★ 政府、軍隊、私人企業的實體安全規劃和最佳實踐

實體安全規劃 (PSP) 對於透過威懾、偵測、延緩和回應，來保護資產非常重要，但往往被忽視，人們更關注網路和軟體安全。

在軍事環境中，實體安全透過結合電子、機械和電氣控制的多層措施，來保護敏感資料、設備和人員。例如，將影像。監控與防爆外殼等實體屏障結合，並使用 TEMPEST 屏蔽，來防範間諜活動。

在私人機構，實體安全規劃目的在應對未經授權的伺服器機房連線存取、資料中心漏洞，以及智慧建築系統中的物聯網攻擊等威脅。保護從暖通空調系統，到安全攝影機等各種物聯網和工業設備，與更廣泛的網路安全策略密切相關。

用於管理實體安全設備生命週期的工具，可透過強化門禁控制、監控設備，以及確保合規性和正常功能，來加強實體安全，因此它們是任何實體安全計畫的基本組成部分。

本報導提供了一個技術框架，工程師可以利用這個框架來改善各自領域的安全。本報導指導工程師創建實體安全計畫 (PSP)，以保護資產、人員和資訊免受實體威脅。內容涵蓋關鍵組成部分，包括威脅評估、冷靜控制、監控和事件回應。此外，本報導還提供了整合實體安全和網路安全措施、運用先進技術，以及培訓員工的最佳實踐。最後，本報導探討了預算限制，和不斷演變的威脅等挑戰，並提供了確實可行的見解，幫助工程師調整安全策略。

關鍵實體安全計畫概念概述

以下是一些由實體安全規劃不足導致的眾所周知的事件：

安全供應商 RSA SecurID Breach（2011）：攻擊者使用社會工程來實體進入 RSA 的設施，並竊取敏感資料。這導致 SecurID 身份驗證令牌的洩露，影響了數千名客戶。
Edward Snowden Leaks（2013）：薄弱的實體門禁控制，使 Snowden 將資料偷運出 NSA 設施，暴露了機密監控程式，並引發了一場關於隱私和安全的全球辯論。
Ashley Madison Hack（2015）：資料中心缺乏實體安全導致了未經授權的連線，允許攻擊者竊取和洩露敏感的使用者資料，並造成廣泛的聲譽和財務損害。

下表比較了軍事和私人機構實體安全計劃的關鍵特徵。

關鍵特徵	軍事實體安全計劃	私人部門的實體安全計劃
周邊安全	透過障礙物、牆壁和守衛檢查站對進入點進行嚴格控制	柵欄、大門和門禁系統，但通常不如軍事設施堅固
人員審查和篩選	嚴格的背景調查、持續監控和人員安全許可	背景調查和員工篩選，持續監控，但通常範圍較小
門禁控制	高度受控地進入具有多個間隙等級的敏感區域	使用鑰匙卡、生物辨識掃描器和安全徽章來控制門禁
監視和監控	廣泛使用監控系統，包括周邊感測器、攝影機和防護裝置	用於檢測入侵的閉路電視、運動探測器和即時監控系統
安全協議和準備情況	戰鬥準備心態、快速反應處理團隊和高安全性協議	強調減輕威脅、事件反應處理和緊急疏散協議
技術整合	通常更傳統的方法（例如，警衛和屏障），儘管一些軍隊使用先進的技術進行監視和反應	嚴重依賴基於人工智慧的威脅檢測和智慧門禁控制等先進技術
員工和承包商安全	嚴格控制和監測進入敏感設施的軍事人員和承包商	針對員工、承包商和第三方供應商的安全培訓
風險評估和連續性計劃	應對安全威脅和軍事行動連續性的綜合風險管理計劃	風險評估側重於實體資產保護、業務連續性和應急準備
事件響應	軍事單位接受過快速動員的訓練，可能涉及與其他國防軍的協調	專注於快速的內部反應處理，並在需要時升級至外部安全提供商
安全重點	防範間諜活動、破壞活動、恐怖主義和敵軍	防止盜竊、破壞、網路威脅和工作場所暴力
成本考慮因素	成本通常次於任務準備和國家安全	平衡風險解決和營運效率的成本效益解決方案
法律和合規法規	嚴格遵守國防法規、法律和國際安全協議。	遵守行業特定法規（例如OSHA、GDPR、HIPAA）和當地安全法

