6个《标准》的组合也依据了信息安全生命周期的理论模型。每个《标准》都会对所有的《规范》中相关涉及到的内容产生指导作用，但每个《标准》应用在不同的《规范》中又会有相应不同的具体的内容。我们在行文上将这六个标准组合成一本《通用安全管理标准》单独成册。
3） 全文以信息安全生命周期的方法论作为基本指导，《规范》和《标准》的内容基本都根据认证——〉授权——〉内容安全——〉日记管理的理论基础行文。

信息系统所在区域的物理环境安全是保护区域内计算机相关设备以及其它媒体免遭地震、水灾、火灾等环境事故以及周边环境的因素影响。它是对系统所在环境的安全保护，同时，还需要防止对区域的未经授权的访问。这种区域在信息安全中被称为“安全区域”。
整个《物理环境安全管理规范》由《区域安全管理规范》和《机房安全管理规范》两个部分组成。本文即为信息安全总体框架中以深色标注的部分：《区域安全管理规范》，本规范重要规定了不同的包具有信息设备或信息资产的区域对物理环境的安全规定，这种区域的概念时相对而言的，各种包具有信息设备或信息资产的区域都可以称之为安全区域。而由于机房是一个十分特殊且重要的安全区域，包含了一些特有的安全管理规范，同时在整个信息安全架构中又具有举足轻重的地位，因此将机房这个独特的安全区域作为《区域安全管理规范》的一个具体的案例单独进行阐述。

本规范由中国石油天然气股份有限公司提出。
本规范由中国石油天然气股份有限公司科技与信息管理部归口管理解释。
起草单位：中国石油制定信息安全政策与标准项目组。
说 明
在中国石油信息安全标准中涉及以下概念：
组织机构
中国石油（PetroChina） 指中国石油天然气股份有限公司有时也称“股份公司”。
集团公司（CNPC） 指中国石油天然气集团公司有时也称“存续公司”。为区分中国石油的地区公司和集团公司下属单位，担提及“存续部分”时指集团公司下属的单位。如：辽河油田分公司存续部分指集团公司下属的辽河石油管理局。
计算机网络
中国石油信息网（PetroChinaNet） 指中国石油范围内的计算机网络系统。中国石油信息网是在中国石油天然气集团公司网络的基础上，进行扩充与提高所形成的连接中国石油所属各个单位计算机局域网和园区网。
集团公司网络（CNPCNet） 指集团公司所属范围内的网络。中国石油的一些地区公司是和集团公司下属的单位共用一个计算机网络，当提及“存续公司网络”时，指存续公司使用的网络部分。
主干网 是从中国石油总部连接到各个下属各地区公司的网络部分，涉及中国石油总部局域网、各个二级局域网（或园区网）和连接这些网络的专线远程信道。有些单位通过拨号线路连接到中国石油总部，不是运用专线，这样的单位和所使用的远程信道不属于中国石油专用网主干网组成部分。
地区网 地区公司网络和所属单位网络的总和。这些局域网或园区网互相连接所使用的远程信道可以是专线，也可以是拨号线路。
局域网与园区网 局域网通常指，在一座建筑中运用局域网技术和设备建设的高速网络。园区网是在一个园区（例如大学校园、管理局基地等）内多座建筑内的多个局域网，运用高速信道互相连接起来所构成的网络。园区网所运用的设备、运营的网络协议、网络传输速度基本相同于局域网。局域网和园区网通常都是用户自己建设的。局域网和园区网与广域网不同，广域网不仅覆盖范围广，所运用的设备、运营的协议、传送速率都与局域网和园区网不同。传输信息的信道通常都是电信部门建设的。
二级单位网络 指地区公司下属单位的网络的总和，也许是局域网，也也许是园区网。
专线与拨号线路 从连通性划分的两大类网络远程信道。专线，指数字电路、帧中继、DDN和ATM等经常保持连通状态的信道；拨号线路，指只在传送信息时才建立连接的信道，如电话拨号线路或ISDN拨号线路。这些远程信道也许用来连接不同地区的局域网或园区网，也也许用于连接单台计算机。
石油专网与公网 石油专业电信网和公共电信网的简称。
最后一公里问题 建设广域网时，用户局域网或园区网连接附近电信部门信道的最后一段距离的连接问题。这段距离通常小于一公里，但也有大于一公里的情况。为简便，同称为最后一公里问题。

