每次进到被测评单位的机房前半程看防火墙、看堡垒机、看日志审计基本能形成初步判断。真正让我打起精神的是开始翻管理类材料那一趴。等保测评里安全运维管理这一块儿几乎每个项目都能翻出几个意想不到的现场制度挂在墙上写得漂漂亮亮实际操作全是另一套台账本子摞了一柜子随机抽一台设备去机柜前核对IP都对不上。这套“看起来简单、查起来处处是细节”的控制域恰恰是很多单位丢分最狠的地方。这篇文章我打算按系列来写。等保2.0的安全运维管理控制域范围不小这一篇先讲最基础的四个控制点环境管理、资产管理、介质管理、设备维护管理。它们不像漏洞扫描、日志审计那么有技术含量却直接决定测评现场的“人、物、环境”能不能对得上。如果你是刚接手单位等保工作的运维人员或者正在准备迎接测评的整改季这篇文章能把这几块最容易踩坑的地方给你捋清楚。1. 等保测评为什么总栽在“安全运维管理”上1.1 安全运维管理在等保2.0里的定位等保2.0的管理要求分了五个控制域安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。前四个解决的是“有没有人管、制度怎么定、建设期怎么控”而安全运维管理解决的是系统上线之后日常每一天怎么把安全动作落下去。很多单位在建设期是舍得花钱的防火墙买双活堡垒机、日志审计、态势感知一套配齐定级备案材料也漂漂亮亮。但等保测评不是只看你买了什么设备还要看这些设备平时有没有人看、机房进没进过不该进的人、资产台账跟现场一对准不准、报废硬盘有没有做数据销毁。这些“看不见的日常动作”全部落在安全运维管理这个控制域里。从测评结果看安全运维管理是扣分重灾区。原因很现实技术措施是一次性部署投入管理措施是长期持续性动作。部署一套审计系统可能一个月就能完成但让运维人员每季度做一次资产核验、每次送修设备都走审批、每次外来人员进机房都登记陪同这需要流程机制和习惯养成。等保测评恰恰是拿这一整套“日常动作”的痕迹来判分短期突击很难补出真实效果。1.2 测评师看管理类要求时到底在看什么很多运维负责人有个误区觉得管理类测评就是“制度齐全就能过”。实际上测评师的判断逻辑是一条三角验证链制度可查、记录可溯、现场可比。制度可查是看你有没有针对这个控制点的管理文件、操作规程、审批流程定义。记录可溯是看每一项制度要求有没有对应的执行痕迹比如出入登记表、巡检记录单、审批单、盘点表。现场可比是我拿着台账去机柜前抽几台设备核对拿着出入登记去门禁系统拉记录比对拿着介质台账去看介质柜里的实物是不是对得上。三条线对得上符合性判定就是“符合”制度和记录都有但现场造假痕迹明显就是“部分符合”只有制度没有记录、记录和现场两层皮就是“不符合”。这也就是为什么有些单位找咨询公司写了一整面墙的制度文件最后还是拿低分——因为你制度里写“每季度组织一次资产盘点”结果台账最后一行的更新日期停在两年前这比没有制度还尴尬。2. 环境管理进机房的第一眼就决定印象分2.1 等保2.0对环境管理的检查点环境管理是整个安全运维管理里最“物理”的一个控制点。等保2.0对这个控制点的要求按我测评时惯用的检查范围来拆解至少包括这几条明确专人负责机房安全运行对机房出入进行管理定期对机房环境进行安全巡检保持巡检记录机房应设置温湿度自动调节系统使温度、湿度控制在一定范围机房应落实防盗窃、防雷击、防火、防水、防静电等防护措施对关键设备进行定期维护和检测。落到测评现场检查动作通常分三步。第一步是访谈机房管理员问机房出入流程怎么走、巡检周期是多久、温湿度异常时怎么处理。第二步是检查记录翻机房出入登记表、环境巡检记录、温湿度记录表、设备点检表。第三步是现场转机房看门禁系统有没有用、监控摄像头有没有盲区、温湿度传感器和空调联动是否正常、机柜下面有没有漏水隐患、防静电地板接地有没有做。这里面有一个细节我特别关注机房出入登记和门禁记录是两个独立来源但很多单位只看一个。有一次我在某单位检查出入登记表写得密密麻麻但对照门禁系统的刷卡记录发现登记表上前一天的“进入记录”在门禁系统里根本不存在。一聊才知道登记表是月底补的门禁系统因为换卡升级停用了两个月。这就属于典型的“记录和现场两层皮”。2.2 环境管理常见的翻车现场做过的等保项目多了会发现环境管理的常见问题非常有共性。我整理几个高频翻车点你自查的时候可以直接对照。第一是出入登记流于形式。门口放一个本子一支笔进出靠自觉登记登记信息只有时间和姓名没有事由、没有陪同人、没有进出时段。更常见的是本子放在前台快递员都能顺手签个名进机房。