风险评估

许多组织团体都低估了保持办公室与设备的物理安全的重要性。于是，他们往往缺乏一套清晰的策略，用来描述应该采取何种措施来避免计算机和备份存储设备遭遇失窃、恶劣天气、意外事件以及其他物理威胁。显然，这些策略非常重要，但是要把它们适当地制定出来可能比想象中复杂得多。比如说，许多组织都给办公室安装了质量很好的门锁，也许还有保险窗，但如果他们不注意钥匙的配制数量，以及什么人持有这些钥匙，那他们的敏感资料仍然易受侵害。
..................................................................................................
Shingai: 我们想把一份安全策略的摘要写到申请书里，但要确保这个策略本身足够完善。我们都应该写些什么内容呢？
Otto: 我恐怕我无法推荐一套“放之四海而皆准”的解决方案来应对物理安全所面临的挑战。一套好策略的详情一般都要根据某个特定组织的个体环境而定。不过，我倒是有一个大体上的建议：当您尝试制定一个计划时，您必须非常仔细地观察您的工作环境，对薄弱环节的所在以及如何加强这些环节，要进行富有创造性的思考。
....................................................................................................

• 在评估您或您的组织所面临的风险与安全漏洞时，您必须估计您的数据受到的威胁可能来自若干不同的层面。
• 要考虑您使用的通信渠道，以及您是如何使用它们的。包括信件、传真、固定电话、移动电话、电子邮件以及Skype。
• 要考虑您如何储存重要资料。计算机硬盘、电子邮件和网络服务器、U盘、外置硬盘、CD和DVD、移动电话、打印纸张以及手写的便条，都是可能的方式。

要考虑存放这些物件的实际位置。它们可能位于办公室、家里、后院的垃圾桶中，又或者，越来越普遍的情况是“放在互联网上”。在最后这种情况中，要界定一份特定资料的物理位置，恐怕是很困难的。

记住，同一份资料可能在不同的层面存在隐患。就像您想依靠反病毒软件来保护U盘的内容不受恶意软件的侵害，您还必须依靠一份详细的物理安全计划来避免这份资料遭到盗窃、丢失或毁坏。有些安保实践，例如拥有一个良好的异地备份策略，对于避免数据威胁和物理威胁都是有好处的，而其他实践则显然更具针对性。

当您要决定是把U盘放在口袋里还是密封于行李底部的塑料袋里，您就是在作一个有关物理安全的决定，尽管您试图保护的资料是数字化的。通常，正确的策略在很大程度上视实际情况而定。您是要穿行于城镇之间，还是要跨越边境？会有别人帮您提包吗？是否正在下雨？这些就是当您要作此种决定时应该考虑的问题。
---------------------------------------------------------------------------------------------
<<2.如何保护您的信息资料免受物理性威胁           up            保护您的信息免受物理入侵>>