涉及计算机网络的术语和定义请参见《中国石油局域网标准》。

目 录
1 概述 6
2 目的 6
3 合用范围 7
4 引用的文献或标准 8
5 术语和定义 10
6 区域安全分级标准 12
7 区域物理环境安全 13
7.1 环境控制 13
7.2 电气技术安全 14
7.3 给水排水相关规范 15
7.4 消防与其他安全规范 16
7.5 自然灾害防御 17
8 人员出入安全区域相关的管理规范 19
8.1 人员身份辨认管理规范 19
8.2 安全区域出入授权管理规范 23
8.3 安全区域相关日记和权限的审计管理——审计跟踪 26
附录 1 参考文献 28
附录 2 本规范用词说明 29

1 概述
信息系统所在区域的物理环境安全是保护区域内计算机相关设备以及其它媒体免遭地震、水灾、火灾等环境事故以及周边环境的因素影响。它是对系统所在环境的安全保护，同时，还需要防止对区域的未经授权的访问。
物理环境安全管理规范重要规定了不同的区域对物理环境的安全规定和相应的保护措施和规章制度。
安全区域是指需要被组织保护的商务场合和包含被保护信息解决设施的物理区域。因此我们所指的区域的概念可以是一栋办公大楼，也可以是一个数据中心机房或是不同的大楼楼层的配线间，区域的概念相称的宽泛。而一些和信息不相关的区域如车间、转井平台等不属于本规范讨论的范围。在我们的规范中重要将各个各样不同的区域分为三个等级：关键级、重要级和普通级。针对这样的三种不同级别的区域我们制定了三种不同的规范加以约束。

2 目的
本规范的目的为：
保护各种不同的安全区域的安全性。由于安全区域自身并不包具有信息资产，但安全区域内会存在各种信息设备或信息资产。因此安全区域的安全性重要从区域自身的特点出发，目的是保护区域内部的信息设备或信息资产免受外界的干扰、窃取或破坏。外界对于信息设备或信息资产的影响重要来自于两个方面。一是物理环境的因素，二是人为的因素。因此本规范的目的也可以分为两个分目的：
Ø 保护区域物理环境的安全，使得区域内的信息设备或信息资产免受物理环境（如温度湿度等）的影响。
Ø 保护区域的进出授权管理，使得区域内的信息设备或信息资产免受非法或未经授权的访问、窃取或破坏。
3 合用范围
本套规范合用的范围涉及了各种使用信息设备的安全区域，只要该区域内有正在使用的信息设备或有信息资产，则该区域属于本规范讨论的范围。例如各种使用计算机系统进行办公的办公室、仓库、车间等。假如该区域内没有信息设备或信息资产，则不属于本规范讨论的范围之内。但机房这一个相对独特的安全区域由于其重要性相对突出，因此不包含在本规范讨论的范围内。
该规范针对各个不同安全区域，例如各种使用计算机系统进行平常办公的部门，用于保证安全区域的各种安全条件符合安全使用信息设备的规定。

4 引用的文献或标准
下列文献或标准中的条款通过本规范的引用而成为本规范的条款。本标准出版时，所示版均为有效。所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的也许性。
1. GAT390-2023 《计算机信息系统安全等级保护通用技术规定》
2. GB50174-93 《电子计算机机房设计规范》
3. SJ/T30003-93 《电子计算机机房施工及验收规范》
4. GB9361-88 《计算站场地安全规定》
5. GB2887-2023 《电子计算机场地通用规范》
6. GB6650-86 《计算机机房用活动地板技术条件》
7. GB50052 《供配电系统设计规范》
8. GB50057_94 《建筑物防雷设计规范》
9. GB173-1998《计算机信息系统防雷安全规范》
10. GB50045-95 《高层民用建筑设计防火规范》
11. GBJ16-87 《建筑设计防火规范》
12. NIST信息安全系列——美国国家标准技术院
13. 英国国家信息安全标准BS7799
14. 信息安全基础保护IT Baseline Protection Manual (Germany)
15. BearingPoint Consulting 内部信息安全标准
16. RU Secure安全技术标准
17. 信息系统安全专家丛书Certificate Information Systems Security Professional

