🔰《門打開之後，誰還能做什麼？機房、資料中心與戰情指揮中心的 Access Control 全貌》

《門打開之後，誰還能做什麼？機房、資料中心與戰情指揮中心的 Access Control 全貌》

文/3S Market 編輯部

**目標讀者：**企業經營者、安全主管、資訊主管、設施與資料中心管理者，以及規劃整合方案的業者。

Highlights｜五分鐘掌握

機房、資料中心與戰情指揮中心的 Access Control，不能只回答「誰能開門」，還須回答「為何進入、能做什麼、能接觸哪些設備與資料、何時必須離開」。
「人、事、物、車、網路存取」要放在同一個作業流程檢視；但各環節不一定由同一套系統控制。
進入建築、進入限制區、開啟機櫃、登入系統、執行高風險操作，是不同的授權決定。前一關通過，不應自動取得下一關權限。
影像、雙向對講、生物辨識、多重驗證與設備連動，應依風險選用。關鍵在於異常能否被發現、確認、處置與追溯。
管理成效應以權限是否適當、外包作業是否受控、異常處置是否及時、紀錄能否串接來衡量，而非僅計算裝了多少台讀卡機。

一、為什麼這三種場域不能只談「門禁」？

一名設備維護人員持有效識別證進入資料中心，不代表他可以走進所有機房；進入指定機房，不代表他可以打開任何機櫃；打開授權機櫃，也不代表他可以接上筆電、登入管理介面或複製資料。

同樣地，值班人員進入戰情指揮中心，與取得事件指揮平台的操作權限，是兩件事。外送的備品進入卸貨區，與備品獲准安裝至正式運作的設備，又是另外兩件事。

這正是將 Access Control 一概稱為「門禁管理」時容易漏掉的部分：**門是一道邊界，但場域內還有設備、系統、資料和作業程序等邊界。**NIST 的安全控制架構也分別處理實體與環境保護、身分驗證、存取控制、稽核、維護、媒體保護及事件應變；零信任架構則要求在建立資源連線前，分別驗證與授權使用者及裝置。

因此，這篇報導要討論的 Access Control，可定義為：

依據身分、任務、時間、地點及風險，決定人或系統能否跨越某一道實體或虛擬邊界；並在活動過程中持續監看、必要時調整權限，留下可追溯的紀錄。

這是一個管理模型，不表示所有驗證都要集中到單一平台，更不表示每一道門都必須裝上所有辨識設備。

案例探討｜影像辨識連動：進入機房的人，是否與核准任務相符？

**情境：**外包工程師依工單刷卡進入機房，但門開啟後，另一人跟隨進入；或工程師走向工單未指定的機櫃。

**應用流程：**門禁系統記錄「誰、何時、從哪道門進入」，影像系統提供該次通行的現場畫面。若偵測到疑似尾隨、非預期人數，或有人接近未授權區域，值班人員可對照工單、通行紀錄與即時畫面，確認後通知現場人員或啟動處置。

**需要的組合：**分區授權與門狀態紀錄、涵蓋通行位置的攝影機、適合該情境的影像分析，以及能把告警對應到通行事件與工單的介面。若要辨識特定人員身分，還須另行評估身分資料、拍攝條件與辨識誤差；人數偵測或尾隨告警，不等於已完成身分辨識。

**業主應驗證：**兩人共用一次開門時是否會告警？告警能否迅速找到對應影像與工單？誤報由誰確認，確認前是否會影響正常維運？

二、先區分三種場域：它們保護的核心不同

場域	首要保護對象	最需要釐清的授權問題
機房	關鍵設備、網路連線、電力與環控的持續運作	誰能進入？能碰哪一台設備？能否施工、斷線、重啟或更換零件？
資料中心	大量設備、客戶資料與跨區域服務的機密性、完整性及可用性	不同客戶、維運團隊與承包商如何分區？設備與儲存媒體如何進出？
戰情指揮中心	情報、即時態勢、決策流程及指揮通訊	誰可觀看何種資訊？誰可下指令、改變事件狀態或對外發布？

