來源：Applied Risk
當我們閱讀或聽到工業控制系統（ICS，Industrial Control Systems）安全時，重點往往放在「網路」保護措施上。然而，ICS 和支援系統的真正安全計劃應該是整體的，以確保網路安全和實體安全措施的整合。不幸的是，在太多情況下，實體安全往往會被忽視。
ISA/IEC-62443-2-1
網路安全標準；ISA/IEC-62443-2-1，工業自動化和控制系統的安全，包括一個關於實體和環境安全的部分。這兩個小節側重於安全區域（11.1）和裝置（11.2）。
實體和環境安全的目標是「防止未經授權的實體訪問、損壞和干擾組織的資訊和資訊處理設施。」 從本質上講，該標準的一個關鍵方面，是實施有效的 門禁控制，並保護系統和裝置免受損壞。
實體安全周界（PSP，Physical Security Perimeter）
ICS 安全審核的首要行動之一，應該是辨識和驗證圍繞工業控制系統的實體安全邊界。使用此外圍，應辨識實體接入點（例如進入/離開點）。這些周邊屏障應該是實體上健全的，沒有縫隙或弱點，容易發生突破。此外，應考慮天花板、地板和四面牆的「六面屏障」概念。
周邊的所有外門或大門，都應透過鎖、閉路電視、警報器等控制機制進行保護，防止未經授權的進出訪問。門窗在無人看管時應上鎖，地面窗戶需要額外的保護，例如鋼筋、金屬網。
提醒一下，深度防禦概念也適用於 PSP。在系統周圍擁有多層實體保護是令人滿意的，甚至是必要的 —— 特別是那些分別儲存和發生智慧財產權和專有操作的敏感功能的系統。
門禁控制
雖然 PSP 已經到位，以防止入侵者和外人訪問 ICS 系統和資訊，但也需要為經批准的人員、供應商和護送訪客提供門禁控制。
應考慮以下門禁控制：
- 應安全維護、儲存和監控所有訪問的實體日誌或電子審查追蹤，以及 PSP 進入/離開的日期和時間；
- 在 PSP 內時，所有訪客都必須得到護送和監督；
- 訪問包含機密/專有資訊的區域應僅限於授權個人，並且只能透過強大的門禁控制，如門禁卡和 PIN 碼；
- PSP 內的所有員工、承包商、第三方供應商和/或訪客，都應佩戴某種形式的可見身份證件；
- 應定期審查和更新安全區域的進出訪問許可權（每月推薦），並撤銷不必要的訪問許可權。
裝置選址和保護
應保護工業控制系統和資訊免受損壞、丟失、盜竊或洩露。該領域的一些關鍵考慮因素包括：
- 火災檢測/保護系統應安裝，並在發生火災時自動啟動；
- 溫度和溼度應保持在可接受的水準內 —— 特別是對於伺服器和工作站；
- ICS 應受到保護，免受管道線路、暖通冷氣機排水管等損壞。 ；
- 應將防雷和有效接地應用於所有容納 ICS 的建築；
公用事業
- 關鍵實用服務（key utility services ）的丟失，可以非常快速地禁用操作環境。應透過考慮以下一些技術，來分析和防止此類干擾：
- 應保護電力和電信基礎設施免受攔截、干擾或損壞（例如挖土機切割或破壞）；
- 電力服務、電信、網際網路等應透過大型或關鍵設施的一次和二次饋電來提供。 如果可能的話，這些提要應該在地理上分開並且來自不同的來源。 考慮將信號源設置在設施的兩端。
- 提供短期不間斷電源（UPS），以便在主電源丟失時有序關閉 ICS；
- 應在停電時啟動應急照明，並覆蓋緊急出口和疏散路線。
安全處置或重複使用裝置
作為系統生命週期的一部分，伺服器、工作站或 ICS 元件被標記為處置或重複使用。在這些情況下，非常重要的是，對所有包含儲存媒介（例如硬碟驅動器）的裝置進行消毒，以確保在處置或重複使用之前，任何敏感資料和許可軟體都已被刪除並安全覆蓋（或實體銷燬）。
掌握人身安全是一份全職工作
上面的實體安全參數列表不完整，但會讓你瞭解需要解決的範圍和深度。將人身安全視為兼職工作根本行不通，往往會導致更多的危機，而不是改善安全。
0 comments:
張貼留言