5 术语和定义
安全区域 指区域内有需要受保护的信息资产或信息设备的物理区域。该物理区域之所以需要受到保护是由于在该区域所在的物理区域范围内有需要受到保护的信息系统相关的资产，该种信息系统相关的资产也许是物理上存在的各种电子设备，也也许是无形的电子信息数据。而一些和信息系统无关的物理区域如机械车间、转井平台等不属于本规范安全区域的范畴。
关键级区域 放置了大量的核心IT相关设备（如服务器和骨干网络设备）的区域。该区域一旦出现安全故障会直接影响到公司总部或各个地区公司的信息系统的正常运作，从而影响公司总部的业务运作或各个地区公司的业务运作，同时会对公司带来巨大的经济上或名誉上的损失。在这里对关键级区域的定义重要指各个地区公司或公司总部的计算机房区域。
举例：地区公司机房或数据中心、中油公司级总机房或数据中心等
注：由于该级别的区域特指机房，因此不在本规范中具体描述，该部分具体内容请参《机房安全管理规范》
重要级区域 区域内有重要的信息设备或信息资产，如信息敏感部门的办公区域等。其中包含了除机房区域以外其他重要的安全区域，该区域一旦出现信息安全故障会直接影响到各个业务单元或业务部门的信息系统的正常运作，从而影响各个业务单元或业务部门的运作，同时会对公司带来明显的经济上或名誉上的损失。
举例：信息敏感部门办公区域关键业务部门办公区域等
普通级区域——区域内有一些普通的信息设备或信息资产。该区域一旦出现信息安全故障只会影响到个人或小范围群体的信息系统的正常运作，同时对公司带来的经济上或名誉上的损失也相对较小。
举例：普通的办公区域等
安全等级 为表达信息的不同敏感度, 按保密限度不同对信息进行层次划分的组合或集合。
访问控制 一种安全保证手段，即信息系统的资源只能由被授权实体按授权方式进行访问，防止对资源的未授权使用。
审计 为了测试出系统的控制是否足够, 为了保证与已建立的策略和操作相符合, 为了发现安全中的漏洞, 以及为了建议在控制、策略中作任何指定的改变, 而对系统记录与活动进行的独立观测。
认证 验证用户、设备和其他实体的身份验证数据的完整性。
授权 在确认了访问者身份之后，根据不同访问者权限的设定赋予其相应的权利和义务的过程。
日记 log 一种信息的汇集, 记录有关对系统操作和系统运营的所有事项，提供了系统的历史状况。
隔离 为防止其他用户或程序的非授权访问, 把操作系统、用户程序、数据文献加以彼此独立存储的行为。
接地 计算机系统的直流地、交流工作地、安全保护地和防雷保护地与大地之间的关系。
接地电阻 接地体或自然接地估对地电阻和接地线电阻的总和。
不间断供电系统UPS 保证计算机不断止工作的供电系统。
身份辨认 使信息解决系统能辨认出用户、设备和其他实体的测试实行过程。同身份验证。例：检查一个口令或身份权标。
智能卡 一种安装有集成电路芯片，用于存储和解决数据的塑料卡片。智能卡中存有用户数据信息和密钥，是目前最有效的身份认证手段之一。
生物体征辨认 是指通过计算机运用人体所固有的生理特性或行为特性来进行个人身份辨认和（或）验证目的。常用的生物特性涉及：指纹、掌纹、虹膜、脸像等。

6 区域安全分级标准
区域类型
定义
信息系统/业务影响范围
公司经济上或名誉上的损失
举例
关键级区域
放置了大量的核心IT相关设备（如服务器和骨干网络设备）的区域
公司总部或各个地区公司
巨大
各种类型的机房。
重要级区域
区域内有重要的信息设备或信息资产，如信息敏感部门的办公区域等。其中包含了除机房区域以外其他重要的安全区域
各个业务单元或业务部门
明显
信息敏感部门办公区域关键业务部门办公区域等
普通级区域
区域内有一些普通的信息设备或信息资产，包含了除关健级和重要级区域以外其他一切的信息安全区域
个人或小范围群体
较小
信息敏感部门或关键业务部门以外的普通的办公区域等