同一棟建築也可能同時包含這三類空間。風險分級不能只依房間名稱決定，還要看其中的設備、資料與作業後果。例如，一間小型網路機房若掌握全院或全廠的核心網路，其運作風險可能高於面積大得多的一般設備室。

三、把「人、事、物、車、網路存取」放進同一條管理鏈

人：先辨識身分，再確認當下任務

內部員工、駐點保全、外包維修商、設備原廠工程師、訪客與緊急救援人員，不能只用「有卡/沒卡」區分。每一類人都應有權限核准者、可進入區域、允許時段、陪同要求與權限失效條件。

尤其要處理三種常見落差：離職或換職後權限未撤銷、承包商持有長期通行權、借卡或尾隨進入。高風險區可視需求採雙重身分確認、單人通行空間或現場人工覆核；影像與對講可協助值班人員核對現場情境，但不能單獨取代授權程序。NIST 的實體安全控制包含實體存取授權、訪客紀錄及實體存取監看等項目。

事：以工單定義「這次進來要做什麼」

這裡的「事」是作業事件，不只是發生事故後的事件紀錄。一次硬碟更換、網路設備升級、機櫃移位或夜間故障排除，都應有明確的任務、核准人、時間窗口、執行者與完工確認。

較理想的流程是：提出工單 → 核准作業 → 指定人員與設備 → 開放限時權限 → 到場核對 → 執行與監看 → 完工復原 → 關閉權限與保存紀錄。若工作內容臨時從「檢查」變成「更換設備」，原核准範圍可能已不適用，須啟動變更程序。

Box｜雙向對講：夜間緊急維修，誰來確認並放行？

情境：夜間設備異常，原廠工程師趕到資料中心。值班保全看得到來人，但無法單憑制服、識別證或口頭說明判斷這次維修是否獲准。
應用流程：工程師在入口透過雙向對講聯絡值班中心，說明身分、工單與目的；值班人員核對預約或緊急派工紀錄，必要時向具核准權的維運主管確認。確認後，系統只開放指定時段與區域，並記錄核准者、通話及通行事件。到達機房或機櫃時，仍依該任務的權限再次核對。
需要的組合：入口對講設備、值班中心接聽與轉接機制、工單或預約查詢、門禁權限設定，以及緊急狀況下的替代聯絡程序。影像可幫助確認現場有幾人、攜帶什麼設備，但能看見來人，不代表已確認其作業授權。
業主應驗證：核准主管聯絡不上時由誰接手？電話確認後，開放的是整個資料中心，還是指定路徑與時段？事後能否查出由誰核准、誰放行、誰實際進入？

物：追蹤設備、工具與資料載體的進出

機櫃、伺服器、備用零件、工具、筆電、USB 裝置、硬碟與報廢設備，都可能成為風險入口或資料外流出口。管理重點包括：誰帶入、要接到哪個系統、序號是否相符、誰核准移出，以及退役儲存媒體如何處置。

因此，「人已獲准進門」與「所攜物品獲准接入或帶走」必須分開判定。對資料中心而言，設備交付、安裝、拆除與媒體移出，更需要在實體紀錄和資產紀錄之間建立對應關係；NIST 的控制架構也將媒體保護、維護及實體保護列為獨立管理領域。

車：車輛通行不等於貨物與人員獲准進入

車牌辨識、車輛預約、道閘與卸貨區影像，可協助管理配送及維修車輛；但車牌識別出一輛車，仍須核對駕駛、同車人員、貨物、工單與目的地。對重要據點，車道與建築入口還需考慮人車分流、車輛停靠位置，以及車輛意外或蓄意衝撞的風險。CISA 對車輛事件另有專門的預防與緩解指引。

