物理和环境控制不仅仅是门，警卫，发电机和暖通空调监控. 正确的物理和环境控制是降低澳门赌场官方下载风险和在不可预测的世界中保护关键资产的重要一步. 那么您如何确定您拥有适当的控制和治理监督呢? 理解, 记录和度量是确保您的澳门赌场官方下载具有适当的治理并符合其法律的三个关键步骤, 法规和业务要求.
理解是关键
了解组织的业务目标, 回顾和理解你现有的政策, 回顾和理解你的法律和监管责任. 和你的一线工作人员谈谈. 询问他们对澳门赌场官方下载的业务目标和政策的看法和了解. 利用这个机会教育他们，增加他们的理解. 也, 利用这个机会让他们告诉你系统目前是如何工作的，以及哪里可以改进.
简单越好
问问你自己, “对我的澳门赌场官方下载来说，记录其物理和环境程序的最直接的方法是什么?“第一, 您的澳门赌场官方下载必须建立与其业务目标和策略相一致的流程. 第二个, 您的澳门赌场官方下载必须使用这些过程并对其进行微调, 确保它们能解决实际情况. 最后，你应该问自己:“如果?一个很好的例子是“如果”停电了，你所有的程序都在一台没有备用电源的电脑上? 一种保护措施可能是为这台电脑安装一个UPS. 然而, 根据我的经验, 在活页夹或平板上书写程序是更好的方法，因为它们便于携带. 如果你的澳门赌场官方下载使用书面程序，确保你的一线员工使用它们. 如果你的澳门赌场官方下载使用平板电脑, 确保它使用了它们, 确保你有不止一个, 确保平板电脑在断网的情况下可以正常工作，并确保在断电的情况下有办法给它们充电. 在现实世界中，简单的方法通常更好.
现实的度量和测试
您的澳门赌场官方下载的业务目标和法规需求应该决定您的组织所跟踪的度量标准. 此外，你应该问问自己，你试图通过衡量一个特定的行动来管理什么. 最终, 度量标准应该用来确定哪些控制是有效的，哪些控制需要调查. 抽查, 宣布和未宣布的测试, 桌面, 实际演练都应该用于度量和测试澳门赌场官方下载控制的有效性. 从我个人的经验来看，一些好的例子是:在火灾或停电事件中，应急门是否打不开? 管理法律、法规和业务政策是什么? 如果您必须让紧急门在事件发生时无法打开, 您的澳门赌场官方下载解决关键资产安全问题的流程是什么? 你必须在每扇开着的门上都安上警卫吗? 如果你必须撤离设施怎么办? 这些都是很好的问题. 最后，通过受控演练进行测试. 你可能会对你的发现感到惊讶. 我被锁在一个楼梯井里在测试的时候应该是不会打开的. 幸运的是，我有一台收音机，这样我就可以呼救了.
归根结底是适当的管理
对您的物理和环境安全控制进行适当的治理可以识别并提高您的整体安全成熟度和对真正危机的响应. 您无法预测未来什么事件可能会影响您的组织, 但是，拥有可靠且经过测试的控制可以帮助您的组织快速有效地响应任何事件或危机.
编者按: 有关此主题的更多资源，请查看ISACA的new 物理和环境安全审计程序.
作者简介: Brian是ISACA内容开发和服务部门的高级网络安全研究顾问，也是网络安全最佳实践的主题专家, 治理, 控制和标准. 他还支持ISACA的CMMI网络成熟度平台(CMMI- cp)的开发和扩展。. 弗莱彻是一名非常有成就的美国海军老兵，在包括系统开发在内的多学科安全领域拥有25年的经验, cyberoperations, 危机应对和网络安全培训.