7 区域物理环境安全
7.1 环境控制
7.1.1 温度、湿度
a) 所有的安全区域的温、湿度必须满足区域内计算机设备、计算机网络设备、计算机辅助设备、信息存储媒介的规定。
b) 安全区域内的温、湿度应满足下列规定：

表1 开机时温、湿度
级别
项目
重要级区域
普通级区域
温度(℃)
15～30
5～30
相对湿度(%)
40～70
按设备规定的湿度条件
温度变化率(℃/h)
<10不得凝露
按设备规定的温度变化率

7.1.2 防烟防尘控制
重要级和普通级区域应当保持环境的清洁，经常的打扫。

7.1.3 防噪声
对不可避免的强噪音源应采用必要消音措施和隔离措施；
7.2 电气技术安全
7.2.1 供电和电缆
a) 区域场地的供电电源应满足下列规定：
频率
50Hz
电压
380V/220V
相数
三相五线或三相四线制/单相三线制
b) 供电电源应满足以下规定：
级别
项目
重要级和普通级
稳态电压偏移范围，%
-15～+10
稳态频率偏移范围，Hz
-1～+1
电压波形畸变率，%
10
允许断电连续时间，ms
200～1500

a) 重要级区域根据所在区域的情况宜考虑配置交流不间断电源系统供电。
b) 重要级区域电源进线应按现行国家标准《建筑防雷设计规范》采用防雷措施。
c) 电缆必须铺设在线槽内或地板下。

7.2.2 不间断供电系统（UPS）供电
a) 重要级区域机房宜使用在线式UPS；
b) UPS设备和相应的电池组应定期检查和维护(涉及充电和放电)，以保证UPS有充足供电能力保证在断电的情况下设备在按照设计标准正常运作，同时按制造商的建议进行测试。
c) 适度控制好UPS电源的连接负载，保证UPS的负载量不超过其额定功率的85%；
d) 后备式UPS不适宜用在对电源敏感的设备上；
e) 保护服务器的UPS电源宜具有智能管理功能；
f) UPS功率应当与保护对象的功率相匹配；
g) 严禁把电感性负载连接到UPS电源上；
h) 不得频繁开关UPS电源。

7.3 给水排水
7.3.1 一般规定
a) 位于用水设备下层的安全区域，应在吊顶上设防水层，并设漏水检查装置。
b) 与安全区域无关的给排水管道不得穿过该区域。
c) 安全区域内如设有地漏，地漏下应加设水封装置，并有防止水封破坏的措施。

7.4 消防与其他安全相关规范
7.4.1 消防安全一般规定
a) 安全区域内应设二氧化碳或卤代烷灭火系统，并应按现行有关规范的规定执行。
b) 重要级区域内应设火灾自动报警系统，并应符合现行国家标准《火灾自动报警系统设计规范》的规定。
c) 报警系统和自动灭火系统应与空调、通风系统联锁。空调系统所采用的电加热器，应设立无风断电保护。

7.4.2 消防设施
a) 在安全区域内应在吊顶里、重要空调管道中及易燃物附近部位应设立烟、温感探测器。
b) 必须配备火灾报警及消防设施。且灭火器应当尽量放置在走道等明显的位置。
c) 安全区域出口应设立向疏散方向启动且能自动关闭的门。并应保证在任何情况下都能从内打开。

7.4.3 其他安全规范
a) 机房及其周边地区严禁放置易燃易爆物品。
b) 在关键级机房的出入口、通道和重要设施处应设立闭路监视系统（CATV）。
c) 机房内及其周边地区严禁放置有害的、腐蚀性化学物质物品。机房内腐蚀性气体二氧化硫 <= 0.15mg/l，硫化氢 <= 0.01mg/l。
d) 在易受鼠害的场合应采用堵塞等防范措施，同时设立捕鼠设施，电缆和电线上应涂敷驱鼠药剂。

7.5 自然灾害防御
自然灾害往往难以预料，防御自然灾害最有效的手段是在灾害到来前尽早做好准备，在劫难发生时将损失减小到最低。在灾害多发区应建立相应灾害预警机制和劫难恢复机制。