案例探討｜進門後再次驗證：進入戰情指揮中心，不等於可以下達指令

**情境：**值班主管具有戰情指揮中心的實體通行權，也能查看態勢資訊；重大事件發生時，他需要切換到指揮席位，執行影響跨單位調度的操作。

**應用流程：**第一關驗證身分，允許進入指揮中心；第二關在席位登入時，確認帳號與裝置，決定可查看的資訊；第三關在執行高影響操作時，再核對當前職責、事件狀態與核准程序。若發生交班或緊急接管，權限變更須有明確負責人、有效期間與事後審查。

需要的組合：實體通行紀錄、個人帳號與裝置驗證、依角色設定的系統權限、高影響操作的再次驗證或覆核機制，以及能關聯通行、登入與操作的稽核紀錄。第二道以上的驗證應設在風險升高的操作點，而非要求人員對每個日常動作反覆驗證。

**業主應驗證：**能進指揮中心的人，是否都能登入指揮系統？能觀看資訊的人，是否也能修改事件或發布指令？緊急接管完成後，額外權限何時撤銷？

**置入位置建議：**三個 Box 可接在原文第四節「沿著邊界逐層設計」之後、第五節「三種場域各自最該防什麼」之前。讀者先理解邊界，再透過這三個情境看到影像辨識、雙向對講與再次驗證如何各司其職。

網路存取：人在現場，也仍須取得系統授權

最容易被忽略的是這一步：工程師即使合法進入機房，其筆電、帳號與連線方式仍須接受獨立驗證。反過來說，遠端工程師即使從未進入機房，也可能透過網路操作同一台關鍵設備。

管理上應區分實體進入權、設備操作權、系統登入權、資料存取權和高權限變更權。遠端維護、高權限帳號及對關鍵系統的操作，應與經核准的任務對應，採用合適的多重驗證、最小必要權限、限時開放與活動紀錄。NIST 的零信任原則並不因使用者位於內部網路或實體場域內，就給予預設信任。

四、部署時，應沿著「邊界」逐層設計

邊界	主要問題	可能採用的管理與設備組合
園區/車道	車、人與貨是否符合預約和任務？	預約名單、車牌辨識、警衛核對、車道影像、人車分流
建築入口	身分是否有效？是否可在此時進入？	識別憑證、訪客登記、雙向對講、入口影像
限制區入口	是否具有該區域的特定授權？是否有人尾隨？	分區權限、必要時再次驗證、門狀態監看、現場覆核
機櫃/設備	是否獲准接觸指定資產並執行指定作業？	機櫃鎖、資產與工單核對、作業紀錄
系統/資料	帳號與裝置是否可信？可執行哪些操作？	多重驗證、權限控管、遠端維護控管、操作與稽核紀錄
離場/結案	人、工具、設備與權限是否都已復原？	出場核對、資產盤點、工單結案、撤銷臨時權限

這張表是按風險選擇控制點的規劃框架，不是每個場域的固定採購清單。真正需要整合的，是工單、身分、區域、資產與事件資料之間的關聯。例如「某人於何時依哪張工單進入哪個區域，接觸哪台設備，使用哪個帳號執行了什麼操作」。

五、三種場域各自最該防什麼？

機房：防止「合法進入，錯誤操作」。一位有通行權的維護人員，仍可能拔錯線、關錯電源，或在未核准時段更新設備。此處應優先把進入權與作業工單、設備位置、變更程序連結。斷線、斷電、重啟等高影響操作，可要求額外覆核及復原計畫。

資料中心：防止「區域、客戶與資產邊界混淆」。一名工程師可能同時為多個客戶服務，卻不應因能進入共同機房就能接觸所有機櫃。須釐清共用空間、客戶專屬空間、設備交付、儲存媒體進出，以及維運廠商的授權責任。物理通行紀錄和系統操作紀錄若完全分離，事後很難還原事件。

戰情指揮中心：防止「看得到，就能指揮或發布」。值班、研判、事件指揮、系統管理與對外發布，應是不同角色。大螢幕上顯示的資訊、席位登入的資料、可執行的指令，以及對外通報的權限，都需要分層。此處還必須把交班、緊急接管、通訊中斷與備援場所納入規劃；否則平時嚴密的驗證程序，可能在重大事件時反而妨礙指揮。

六、安全與風險管理，應倒過來從結果檢查