整改思路很简单但必须落地登记表和门禁/访客系统联动进入机房必须有人审批离开时记录离开时间访客全程有内部人员陪同。第二是温湿度记录造假明显。有些单位打印了一张温湿度记录表让保安每天上班签个温度值结果周末和节假日也有数据甚至出现“未来三天”的温度记录。测评师对这种记录基本一眼识破。如果单位机房确实没装温湿度传感器那就老老实实装一个带记录功能的温湿度监控设备成本不高却能给每天的值守记录提供真实依据。第三是防雷防静电检测缺失。不少单位机房建成后从来没做过防雷接地检测防静电地板下面的接地铜带锈迹斑斑。等保测评对这类物理防护措施是现场实查的——接地电阻有没有年度检测报告、防雷器有没有巡检记录、机柜接地线有没有接好都是扣分点。整改也不复杂找有资质的检测机构做一次检测把报告归档再纳入年度运维计划。第四是巡检记录没有可操作性。我经常看到巡检表上只有“正常”“异常”两个勾选框没有具体巡检项。这样的记录就算签了字也说明不了巡检质量。我建议把巡检表设计成带具体检查项的清单机房温湿度数值、UPS状态、空调运行状态、漏水检测、烟雾探测器指示灯、机柜风扇、网络设备指示灯状态等每项打勾并填写实测值异常情况单列一栏。这个表单看似增加了一点工作量但真到测评访谈时运维人员能说清楚自己每次巡检到底看了什么应对“人员提问”环节会从容很多。3. 资产管理一份能扛住机柜前抽查的台账3.1 资产管理的考察逻辑资产管理这个控制点在很多单位眼里就是“一张Excel表”但测评师的习惯恰恰是拿这张表去现场做随机抽查。等保2.0对资产管理的要求核心是三条建立并保存信息系统相关的资产清单明确资产责任人对资产进行分类标识关键资产要有可见标识定期更新资产清单确保与实际运行环境一致。为什么测评师这么执着于资产台账因为资产管理是所有安全控制措施的基础。你要做漏洞管理得先知道哪些主机在网要做备份恢复得先知道哪些系统最关键要做变更管理得先知道设备配置基线是谁的。如果资产底数不清后面所有管理动作都是空中楼阁。我在实际测评中的检查方法是从资产台账里随机抽三到五台设备记录型号、序列号、IP地址、所在机柜位置然后带着这张纸去机房现场核对。同时也会在台账里挑几台标注为“核心业务”的设备问责任人是谁、上次维护是什么时候、这台设备承载什么业务。如果台账上写“责任人张三”而张三已经在半年前离职了这就是一个直接的符合性扣分点。3.2 我建议的资产台账字段和更新机制一份能扛住抽查的资产台账字段设计很关键。资产类型至少要覆盖硬件设备、软件系统、数据资源、相关人员、外部服务这几类。硬件设备部分我建议台账至少包含资产编号、设备名称、品牌型号、序列号、部署位置机房/机柜/U位、IP地址、MAC地址、操作系统版本、承载业务、资产责任人、启用日期、维保状态、备注。虚拟机、容器这些新形态也要纳入台账不能因为是虚拟化环境就漏了。资产标识这块容易被忽略。关键资产要有物理标识最简单的做法是给核心服务器、安全设备贴上资产标签标签内容包括资产编号、责任人、业务名称。标签和台账编号要一一对应测评现场抽查时我查的就是“标签—台账—实物”三者一致。更新机制比台账模板更重要。我建议至少保证三个时间点新设备上架当日在台账登记设备报废或迁移后一周内更新台账状态每季度末做一次全量资产核验核验结果由运维负责人签字。核验不能坐在办公室里对着Excel看要拿着打印版台账去机柜前一排一排核对核验中发现的变化记录到“变更备注”列。有的单位上了CMDB或运维管理平台资产信息自动同步这当然更好没条件上平台的小单位只要把上述机制落实到位纸质台账同样能过。我碰过一个典型的反面案例某单位台账做得很漂亮资产分类清晰、字段完整但测评当天我抽查了三台服务器其中一台的IP地址已经被别的业务占用台账还写着两年前的业务名称。运维人员解释说“新业务上线时忘了更新台账”。这就是台账成了“展品”而不是“工具”的结果。4. 介质管理那些平时不起眼、查起来全是要害的小物件4.1 等保2.0对介质管理的基本要求介质管理控制点关注的是移动存储介质、光盘、磁带、纸质敏感文档的采购、使用、保管、销毁全过程。等保2.0对这个控制点的要求概括起来是四条介质要分类并标识存放在安全可控的环境中介质使用要有审批和控制防止未授权使用定期对介质进行盘点核查确保介质与台账一致介质不再使用时要规范销毁敏感数据要做清除处理。我检查介质管理时现场动作也很直接打开介质柜看实物和台账能不能对上翻借出归还登记表看有没有审批人签字找几块已经报废的硬盘看有没有数据销毁记录。