7.5.1 雷击防范
安全区域可遵照国标GB50057《建筑防雷设计规范》中第三类和第四类防雷建筑物规定采用相应的防雷措施。这里列举一般规定：
a) 各类防雷建筑物应采用防直击雷和防雷电波侵入的措施。
b) 装有防雷装置的建筑物， 在防雷装置与其它设施和建筑物内人员无法隔离的情况下，应采用等电位连接。
c) 防雷建筑物防直击雷的措施，宜采用装设在建筑物上的避雷网（带）或避雷针或由这两种混合组成的接闪器。避雷网（带）应按相关规定沿屋角屋脊、屋檐和檐角等易受雷击的部位敷设。并应在整个屋面组成不大于20m×20m或24m×16m的网格。
d) 每根引下线的冲击接地电阻不宜大于30Ω，其接地装置宜与电气设备等接地装置共用。防雷的接地装置宜与埋地金属管道相连。当不共用、不相连时，两者间在地中的距离不应小于2m。
e) 建筑物宜运用钢筋混凝士屋面板、粱、 柱和基础的钢筋作为接闪器、引下线和接地装置。
f) 当土壤电阻率ρ小于或等于3000Ω·m时，在防雷的接地装置同其它接地装置和进出建筑物的管道相连的情况下，防雷的接地装置可不计及接地电阻值。
g) 砖烟囱、钢筋混凝土烟囱， 宜在烟囱上装设避雷针或避雷环保护。多支避雷针应连接在闭合环上。
h) 引下线不应少于两根，但周长不超过25m且高度不超过40m 的建筑物可只设一根引下线。引下线应沿建筑物四周均匀或对称布置，其间距不应大于25m。当仅运用建筑物四周的钢柱或柱子钢筋作为引下线时， 可按跨度设引下线，但引下线的平均间距不应大于25m。
i) 防止雷电流流经引下线和接地装置时产生的高电位对附近金属物或线路的反击。
j) 在雷电频繁区域，应装设浪涌电压吸取装置。
k) 应当安装防雷保安器以防止感应雷对计算机系统的破坏。具体防雷保安器的相关规范可以参见国家标准《计算机信息系统防雷保安器》GA173-1998。

7.5.2 地震防范
在地震多发地区，安全区域应依据国家有关规范采用相应的保护措施。

7.5.3 水灾防范
在水灾易发生的地区，安全区域不能位于地表水平面或地表以下的位置。

7.5.4 台风防范
在台风易发生的地区，建议建筑物遵循防范台风的相关规定。

8 人员出入安全区域相关的管理规范
8.1 人员身份辨认管理
根据《认证管理通用标准》，在所有的认证技术手段中只有以下三种情况适合本规范的内容：
安全区域采用的认证手段应遵循下表规定
安全级别
认证方法
重要级区域
普通级区域
PIN码(用户所知)
+
Θ
智能卡(用户所持)
Θ
Θ
生物鉴别(用户生物体征)
-
-
表中符号说明： -：不规定； ＋：规定；Θ：可选
Ø 所有的存放重要信息资产的安全区域都至少需要使用门锁进行基础的保护。
Ø 对于重要级区域应至少采用PIN码或智能卡的身份辨认方式。生物鉴别技术非方案优选。
Ø 普通级区域宜采用PIN码或智能卡的身份辨认方式。

8.1.1 PIN码使用

a) 每隔90天修改口令。
b) 明确每个用户使用PIN码的责任。
c) 用户应保守PIN码的秘密性，不得将密码告诉任何不相关的人。
d) 用户应避免保存PIN码的纸面记录或电子记录。
e) 用户应避免将PIN码通过Email、电话等任何电子的或纸质的方式传播出去。
f) PIN码的最短长度不得低于6位。
g) 应避免使用与个人有关数据（如生日、身份证字号、单位简称、电话号码、同事名字等）当做PIN码。
h) 应避免在不同的应用情况下使用同样的PIN码。
i) 任何时候有迹象表白PIN码也许已经泄漏或受损害时必须立即更换。

