4.2背景调查
人员任职前根据职责要求和岗位对信息安全的要求，采取必要的背景验证。
4.3雇用的条款和条件
人员雇佣后，应签署必要的合同，明确雇佣的条件和条款，并包含信息安全相关要求。
4.4信息安全意识、教育和培训
入职新员工培训应包含IDC信息安全相关内容。
至少每年一次对人员进行信息安全意识培训。
4.5安全违纪处理
针对安全违规的人员，建立正式的纪律处理程序。
4.6雇佣的终止与变更
IDC应清晰规定和分配雇用终止或雇用变更的职责;雇佣协议终止于变更时，及时收回相关信息资产，并调整或撤销相关访问控制权限。
5、物理与环境安全
5.1 安全区域
5.1.1边界安全与出入口控制
根据边界内资产的安全要求和风险评估的结果对IDC物理区域进行分区、分级管理，不同区域边界与出入口需建立卡控制的入口或有人管理的接待台。
入侵检测与报警系统覆盖所有门窗和出入口，并定期检测入侵检测系统的有效性。
机房大楼应有7×24小时的专业保安人员，出入大楼需登记或持有通行卡。
机房安全出口不少于两个，且要保持畅通，不可放置杂物。
5星级IDC：出入记录至少保存6个月，视频监控至少保存1个月。
4星级IDC：出入记录至少保存6个月，视频监控至少保存1个月。
5.1.2 IDC机房环境安全
记录访问者进入和离开IDC的日期和时间，所有的访问者要需要经过授权。
建立访客控制程序，对服务商等外部人员实现有效管控。
所有员工、服务商人员和第三方人员以及所有访问者进入IDC要佩带某种形式的可视标识，已实现明显的区分。外部人员进入IDC后，需全程监控。
5.1.3防范外部威胁和环境威胁
IDC对火灾、洪水、地震、爆炸、社会动荡和其他形式的自然或人为灾难引起的破坏建立足够的防范控制措施;危险或易燃材料应在远离IDC存放;备份设备和备份介质的存放地点应与IDC超过10公里的距离。
机房内应严格执行消防安全规定，所有门窗、地板、窗帘、饰物、桌椅、柜子等材料、设施都应采用防火材料。
5.1.4公共访问区和交接区
为了避免未授权访问，访问点(如交接区和未授权人员可以进入的其它地点)需进行适当的安全控制，设备货物交接区要与信息处理设施隔开。
5.2 设备安全
5.2.1设备安全
设备尽量安置在可减少未授权访问的适当地点;对于处理敏感数据的信息处理设施，尽量安置在可限制观测的位置;对于需要特殊保护的设备，要进行适当隔离;对信息处理设施的运行有负面影响的环境条件(包括温度和湿度)，要进行实时进行监视。
5.2.2支持性设备安全
支持性设施(例如电、供水、排污、加热/通风和空调等)应定期检查并适当的测试以确保他们的功能，减少由于他们的故障或失效带来的风险。
实现多路供电，以避免供电的单一故障点。
5.2.3线缆安全
应保证传输数据或支持信息服务的电源布缆和通信布缆免受窃听或损坏。
电源电缆要与通信电缆分开;各种线缆能通过标识加以区分，并对线缆的访问加以必要的访问控制。
线缆标签必须采用防水标签纸和标签打印机进行正反面打印(或者打印两张进行粘贴)，标签长度应保证至少能够缠绕电缆一圈或一圈半，打印字符必须清晰可见，打印内容应简洁明了，容易理解。标签的标示必须清晰、简洁、准确、统一，标签打印应当前后和上下排对齐。
5.2.4设备维护
设备需按照供应商推荐的服务时间间隔和说明书，进行正确维护;设备维护由已授权人员执行，并保存维护记录1年。
5.2.5组织场所外的设备安全
应对组织场所的设备采取安全措施，要考虑工作在组织场所以外的不同风险。
5.2.6设备的安全处置或再利用
包含储存介质的设备的所有项目应进行检查，以确保在销毁之前，任何敏感信息和注册软件已被删除或安全重写。
5.2.7资产的移动
设备、信息或软件在授权之前不应带出组织场所，设置设备移动的时间限制，并在返还时执行符合性检查;对设备做出移出记录，当返回时，要做出送回记录。
6、通信和操作管理
6.1 运行程序和职责
6.1.1运行操作程序文件化
运行操作程序文件化并加以保持，并方便相关使用人员的访问。
6.1.2变更管理
对信息处理设施和系统的变更是否受控，并考虑：重大变更的标识和记录;变更的策划和测试;对这种变更的潜在影响的评估，包括安全影响;对建议变更的正式批准程序;向所有有关人员传达变更细节;返回程序，包括从不成功变更和未预料事态中退出和恢复的程序与职责。
6.1.3职责分离
各类责任及职责范围应加以分割，以降低未授权或无意识的修改或者不当使用组织资产的机会。
6.1.4开发设施、测试设施和运行设施的分离