有一次在某单位看到一堆移动硬盘堆在办公室角落的纸箱里没有任何标识也没有台账登记。运维人员说是“测试用的”但测试机上存了什么数据、硬盘拿出去过没有完全说不清楚。这种现场在测评里就是直接判不符合。介质管理的难点在于它管的东西太小、太分散。硬件设备还有机柜锁着U盘、移动硬盘、备份磁带却散落在各个工位。所以这个控制点的核心不是做一份台账而是建立一套“从购买到销毁”的流程约束。4.2 介质管理的常见不符合项和整改思路最常见的第一个问题是没有介质台账。很多单位有固定资产台账但这和介质台账是两回事。介质台账要记录介质编号、介质类型、用途、存储数据的最高密级、存放位置、保管责任人、当前状态在库/借出/报废。光盘、U盘、移动硬盘、磁带、纸质敏感文档都要纳入哪怕是测试用途的介质也不能漏。第二个问题是移动介质使用没有审批控制。一个比较常见的场景是办公网和业务网之间文件交换运维人员随手拿一个U盘拷贝这个U盘可能插过家里的电脑也可能借给过同事。整改方式是把数据交换流程固定下来跨网数据交换只能使用专用介质专用介质标识为“内网专用”使用前在专用查杀终端上做病毒木马扫描借出和归还都登记。这套流程执行起来并不复杂关键是给运维人员提供便利——在合适位置设置查杀终端而不是让流程变成额外的负担。第三个问题是介质报废销毁环节缺失。我经常在检查中看到报废硬盘还堆在机房角落里没有做数据清除。原因多半是运维人员觉得“硬盘还能转扔了可惜”。但等保测评考的是数据安全风险报废介质不销毁和把数据手册放在门卫室没有区别。建议整改步骤设备报废评审时同步评审存储介质可用但不需要继续存储数据的介质做格式化加数据覆写确认无法再使用的介质做物理销毁或消磁处理所有销毁动作记录在《介质销毁登记表》上包括介质编号、销毁方式、执行人、监销人、销毁时间。如果单位没有消磁设备可以委托有资质的第三方做销毁并索要销毁证明。第四个问题是纸质敏感介质管理缺失。这里说的不只是文件柜里的红头文件还包括网络拓扑图、IP规划表、账号密码表、运维手册这些打印件。它们经常散落在运维工位和打印机旁。整改办法很简单敏感纸质文件统一装订编号存放在带锁文件柜里借阅登记废弃时用碎纸机粉碎并记录。花钱不多但测评现场翻到散落的网络拓扑图时这一项就保住了。5. 设备维护管理从日常点检到报废销毁的全流程5.1 设备维护管理查什么设备维护管理控制点围绕设备全生命周期展开从日常维护、故障维修、外部维修人员管理到设备报废和数据销毁。等保2.0的核心要求是指定专人对设备进行维护管理建立完整的设备维护记录设备送外维修要审批维修前处理敏感数据外部维修人员进入机房要有登记和管理设备报废或更换时存储介质中的敏感数据必须清除或销毁。测评检查时我会同时看三个层面的东西。第一是维护计划有没有制定设备定期维护保养计划年度计划里有没有覆盖服务器、网络设备、安全设备、UPS等关键设备。第二是维护记录日常巡检、季度点检、故障维修有没有形成闭环记录记录内容包括维护时间、维护人员、维护内容、处理结果。第三是维修和报废审批流程设备送修有没有审批单报废有没有评审和销毁记录。很多单位对设备维护的理解就是“坏了报修”缺少预防性维护的概念。实际上等保测评更看重的是你有没有定期做设备健康检查——风扇积灰、硬盘坏道、电源模块老化这些东西都是在故障发生之前就该被发现的。建议的做法是把运维计划做成一张年度维护表哪台设备、什么时候做哪类检查、检查项是什么、上次维护发现过什么问题。这张表同时就是最好的测评证据。5.2 送修、外部人员、报废三个高风险环节设备维护管理里最容易出问题的不是日常巡检而是三个特殊环节。第一个是设备送外维修。有些服务器或者存储设备故障后企业会把整机交给设备厂商返修但维修前完全没有对硬盘里的数据进行保护或清除。正确做法是送修前先拆下所有存储介质无法拆卸的要做好数据备份后执行数据清除再填写《设备送修审批单》单子里要包括送修设备信息、故障描述、存储介质状态、数据处置方式。厂家修完送回后还要做验收记录核对设备序列号、确认拆装痕迹。第二个是外部维修人员的现场管理。厂商售后工程师直接进机房操作设备单位没有安排陪同、没有登记证件、没有限制操作范围这是我在测评中见过多次的场景。整改办法有两层流程上外部人员进机房前要核验身份、登记来访信息、明确维修范围和工期由内部运维人员全程陪同技术上对于存储敏感数据的设备外部维修前应先将设备退出业务网络或移除硬盘等存储介质避免维修人员直接接触生产数据。