跨框架的物理安全：云优先企业容易忽视的主题

物理安全已成为现代安全计划中被遗忘的主题。工作负载运行在他人的数据中心里，员工在家办公，办公室也基本只剩桌椅和咖啡。然而大多数框架仍要求物理控制，而我们在审查自身映射时发现这方面映射不足，因此我们为其单独设立了一个主题。

谁要求什么

框架	物理安全	链接
NIST CSF 2.0	PR.AA-06DE.CM-02PR.IR-02	主题定义
ISO 27001	A.7.1A.7.2A.7.3A.7.4A.7.5A.7.8A.7.11A.7.6A.7.12	对照映射
CIS v8.1	—	本站数据中无映射
SOC 2	CC6.4	编辑说明
PCI DSS	9.2.19.2.39.3.19.2.1.19.3.1.19.3.2	对照映射
CMMC	PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3PE.L2-3.10.4PE.L2-3.10.5PE.L2-3.10.6	对照映射
800-53	PE-2PE-3PE-6PE-8PE-13PE-14	对照映射
HIPAA	§164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)§164.310(b)§164.310(c)	对照映射
GDPR	—	本站数据中无映射
NIS2	13.113.213.3	对照映射
Essential Eight	—	本站数据中无映射

完整详情及每条关联的依据： 物理安全 跨框架对照 →

最重视此项的框架

PCI DSS 最为详细：对存放持卡人数据系统的设施实施入口控制，使用摄像头或门禁系统监控敏感区域，规范访客授权与日志，限制网络接口和硬件的使用，对介质进行安全存储与销毁，并检查读卡设备是否被篡改（要求 9）。CMMC Level 2 设有一整个系列：限制并监控物理访问、陪同访客、保留访问日志、管理访问设备，并在备用工作地点保护 CUI（PE.L2-3.10.1 至 3.10.6）。ISO 27001 在其 A.7 主题下包含十四项物理控制，涵盖从周界与入口控制到清洁桌面、设备维护和安全处置。HIPAA 在 §164.310 中规定了一整套物理保护措施。

不重视此项的框架

CIS Controls 在 v8 中删除了物理安全。GDPR 和 Essential Eight 未涉及该内容。SOC 2 仅在单一标准（CC6.4）中涵盖该内容，而仅使用云服务的企业的审计师通常会接受云服务商自身出具的报告作为依据。

审计师会向云优先企业提出哪些问题

即使你不拥有任何服务器，也应预期会被问到以下简短问题：

• 哪些云服务商和托管机房托管你的系统，它们的保证报告在哪里？
• 你如何控制对办公室的访问，谁持有钥匙或门禁卡？
• 访客是否经过登记，并在能看到敏感信息的区域有人陪同？
• 笔记本电脑丢失或被盗时如何保护（加密、远程擦除、报告流程）？
• 硬盘、笔记本和纸质文件如何处置？

附上少量证据（门禁系统导出记录、访客日志、MDM 报告、销毁证书）通常能迅速结束这一主题的讨论。

要点总结

• 大多数框架仍要求物理控制。
• 云优先企业继承数据中心的保证，并负责安全的办公室、笔记本电脑和介质。
• 面对面刷卡支付会使 PCI 的物理要求重新纳入范围。
• PCI DSS 最为详细，甚至包括访客日志以及检查读卡器是否被篡改。

在没有数据中心的情况下如何满足要求

对于自身没有服务器的企业而言，物理安全可归结为四件事：

1. 继承数据中心的保证。 云服务商的 SOC 2 报告或 ISO 证书涵盖其设施。请阅读其范围，并在你自己的文档中记录你依赖该保证的事实。
2. 按比例保护办公室。 门禁刷卡、访客登记、对敏感物品使用上锁存储，以及清洁桌面政策（ISO A.7.7）。
3. 将笔记本电脑视为边界。 全盘加密、屏幕锁、远程擦除以及丢失设备的处理流程，可覆盖过去物理控制所承担的大部分职能。
4. 处理介质与销毁。 在再利用或处置前擦除或销毁硬盘和设备（ISO A.7.14、PCI 9.4.7、HIPAA §164.310(d)）。

如果你接受线下刷卡支付，请仔细阅读 PCI DSS 要求 9：销售点的读卡设备会使物理控制重新纳入范围，无论你的云原生程度如何。

物理安全主题页面 列出了每项要求及其来源，差距分析 则说明新增框架相对于你现有框架增加了哪些内容。

常见问题

CIS Controls 是否涵盖物理安全？

否。CIS Controls v8 移除了物理安全，这也是本主题下没有映射的原因。

仅使用云服务的企业如何满足物理安全要求？

依靠云服务商对数据中心的保证（例如其 SOC 2 报告或 ISO 证书），并自行覆盖办公室、设备、介质和访客。