8.1.2 智能卡相关标准 (Smart Card)
智能卡是一种安装有集成电路芯片，用于存储和解决数据的塑料卡片。智能卡中存有用户数据信息和密钥，是目前最有效的身份认证手段之一。智能卡具有安全性高、防伪性好、可靠性高、信息存储量大及使用简便的特点。
目前对于智能卡的物理特性和技术特性和通讯协议有严格的相关标准，但用作身份认证时没有具体的使用管理规范。以下列举了一些国际上关于智能卡的物理特性、技术特性和通讯协议相关的标准，仅供参考：
a) ISO7816——采用最广泛的智能卡标准。我国已采用其第一、二、三部分为中国标准 。此标准重要定义了塑料基片的物理和尺寸特性(7816/1)，触点的尺寸和位置(7816/2)，信息互换的底层协议描述(7816/3)。7816/4论述了跨行业的命令集。
b) EMV——世界重要信用卡联合体Visa，Mastercard和Europay于1996年修订完毕。定义了CPU卡的协议、数据和指令。提供了除卡内部保护机制之外的附加安全措施。
c) SET——用于电子商务的标准，是“安全电子交易”(SecureElectronicTransaction)的缩写。此标准由Visa和Mastercard共同制定。目前使用极为广泛，系统向用户规定卡号和失效日期，然后信息被加密和核算。系统只检查卡的有效性，而不判断使用者的合法性。

8.1.3 用户生物体征
用户生物体征辨认(BIOMETRICS)是指通过计算机运用人体所固有的生理特性或行为特性来进行个人身份辨认和（或）验证目的。常用的生物特性涉及：指纹、掌纹、虹膜、脸像等。生物特性辨认是目前正在发展的一门新兴技术，还没有成熟标准可参考。

8.1.3.1 指纹辨认
计算机系统通过个体指纹生理特性的提取、比对、验证，从而达成身份辨认目的。目前，指纹鉴定已经被各方所广泛接受成为一种有效的身份辨认手段。
指纹辨认技术在所有生物特性辨认技术中性能价格比最佳。指纹门禁系统、指纹考勤系统是基于指纹的身份鉴别技术最直接的应用成果，随着网络化的更加普及，指纹辨认的应用将更加广泛。

8.1.3.2 虹膜辨认
一种新兴的生物特性辨认技术，通过对个体虹膜图象提取、图像解决、虹膜特性提取、匹配与辨认等手段达成身份辨认目的。它具有唯一性、稳定性、可采集性、非侵犯性等优点。虹膜具有更高的准确性。目前，虹膜辨认的错误率是各种生物特性辨认中最低的。

8.2 安全区域出入授权管理
8.2.1 外来访问者管理
a) 确认访问者身份
b) 记录访问相关信息
c) 授予相应访问权限
d) 记录离开相关信息并收回相应的访问权限

8.2.1.1 举例——重要级区域访问管理办法
a) 来访者应由受访者亲自当面确认其身份；
b) 应记录访问者的访问时间、访问地点和事由；
c) 确认身份后向外来访问者发放临时访问卡；
d) 授权取得临时访问卡的外来访问人员必须在规定期间、规定地点，在被授权的区域内访问；
e) 访问结束后应及时收回临时访问卡，并记录结束时间。

8.2.1.2 举例——普通级区域访问管理办法
a) 来访者应出示相关证件；
b) 应记录访问者的访问时间、访问地点和事由；
c) 对被核准的外来访问者发放临时访问卡；
d) 授权取得临时访问卡的外来访问人员应在规定期间、规定地点，在被授权的区域内访问；
e) 访问结束后应及时收回临时访问卡，并记录结束时间；

8.2.2 内部员工授权管理
内部员工的访问控制管理办法应采用分权分级并基于角色和应用相结合的授权方法。(这里指的内部员工是指在安全区域内工作的人员，非该区域内中国石油其他部门的人员都不属于内部员工概念的范畴，而属于外来访问者)
a) 通过人事系统中员工的情况授予其相应的权限和承担的责任。
b) 以书面的方式将员工的权限和相应的责任提交给员工本人。
c) 根据员工权限和责任的大小确认是否需要签署相关的保密协议。
d) 在平常工作中记录员工的安全区域访问日记信息。
e) 员工一旦离职或调动岗位应立即收回或调整其访问的权限。