如果条件允许设置一个专门的维修工位不要把外来维修直接带到核心机柜前。第三个是设备报废环节的存储介质处理。很多单位的资产报废流程只走到“财务销账”就结束了硬盘里的数据没人管。我之前在某单位见过一批待报废的旧服务器硬盘还插在位系统盘里存了业务数据库备份。这种做法最大的问题是数据泄露风险测评发现后也是直接不符合。整改时要把介质销毁作为报废流程的最后一道关卡运维人员拆下所有存储介质分类处理可消磁的消磁可物理销毁的送专业机构最后提交《存储介质销毁记录表》由运维负责人复核签字。设备报废台账和介质销毁台账两本账要对得上这样才算形成闭环。6. 四个控制点的迎检材料清单与实操经验6.1 一张表看懂迎检材料很多单位在测评前会问“要准备什么材料”我直接整理成一张对照表按控制点分列。准备迎检时可以拿着这张表一项一项打勾。控制点建议准备的材料测评现场怎么查常见扣分点环境管理机房出入登记表、门禁访客记录、环境巡检表、温湿度记录、防雷接地检测报告、消防及UPS巡检记录抽取出入登记与门禁比对现场看机柜环境、温湿度设备、防静电接地登记表事后补签、温湿度记录数据雷同、防雷检测过期资产管理资产清单台账、资产标识标签、资产盘点报告、资产变更记录抽3至5台设备到机柜前核对型号、位置、IP、责任人台账字段不全、责任人离职未更新、虚拟机和新建业务未纳入台账介质管理介质台账、介质借用归还登记表、移动介质使用审批单、介质销毁记录表、介质柜存放区域抽查介质柜实物与台账翻借用登记与审批签字询问报废介质处置方式无台账、无审批、报废硬盘未做销毁处理、纸质敏感文档散放设备维护管理设备维护年度计划、维护保养记录、故障维修记录、送修审批单、外部人员进机房登记、报废设备评审表、存储介质销毁记录查维护记录是否完整抽问最近一次送修时间看报废设备的介质处置凭证重“报修”轻“预防性维护”、外部人员无陪同、报废设备硬盘未拆除这张表准备齐了等于把安全运维管理这四块的材料地基打好了。但要提醒一句材料是给测评师核验的不是给测评师收藏的。表格里的记录必须是日常真实流转产生的测评师访谈时只要追问几个细节材料真实性就藏不住。6.2 我踩过和见过的几个坑第一临阵补记录是大忌。有一次测评前一周某单位把一年的机房出入登记表补完了补得整整齐齐。我到现场随手翻到一页发现连续三天的出入时间写得分秒不差问值班人员“这三天你值班时大概几点巡检”对方支支吾吾说不出来。记录造假在测评里一旦被识破影响的不是单个控制点而是整个管理部分的可信度。与其临时编记录不如从今天开始启用标准表单哪怕从测评前一个月开始记录也是真实可查的。第二材料要有“实物流”支撑。资产台账做得再好如果现场抽一台设备对不上这一项就会被打到“部分符合”。我建议在测评前一个月做一次模拟抽查自己按测评师的方法抽10%的资产去机柜前核对先把对不上的账改掉。介质管理也一样台账写了三个U盘介质柜里就要正好找到三个多一个少一个都要查清原因。第三制度、记录、人员访谈要能互相咬合。制度上写“机房巡检每周一次”巡检记录就要匹配每周一次访谈运维人员时对方也要能说出来“我每周巡检重点看温湿度和设备指示灯”。我测评时经常先翻制度再翻记录最后把运维人员叫过来聊几句三个口径一旦不一致分数就是“部分符合”起步。所以不光要改记录还要让一线人员知道自己单位的制度是怎么定的、日常流程怎么走。第四管理类整改别过度依赖模板。网上能搜到很多等保制度模板和台账模板但模板解决的是“有没有”解决不了“合不合身”。我给你一个判断标准如果你的运维人员和制度文件之间是“看都没看过”的关系那这套制度就是废纸。真正合适的制度应该是运维人员日常就按照它工作制度里写的流程就是他们每天做的流程。这个内容后续还可以这样扩展环境管理、资产管理、介质管理、设备维护管理这四块是安全运维管理的“基础底盘”后面紧接着的漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理才是更偏技术运维动作的控制点等保测评的检查方式也会有明显不同。到时候我们再接着往下聊。最后说一点个人体会。做等保测评这些年我最大的感受是管理类检查不是在为难运维人员它是在检验这个单位有没有养成“什么东西在哪、谁负责、怎么处置”的运维习惯。你平时把环境记录、资产台账、介质流转、设备维护这些动作做扎实了测评过不过只是顺带的事。真正受益的是某一天出了安全事件时你还能在半小时内说清楚系统的资产底数、找到关键备份、知道哪块介质接触过敏感数据——那才是这套管理要求存在的意义。