开发、测试和运行设施应分离，以减少未授权访问或改变运行系统的风险。
6.2 第三方服务交付管理
6.2.1服务交付
应确保第三方实施、运行和保持包含在第三方服务交付协议中的安全控制措施、服务定义和交付水准。
IDC应确保第三方保持足够的服务能力和可使用的计划以确保商定的服务在大的服务故障或灾难后继续得以保持。
6.2.2第三方服务的监视和评审
应定期监视和评审由第三方提供的服务、报告和记录，审核也应定期执行，并留下记录。
6.2.3第三方服务的变更管理
应管理服务提供的变更，包括保持和改进现有的信息安全方针策略、程序和控制措施，要考虑业务系统和涉及过程的关键程度及风险的再评估
6.3系统规划和验收
6.3.1容量管理
IDC各系统资源的使用应加以监视、调整，并做出对于未来容量要求的预测，以确保拥有所需的系统性能。
系统硬件系统环境的功能、性能和容量要满足IDC业务处理的和存贮设备的平均使用率宜控制在75%以内。
网络设备的处理器和内存的平均使用率应控制在75%以内。
6.3.2系统验收
建立对新信息系统、升级及新版本的验收准则，并且在开发中和验收前对系统进行适当的测试。
6.4防范恶意代码和移动代码
6.4.1对恶意代码的控制措施
实施恶意代码的监测、预防和恢复的控制措施，以及适当的提高用户安全意识的程序
6.4.2对移动代码的控制措施
当授权使用移动代码时，其配置确保授权的移动代码按照清晰定义的安全策略运行，应阻止执行未授权的移动代码。
6.5 备份
6.5.1备份
应按照客户的要求以及已设的备份策略，定期备份和测试信息和软件。各个系统的备份安排应定期测试以确保他们满足业务连续性计划的要求。对于重要的系统，备份安排应包括在发生灾难时恢复整个系统所必需的所有系统信息、应用和数据。
应确定最重要业务信息的保存周期以及对要永久保存的档案拷贝的任何要求。
6.6 网络安全管理
6.6.1网络控制
为了防止使用网络时发生的威胁和维护系统与应用程序的安全，网络要充分受控;网络的运行职责与计算机系统的运行职责实现分离;敏感信息在公用网络上传输时，考虑足够的加密和访问控制措施。
6.6.2网络服务的安全
网络服务(包括接入服务、私有网络服务、增值网络和受控的网络安全解决方案，例如防火墙和入侵检测系统等)应根据安全需求，考虑如下安全控制措施：为网络服务应用的安全技术，例如认证、加密和网络连接控制;按照安全和网络连接规则，网络服务的安全连接需要的技术参数;若需要，网络服务使用程序，以限制对网络服务或应用的访问。
6.7 介质管理
6.7 .1可移动介质的管理
建立适当的可移动介质的管理程序，规范可移动介质的管理。
可移动介质包括磁带、磁盘、闪盘、可移动硬件驱动器、CD、DVD和打印的介质
6.7 .2介质的处置
不再需要的介质，应使用正式的程序可靠并安全地处置。保持审计踪迹，保留敏感信息的处置记录。
6.7 .3信息处理程序
建立信息的处理及存储程序，以防止信息的未授权的泄漏或不当使用。
包含信息的介质在组织的物理边界以外运送时，应防止未授权的访问、不当使用或毁坏。
6.8 信息交换
6.8.1信息交换策略和程序
为了保护通过使用各种类型的通信设施进行信息交换，是否有正式的信息交换方针、程序和控制措施。
6.8.2外方信息交换协议
在组织和外方之间进行信息/软件交换时，是否有交换协议。
6.8.3电子邮件、应用系统的信息交换与共享
建立适当的控制措施，保护电子邮件的安全;为了保护相互连接的业务信息系统的信息，开发与实施相关的方针和程序。
6.9 监控
6.9.1审计日志
审计日志需记录用户活动、异常事件和信息安全事件;为了帮助未来的调查和访问控制监视，审计日志至少应保存1年。
6.9.2监视系统的使用
应建立必要的信息处理设施的监视使用程序，监视活动的结果应定期评审。
6.9.3日志信息的保护
记录日志的设施和日志信息应加以保护，以防止篡改和未授权的访问。
6.9.4管理员和操作员日志
系统管理员和系统操作员活动应记入日志。系统管理员与系统操作员无权更改或删除日志。
6.9.5故障日志
与信息处理或通信系统的问题有关的用户或系统程序所报告的故障要加以记录、分析，并采取适当的措施。
6.9.6时钟同步
一个安全域内的所有相关信息处理设施的时钟应使用已设的精确时间源进行同步。
5星级IDC各计算机系统的时钟与标准时间的误差不超过10秒。
4星级IDC各计算机系统的时钟与标准时间的误差不超过25秒。
(责任编辑：)