8.2.2.1 举例——重要级区域的内部员工管理办法：
a) 新员工进入公司后相关的档案信息进入人事系统，然后根据该员工的职权范围授予相应的访问权限；
b) 将访问权限写入该员工的身份标记卡（如智能卡）后发放给该员工；
c) 书面告知该员工相应的的权利和责任并签署相关的保密协议；
d) 在平常使用中记录该员工访问日记，以备日后审核；
e) 内部用户一旦离职或岗位变动应及时收回或调整访问权限，同时收回或更换身份标记。
8.2.2.2 举例——普通级区域的内部员工管理办法：
a) 新员工进入公司后相关的档案信息进入人事系统，然后根据该员工的等级给与相应的访问权限；
b) 可将访问权限写入该员工的身份标记卡（如智能卡）后发放给该员工。
c) 书面告知该员工相应的的权利和责任；
d) 在平常使用中记录该员工访问日记，以备日后审核；
e) 内部用户一旦离职或岗位变动应及时收回或调整访问权限，同时收回或更换身份标记。
8.3 安全区域相关日记和权限的审计管理
8.3.1 外部访问人员进出登记簿管理
8.3.1.1 登记簿中记录的内容应涉及：
a) 访问者的姓名、证件号码、访问的日期和进出时间；
b) 访问者的单位、访问事由、携带物品和相关的接待人；
c) 检测、报警系统的报警时间、现场执班人员姓名、到达时间、以及现场的其他情况如发生安全事故的情况。

8.3.1.2 登记簿记录保存时限：
a) 重要级区域登记记录应至少保存一年。
b) 普通级区域登记记录应至少保存三个月。

样例：外部人员访问登记表
序号
姓名
访问者单位
身份证号码
被授权的临时身份标记卡号
被访问的安全区域
访问事由
进入时间
退出时间
陪同人员
携带物品

备注

8.3.2 电子门禁系统日记管理
8.3.2.1 电子门禁系统日记文献应记录以下内容：
a) 日记信息；
b) 访问者的ID；
c) 访问的日期和时间。
8.3.2.2 电子门禁系统日记文献保存的时间
a) 重要级安全区域的日记文献应保存 2 年，以备审计用。超过保存期限的日记应监督销毁。
b) 普通级安全区域日记文献应保存 1 年，以备审计用。超过保存期限的日记应监督销毁。

8.3.3 日记定期的审计和人员权限的定期审核
8.3.3.1 日记定期审计
a) 重要级安全区域的日记文献每6个月审核一次；
b) 普通级安全区域的日记文献每一年审核一次。

8.3.3.2 权限定期审计
a) 重要级安全区域的人员权限每3个月审核一次；
b) 普通级安全区域的人员权限每6个月审核一次。

8.3.4 访问者访问期间的管理办法
a) 访问者访问期间必须佩戴相关的临时访问证件并遵守相应安全区域的规章制度（如必须换鞋、换衣、不得吸烟等）；
b) 访问者必须遵守相应的访问权限的约束，只能访问通过授权的具体目的；
c) 公司内部员工如发现非本公司内部员工且没有佩戴相关证件应立即上前予以指出。
附录 1 参考文献
1、《电子计算机机房设计规范》 (GB50174-93)
2、《电子计算机机房施工及验收规范》 (SJ/T30003-93)
3、《计算站场地安全规定》 (GB9361-88)
4、《电子计算机场地通用规范》 (GB2887-2023)
5、《计算机机房用活动地板技术条件》 （GB6650-86）
6、《高层民用建筑设计防火规范》 （GB50045-95）
7、《建筑设计防火规范》 （GBJ16-87）
8、《气体灭火系统施工及验收规范》 （GB50376－97）
9、《建筑内部装修设计防火规范》 （GB50222-95）
10、《解决涉密信息的电磁屏蔽室的技术规定和测试方法》BMB3-1999
11、《信息设备电磁泄漏发射限值》GGBB1-1999
12、《涉密信息设备使用现场的电磁泄漏发射防护规定》BMB5-2023
13、《涉及国家秘密的计算机信息系统保密技术规定》BMB1-2023
14、IT Baseline Protection Manual

附录 2 本规范用词说明
一、 为便于在执行本规范条文时区别对待，对规定严格限度不同的用词说明如下：
1. 表达很严格，非这样做不可的：
正面词采用“必须”；
反面词采用“严禁”；
2. 表达严格，在正常情况下均应这样做的：
正面词采用“应”；
反面词采用“不应”或“不得”。
3. 表达允许稍有选择，在条件许可时一方面应这样做的：
正面词采用“宜”或“可”；反面词采用“不宜”。
二、 条文中指定应按其它有关标准、规范执行时，写法为“应符合……的规定”或“应按……规定（或规定）执行”。