每次进到被测评单位的机房前半程看防火墙、看堡垒机、看日志审计基本能形成初步判断。真正让我打起精神的是开始翻管理类材料那一趴。等保测评里安全运维管理这一块儿几乎每个项目都能翻出几个意想不到的现场制度挂在墙上写得漂漂亮亮实际操作全是另一套台账本子摞了一柜子随机抽一台设备去机柜前核对IP都对不上。这套“看起来简单、查起来处处是细节”的控制域恰恰是很多单位丢分最狠的地方。这篇文章我打算按系列来写。等保2.0的安全运维管理控制域范围不小这一篇先讲最基础的四个控制点环境管理、资产管理、介质管理、设备维护管理。它们不像漏洞扫描、日志审计那么有技术含量却直接决定测评现场的“人、物、环境”能不能对得上。如果你是刚接手单位等保工作的运维人员或者正在准备迎接测评的整改季这篇文章能把这几块最容易踩坑的地方给你捋清楚。1. 等保测评为什么总栽在“安全运维管理”上1.1 安全运维管理在等保2.0里的定位等保2.0的管理要求分了五个控制域安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。前四个解决的是“有没有人管、制度怎么定、建设期怎么控”而安全运维管理解决的是系统上线之后日常每一天怎么把安全动作落下去。很多单位在建设期是舍得花钱的防火墙买双活堡垒机、日志审计、态势感知一套配齐定级备案材料也漂漂亮亮。但等保测评不是只看你买了什么设备还要看这些设备平时有没有人看、机房进没进过不该进的人、资产台账跟现场一对准不准、报废硬盘有没有做数据销毁。这些“看不见的日常动作”全部落在安全运维管理这个控制域里。从测评结果看安全运维管理是扣分重灾区。原因很现实技术措施是一次性部署投入管理措施是长期持续性动作。部署一套审计系统可能一个月就能完成但让运维人员每季度做一次资产核验、每次送修设备都走审批、每次外来人员进机房都登记陪同这需要流程机制和习惯养成。等保测评恰恰是拿这一整套“日常动作”的痕迹来判分短期突击很难补出真实效果。1.2 测评师看管理类要求时到底在看什么很多运维负责人有个误区觉得管理类测评就是“制度齐全就能过”。实际上测评师的判断逻辑是一条三角验证链制度可查、记录可溯、现场可比。制度可查是看你有没有针对这个控制点的管理文件、操作规程、审批流程定义。记录可溯是看每一项制度要求有没有对应的执行痕迹比如出入登记表、巡检记录单、审批单、盘点表。现场可比是我拿着台账去机柜前抽几台设备核对拿着出入登记去门禁系统拉记录比对拿着介质台账去看介质柜里的实物是不是对得上。三条线对得上符合性判定就是“符合”制度和记录都有但现场造假痕迹明显就是“部分符合”只有制度没有记录、记录和现场两层皮就是“不符合”。这也就是为什么有些单位找咨询公司写了一整面墙的制度文件最后还是拿低分——因为你制度里写“每季度组织一次资产盘点”结果台账最后一行的更新日期停在两年前这比没有制度还尴尬。2. 环境管理进机房的第一眼就决定印象分2.1 等保2.0对环境管理的检查点环境管理是整个安全运维管理里最“物理”的一个控制点。等保2.0对这个控制点的要求按我测评时惯用的检查范围来拆解至少包括这几条明确专人负责机房安全运行对机房出入进行管理定期对机房环境进行安全巡检保持巡检记录机房应设置温湿度自动调节系统使温度、湿度控制在一定范围机房应落实防盗窃、防雷击、防火、防水、防静电等防护措施对关键设备进行定期维护和检测。落到测评现场检查动作通常分三步。第一步是访谈机房管理员问机房出入流程怎么走、巡检周期是多久、温湿度异常时怎么处理。第二步是检查记录翻机房出入登记表、环境巡检记录、温湿度记录表、设备点检表。第三步是现场转机房看门禁系统有没有用、监控摄像头有没有盲区、温湿度传感器和空调联动是否正常、机柜下面有没有漏水隐患、防静电地板接地有没有做。这里面有一个细节我特别关注机房出入登记和门禁记录是两个独立来源但很多单位只看一个。有一次我在某单位检查出入登记表写得密密麻麻但对照门禁系统的刷卡记录发现登记表上前一天的“进入记录”在门禁系统里根本不存在。一聊才知道登记表是月底补的门禁系统因为换卡升级停用了两个月。这就属于典型的“记录和现场两层皮”。2.2 环境管理常见的翻车现场做过的等保项目多了会发现环境管理的常见问题非常有共性。我整理几个高频翻车点你自查的时候可以直接对照。第一是出入登记流于形式。门口放一个本子一支笔进出靠自觉登记登记信息只有时间和姓名没有事由、没有陪同人、没有进出时段。更常见的是本子放在前台快递员都能顺手签个名进机房。