無論是在軍事防禦，還是私人企業，實體安全規劃對於保護組織的資產，並確保其在日益複雜的安全環境中的持續營運非常重要。

制訂與實施實體安全計畫：角色與職責

實體安全計畫應著重保護企業資產、智慧財產權和員工安全。與軍隊相比，私人部門的角色往往更加專業化，將風險管理和合規性，與更廣泛的安全措施相結合，並兼顧成本效益。私人部門也更依賴技術，並加強跨部門協作（例如，IT、人力資源和設施管理）。雖然兩個部門都擁有類似的角色（例如，保全人員、經理和專家），但軍隊強調防禦和戰備，而私人部門則專注於營運安全和風險管理。

下表列出了私人組織中一些對建構實體安全計畫 (PSP) 非常重要的角色。

私營部門的作用	責任
高階主管（例如，執行長和CSO）	就安全優先順序、預算和合規性做出高層決策
安全經理	監督企業安全策略，並與整體業務目標和風險管理保持一致
實體安全專家	評估和管理私人組織的實體安全風險，通常側重於商業資產和員工安全
保全人員	在商業環境中管理門禁控制、監控和事件管理
風險分析師	分析業務連續性的潛在威脅，通常包括實體、網路和環境風險
設施經理	監督設施安全措施，如建築通道、員工安全，以及與實體安全系統的整合
IT/網路安全團隊	與實體安全合作，以保護網路安全系統，並防止透過網路攻擊破壞實體安全
法律和合規官員	確保遵守與實體安全相關的私人部門法規、行業標準和法律要求

實體安全計畫的關鍵組成部分

本節列出的要素是制訂實體安全計畫時，需要考慮的建議方向。計劃的詳細程度，可能因設施的性質而異。

如何讓你的實體安全面向未來？

DOWNLOAD FREE E-BOOK

設施概況

設施概況應描述設施，包括以下內容：

設施類型（例如，單層或多層）
使用者群體（例如，單一租戶或多租戶、托兒中心、訪客）
設施內執行的任務和關鍵功能（例如，行政管理、營運中心、機密資訊儲存、業務連續性保障場所）
公用設施（例如，電力、水、瓦斯）
最新的設施圖、施工文件和規範

角色和職責

明確設施內各職位的具體職責，並說明與安全相關的任務。明確負責制定和審批計劃的人員。同時，提供所有負責保障設施安全的緊急應變人員和/或支援機構的聯絡方式（例如，當地執法部門、保全機構和樓宇管理部門）。

風險管理策略

利用風險管理計劃 (RMP) 中的資訊，概述並確定設施、租戶機構和/或營運面臨的威脅的優先級，並概述用於解決這些威脅的策略。解釋風險管理流程中，已接受的任何風險，及其可能造成的後果。

安全對策

辨識並詳細描述所有目前和計劃中的安全對策（包括平面圖，如果有），以應對所有已辨識的威脅。盡可能確保對策具有可擴展性，以便根據威脅的演變調整安全態勢。

維護、維修和測試程序

描述操作人員和製造商，對安全對策的維護和維修要求。概述安全經理執行的測試計劃。

事件回應管理和程序

詳細描述應對安全事件和緊急情況的程序。詳細資訊應包括以下內容：

報告：員工如何通報事件？他們是致電內部營運中心還是撥打 911？
通知：如何通知緊急應變人員和設施內人員事件正在發生或已經發生？
響應：誰應該響應？如何響應？指揮鍊是什麼？執法和保全機構