整改思路很简单但必须落地登记表和门禁/访客系统联动进入机房必须有人审批离开时记录离开时间访客全程有内部人员陪同。第二是温湿度记录造假明显。有些单位打印了一张温湿度记录表让保安每天上班签个温度值结果周末和节假日也有数据甚至出现“未来三天”的温度记录。测评师对这种记录基本一眼识破。如果单位机房确实没装温湿度传感器那就老老实实装一个带记录功能的温湿度监控设备成本不高却能给每天的值守记录提供真实依据。第三是防雷防静电检测缺失。不少单位机房建成后从来没做过防雷接地检测防静电地板下面的接地铜带锈迹斑斑。等保测评对这类物理防护措施是现场实查的——接地电阻有没有年度检测报告、防雷器有没有巡检记录、机柜接地线有没有接好都是扣分点。整改也不复杂找有资质的检测机构做一次检测把报告归档再纳入年度运维计划。第四是巡检记录没有可操作性。我经常看到巡检表上只有“正常”“异常”两个勾选框没有具体巡检项。这样的记录就算签了字也说明不了巡检质量。我建议把巡检表设计成带具体检查项的清单机房温湿度数值、UPS状态、空调运行状态、漏水检测、烟雾探测器指示灯、机柜风扇、网络设备指示灯状态等每项打勾并填写实测值异常情况单列一栏。这个表单看似增加了一点工作量但真到测评访谈时运维人员能说清楚自己每次巡检到底看了什么应对“人员提问”环节会从容很多。3. 资产管理一份能扛住机柜前抽查的台账3.1 资产管理的考察逻辑资产管理这个控制点在很多单位眼里就是“一张Excel表”但测评师的习惯恰恰是拿这张表去现场做随机抽查。等保2.0对资产管理的要求核心是三条建立并保存信息系统相关的资产清单明确资产责任人对资产进行分类标识关键资产要有可见标识定期更新资产清单确保与实际运行环境一致。为什么测评师这么执着于资产台账因为资产管理是所有安全控制措施的基础。你要做漏洞管理得先知道哪些主机在网要做备份恢复得先知道哪些系统最关键要做变更管理得先知道设备配置基线是谁的。如果资产底数不清后面所有管理动作都是空中楼阁。我在实际测评中的检查方法是从资产台账里随机抽三到五台设备记录型号、序列号、IP地址、所在机柜位置然后带着这张纸去机房现场核对。同时也会在台账里挑几台标注为“核心业务”的设备问责任人是谁、上次维护是什么时候、这台设备承载什么业务。如果台账上写“责任人张三”而张三已经在半年前离职了这就是一个直接的符合性扣分点。3.2 我建议的资产台账字段和更新机制一份能扛住抽查的资产台账字段设计很关键。资产类型至少要覆盖硬件设备、软件系统、数据资源、相关人员、外部服务这几类。硬件设备部分我建议台账至少包含资产编号、设备名称、品牌型号、序列号、部署位置机房/机柜/U位、IP地址、MAC地址、操作系统版本、承载业务、资产责任人、启用日期、维保状态、备注。虚拟机、容器这些新形态也要纳入台账不能因为是虚拟化环境就漏了。资产标识这块容易被忽略。关键资产要有物理标识最简单的做法是给核心服务器、安全设备贴上资产标签标签内容包括资产编号、责任人、业务名称。标签和台账编号要一一对应测评现场抽查时我查的就是“标签—台账—实物”三者一致。更新机制比台账模板更重要。我建议至少保证三个时间点新设备上架当日在台账登记设备报废或迁移后一周内更新台账状态每季度末做一次全量资产核验核验结果由运维负责人签字。核验不能坐在办公室里对着Excel看要拿着打印版台账去机柜前一排一排核对核验中发现的变化记录到“变更备注”列。有的单位上了CMDB或运维管理平台资产信息自动同步这当然更好没条件上平台的小单位只要把上述机制落实到位纸质台账同样能过。我碰过一个典型的反面案例某单位台账做得很漂亮资产分类清晰、字段完整但测评当天我抽查了三台服务器其中一台的IP地址已经被别的业务占用台账还写着两年前的业务名称。运维人员解释说“新业务上线时忘了更新台账”。这就是台账成了“展品”而不是“工具”的结果。4. 介质管理那些平时不起眼、查起来全是要害的小物件4.1 等保2.0对介质管理的基本要求介质管理控制点关注的是移动存储介质、光盘、磁带、纸质敏感文档的采购、使用、保管、销毁全过程。等保2.0对这个控制点的要求概括起来是四条介质要分类并标识存放在安全可控的环境中介质使用要有审批和控制防止未授权使用定期对介质进行盘点核查确保介质与台账一致介质不再使用时要规范销毁敏感数据要做清除处理。我检查介质管理时现场动作也很直接打开介质柜看实物和台账能不能对上翻借出归还登记表看有没有审批人签字找几块已经报废的硬盘看有没有数据销毁记录。有一次在某单位看到一堆移动硬盘堆在办公室角落的纸箱里没有任何标识也没有台账登记。运维人员说是“测试用的”但测试机上存了什么数据、硬盘拿出去过没有完全说不清楚。这种现场在测评里就是直接判不符合。介质管理的难点在于它管的东西太小、太分散。硬件设备还有机柜锁着U盘、移动硬盘、备份磁带却散落在各个工位。所以这个控制点的核心不是做一份台账而是建立一套“从购买到销毁”的流程约束。4.2 介质管理的常见不符合项和整改思路最常见的第一个问题是没有介质台账。很多单位有固定资产台账但这和介质台账是两回事。介质台账要记录介质编号、介质类型、用途、存储数据的最高密级、存放位置、保管责任人、当前状态在库/借出/报废。光盘、U盘、移动硬盘、磁带、纸质敏感文档都要纳入哪怕是测试用途的介质也不能漏。第二个问题是移动介质使用没有审批控制。一个比较常见的场景是办公网和业务网之间文件交换运维人员随手拿一个U盘拷贝这个U盘可能插过家里的电脑也可能借给过同事。整改方式是把数据交换流程固定下来跨网数据交换只能使用专用介质专用介质标识为“内网专用”使用前在专用查杀终端上做病毒木马扫描借出和归还都登记。这套流程执行起来并不复杂关键是给运维人员提供便利——在合适位置设置查杀终端而不是让流程变成额外的负担。第三个问题是介质报废销毁环节缺失。我经常在检查中看到报废硬盘还堆在机房角落里没有做数据清除。原因多半是运维人员觉得“硬盘还能转扔了可惜”。但等保测评考的是数据安全风险报废介质不销毁和把数据手册放在门卫室没有区别。建议整改步骤设备报废评审时同步评审存储介质可用但不需要继续存储数据的介质做格式化加数据覆写确认无法再使用的介质做物理销毁或消磁处理所有销毁动作记录在《介质销毁登记表》上包括介质编号、销毁方式、执行人、监销人、销毁时间。如果单位没有消磁设备可以委托有资质的第三方做销毁并索要销毁证明。第四个问题是纸质敏感介质管理缺失。这里说的不只是文件柜里的红头文件还包括网络拓扑图、IP规划表、账号密码表、运维手册这些打印件。它们经常散落在运维工位和打印机旁。整改办法很简单敏感纸质文件统一装订编号存放在带锁文件柜里借阅登记废弃时用碎纸机粉碎并记录。花钱不多但测评现场翻到散落的网络拓扑图时这一项就保住了。5. 设备维护管理从日常点检到报废销毁的全流程5.1 设备维护管理查什么设备维护管理控制点围绕设备全生命周期展开从日常维护、故障维修、外部维修人员管理到设备报废和数据销毁。等保2.0的核心要求是指定专人对设备进行维护管理建立完整的设备维护记录设备送外维修要审批维修前处理敏感数据外部维修人员进入机房要有登记和管理设备报废或更换时存储介质中的敏感数据必须清除或销毁。测评检查时我会同时看三个层面的东西。第一是维护计划有没有制定设备定期维护保养计划年度计划里有没有覆盖服务器、网络设备、安全设备、UPS等关键设备。第二是维护记录日常巡检、季度点检、故障维修有没有形成闭环记录记录内容包括维护时间、维护人员、维护内容、处理结果。第三是维修和报废审批流程设备送修有没有审批单报废有没有评审和销毁记录。很多单位对设备维护的理解就是“坏了报修”缺少预防性维护的概念。实际上等保测评更看重的是你有没有定期做设备健康检查——风扇积灰、硬盘坏道、电源模块老化这些东西都是在故障发生之前就该被发现的。建议的做法是把运维计划做成一张年度维护表哪台设备、什么时候做哪类检查、检查项是什么、上次维护发现过什么问题。这张表同时就是最好的测评证据。5.2 送修、外部人员、报废三个高风险环节设备维护管理里最容易出问题的不是日常巡检而是三个特殊环节。第一个是设备送外维修。有些服务器或者存储设备故障后企业会把整机交给设备厂商返修但维修前完全没有对硬盘里的数据进行保护或清除。正确做法是送修前先拆下所有存储介质无法拆卸的要做好数据备份后执行数据清除再填写《设备送修审批单》单子里要包括送修设备信息、故障描述、存储介质状态、数据处置方式。厂家修完送回后还要做验收记录核对设备序列号、确认拆装痕迹。第二个是外部维修人员的现场管理。厂商售后工程师直接进机房操作设备单位没有安排陪同、没有登记证件、没有限制操作范围这是我在测评中见过多次的场景。整改办法有两层流程上外部人员进机房前要核验身份、登记来访信息、明确维修范围和工期由内部运维人员全程陪同技术上对于存储敏感数据的设备外部维修前应先将设备退出业务网络或移除硬盘等存储介质避免维修人员直接接触生产数据。