消防部門
醫療部門
警報響應

恢復：事件回應結束後，如何恢復正常運作？
文檔記錄：如何記錄事件？資訊保存在哪裡？誰有權存取這些資訊？

設施特定政策

包括任何特殊要求，例如房東或租戶協議或特殊任務（例如，機密區域、營運中心、網路控制中心、托兒中心等）。

政府財產

包括控制政府所有財產被竊、破壞和處置的程序。

計畫的培訓和演練

制訂一項策略或計劃，用於培訓人員並演練安全計劃 (PSP) 的各個方面。這些演練可以是桌面演練、演習或全面演練。

計劃審查

在計劃中提供計劃審查指南。計劃審查應至少每年進行一次。

資源支持

概述如何獲得資金支持，以維持從事件發生前到事件發生後的安全營運的財政指導。

資訊安全

如適用，解決與保護敏感但非機密資訊，和機密資訊相關的問題。

網路安全

與所有租戶首席資訊長 (CIO) 合作，制訂一項計劃，用於對與安全對策相關的資訊技術系統和設備，進行實體和邏輯保護。諸如 IP 攝影機之類的安全設備，構成了一個可被利用的攻擊面。以下部分將闡述專用軟體如何簡化此過程。

實體安全管理軟體

企業應考慮的關鍵組件之一，是實施實體安全管理解決方案。

企業應採用實體安全管理解決方案，以增強整體安全態勢並簡化複雜安全營運的管理。

將各種安全設備管理流程整合到單一介面中，可提高營運效率並確保系統化的保護。

此類平台的主要功能包括：

1. 設備健康監控：

追蹤監視攝影機和門禁系統等安全設備的運作狀態，確保其始終正常運作。

2. 自動警報：

針對設備故障、安全漏洞或異常活動發送即時通知，以便快速採取行動。

3. 分析與洞察：

產生設備效能、安全趨勢和合規狀態報告，幫助組織做出數據驅動的決策。

4. 集中式存取控制：

管理跨設施的權限和訪問，減少與未經授權訪問相關的漏洞。

5. 合規性管理：

自動執行合規性檢查，確保所有安全措施符合法規要求和內部政策。

實體安全管理平台介面範例（來源）

下表列出了在建立 PSP 時需要考慮的最佳做法。

最佳做法	描述
進行全面的風險評估	定期評估潛在的威脅、脆弱性和各種風險的影響。根據這些評估，根據需要更新安全計劃。
建立分層安全方法	實施多層安全（例如，周邊控制、門禁控制和內部安全），以阻止或延遲未經授權的進入，並將風險降至最低。
將技術與實體安全相結合	利用閉路電視、生物辨識系統、運動探測器和智慧安全解決方案等，先進技術進行即時監控和威脅檢測。
確保清晰一致的溝通	為安全團隊、員工和管理層制訂清晰的溝通協議。
實施強有力的門禁控制政策	根據最小特權原則執行門禁策略，使用多重身份驗證，並定期更新門禁憑據。
定期培訓員工和安全人員	為所有員工提供安全意識培訓，並為安全人員提供有效處理事件和緊急情況的專業培訓。
制訂事件響應和恢復計劃	制定有記錄的計劃來應對安全漏洞，包括業務連續性和災難恢復協議。定期測試和更新。
監控和評估安全效能	持續跟蹤安全措施的有效性，進行審計，並尋求改進反饋。
實施統一的實體安全管理解決方案	現代物理管理軟體允許團隊集中安全態勢，和監管合規性所需的關鍵管理工作流程
遵守行業法規和標準	隨時瞭解法律和監管要求（例如，OSHA、GDPR），並確保你的PSP合規，以避免處罰或法律問題。
維護安全和緊急聯絡人列表	保持緊急服務（例如執法和醫療設施）的最新聯絡人名單，並確保在危機期間可以訪問它們。