如果条件允许设置一个专门的维修工位不要把外来维修直接带到核心机柜前。第三个是设备报废环节的存储介质处理。很多单位的资产报废流程只走到“财务销账”就结束了硬盘里的数据没人管。我之前在某单位见过一批待报废的旧服务器硬盘还插在位系统盘里存了业务数据库备份。这种做法最大的问题是数据泄露风险测评发现后也是直接不符合。整改时要把介质销毁作为报废流程的最后一道关卡运维人员拆下所有存储介质分类处理可消磁的消磁可物理销毁的送专业机构最后提交《存储介质销毁记录表》由运维负责人复核签字。设备报废台账和介质销毁台账两本账要对得上这样才算形成闭环。6. 四个控制点的迎检材料清单与实操经验6.1 一张表看懂迎检材料很多单位在测评前会问“要准备什么材料”我直接整理成一张对照表按控制点分列。准备迎检时可以拿着这张表一项一项打勾。控制点建议准备的材料测评现场怎么查常见扣分点环境管理机房出入登记表、门禁访客记录、环境巡检表、温湿度记录、防雷接地检测报告、消防及UPS巡检记录抽取出入登记与门禁比对现场看机柜环境、温湿度设备、防静电接地登记表事后补签、温湿度记录数据雷同、防雷检测过期资产管理资产清单台账、资产标识标签、资产盘点报告、资产变更记录抽3至5台设备到机柜前核对型号、位置、IP、责任人台账字段不全、责任人离职未更新、虚拟机和新建业务未纳入台账介质管理介质台账、介质借用归还登记表、移动介质使用审批单、介质销毁记录表、介质柜存放区域抽查介质柜实物与台账翻借用登记与审批签字询问报废介质处置方式无台账、无审批、报废硬盘未做销毁处理、纸质敏感文档散放设备维护管理设备维护年度计划、维护保养记录、故障维修记录、送修审批单、外部人员进机房登记、报废设备评审表、存储介质销毁记录查维护记录是否完整抽问最近一次送修时间看报废设备的介质处置凭证重“报修”轻“预防性维护”、外部人员无陪同、报废设备硬盘未拆除这张表准备齐了等于把安全运维管理这四块的材料地基打好了。但要提醒一句材料是给测评师核验的不是给测评师收藏的。表格里的记录必须是日常真实流转产生的测评师访谈时只要追问几个细节材料真实性就藏不住。6.2 我踩过和见过的几个坑第一临阵补记录是大忌。有一次测评前一周某单位把一年的机房出入登记表补完了补得整整齐齐。我到现场随手翻到一页发现连续三天的出入时间写得分秒不差问值班人员“这三天你值班时大概几点巡检”对方支支吾吾说不出来。记录造假在测评里一旦被识破影响的不是单个控制点而是整个管理部分的可信度。与其临时编记录不如从今天开始启用标准表单哪怕从测评前一个月开始记录也是真实可查的。第二材料要有“实物流”支撑。资产台账做得再好如果现场抽一台设备对不上这一项就会被打到“部分符合”。我建议在测评前一个月做一次模拟抽查自己按测评师的方法抽10%的资产去机柜前核对先把对不上的账改掉。介质管理也一样台账写了三个U盘介质柜里就要正好找到三个多一个少一个都要查清原因。第三制度、记录、人员访谈要能互相咬合。制度上写“机房巡检每周一次”巡检记录就要匹配每周一次访谈运维人员时对方也要能说出来“我每周巡检重点看温湿度和设备指示灯”。我测评时经常先翻制度再翻记录最后把运维人员叫过来聊几句三个口径一旦不一致分数就是“部分符合”起步。所以不光要改记录还要让一线人员知道自己单位的制度是怎么定的、日常流程怎么走。第四管理类整改别过度依赖模板。网上能搜到很多等保制度模板和台账模板但模板解决的是“有没有”解决不了“合不合身”。我给你一个判断标准如果你的运维人员和制度文件之间是“看都没看过”的关系那这套制度就是废纸。真正合适的制度应该是运维人员日常就按照它工作制度里写的流程就是他们每天做的流程。这个内容后续还可以这样扩展环境管理、资产管理、介质管理、设备维护管理这四块是安全运维管理的“基础底盘”后面紧接着的漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理才是更偏技术运维动作的控制点等保测评的检查方式也会有明显不同。到时候我们再接着往下聊。最后说一点个人体会。做等保测评这些年我最大的感受是管理类检查不是在为难运维人员它是在检验这个单位有没有养成“什么东西在哪、谁负责、怎么处置”的运维习惯。你平时把环境记录、资产台账、介质流转、设备维护这些动作做扎实了测评过不过只是顺带的事。真正受益的是某一天出了安全事件时你还能在半小时内说清楚系统的资产底数、找到关键备份、知道哪块介质接触过敏感数据——那才是这套管理要求存在的意义。
