引言

ISO 27001:2022 附录A第7章（A.7 物理控制）是信息安全管理体系中容易被低估却至关重要的控制领域。很多组织在信息安全建设中将注意力集中在技术控制（第8章）和组织控制（第5章）上，对物理安全投入不足。但实践经验表明，物理安全漏洞往往是信息安全事件的第一道突破口——无论是未锁门导致的数据中心未经授权进入，还是办公区随意放置的便携设备被窃，都属于物理控制失效的典型场景。

GB/T 22080-2025（等同采用 ISO 27001:2022）附录A第7章共包含14个控制措施，编号从A.7.1到A.7.14，覆盖物理安全边界、安全区域保护、设备安全三个维度，是信息安全物理层防护的完整框架。本文从审核实务角度逐一解析每个条款的控制意图、审核要点、常见问题和取证方法，为审核员提供可用于现场操作的清单式参考。

A.7.1 物理安全边界

条款核心：组织应定义并建立安全边界，以保护包含信息及其他相关方资产的信息处理设施所在的安全区域。

审核时首先要关注的是物理安全边界的定义是否明确。这不仅是"有没有围墙或围栏"的问题，而是组织是否基于风险评估识别了哪些区域需要物理保护。在一家制造企业的审核中，我发现其服务器机房设在厂区边缘的生产车间二楼，但整个厂区围墙存在多处破损，任何人都可以通过破损处进入厂区后直接到达机房所在建筑。而该企业的风险评估报告中完全没有涉及物理安全边界这一项，风险评估的全面性存在严重缺失。

审核要点：

• 查看物理安全区域规划图或物理布局文档，确认安全边界的范围和强度等级
• 检查安全边界的物理牢固程度和日常完好状态（围墙高度、门禁强度、防盗门窗完整性）
• 核实安全边界是否覆盖了所有包含信息处理设施和敏感资产的区域
• 确认风险评估中是否识别了物理安全边界失效的威胁

取证方法：现场巡查是最重要的手段。审核员应要求组织提供物理区域平面图或平面布局说明，然后沿着安全边界全程走一圈，实地检查边界的完整性和强度等级。同时调阅风险评估记录，确认物理安全边界已被纳入评估范围并有应对措施。

A.7.2 物理入口控制

条款核心：安全区域应受到适当的入口控制保护，以确保仅授权人员可以进入。

这是物理控制中审核频次最高、发现问题也最多的领域。常见问题包括门禁权限未定期清理导致离职员工仍可刷卡进入、访客登记制度形同虚设未经陪同直接在楼内自由活动、持卡开门后被人尾随进入而无人制止（行业称为tailgating）、门禁日志从建立以来从未被审查过。

审核时我关注的核心是"事后可追溯性"。在一次对金融机构的审核中，部门经理的工位就在机房旁边，他习惯用自己的工卡刷机房门禁，而他的工位仅限他一人使用——这个习惯导致机房门禁日志上全部是他的刷卡记录，不分早晚、不分周末。当被问及"是否有其他人在您本人不在场的情况下进入过机房"时，他沉默了一分钟后说"可能有吧"。这就是入口控制失效的典型表现——系统本身运行正常，但使用方式导致控制意图完全落空。

审核要点：

• 门禁系统的权限分配与审批流程：谁有权限审批？权限授予以什么为依据？多久清理一次？
• 访客管理流程：是否登记身份信息？访客进入后是否全程有人陪同？是否佩戴明显访客标识？
• 关键区域（机房、配电间、弱电间、财务档案室等）是否有额外的入口控制措施
• 门禁日志的定期审查制度以及审查记录的可追溯性
• 是否存在尾随进入风险及其应对措施（如安装防尾随通道闸机、设置视频监控复核等）

取证方法：调取最近三个月的门禁权限变更记录，随机抽取5至10个账号验证其权限与当前岗位的匹配性以及是否存在已离职人员账号；选择下班或午休时段到安全区域出入口实地观察进出行为；调阅门禁日志审核记录，查看审核结果和跟踪措施。

A.7.3 办公室、房间和设施的安全

条款核心：应为办公室、房间和设施设计并实施物理安全措施。

这一条覆盖的不只是机房门锁，而是整个工作场所的物理安全。除了基本的门锁和防盗措施外，还应考虑窗户是否可以从外部打开且未安装防盗网、下班后夜间清洁人员如何进入办公区（是否有统一的进场审核和记录）、会议室的门和隔断是否能有效保护开会时的信息不外泄。

在一家互联网公司的审核中，我发现其集中办公区中央设有多间玻璃隔断会议室，但玻璃是普通透明玻璃且未配置百叶窗或可调遮光膜——所有经过走廊的人都可以清楚看到会议白板上的内容，包括产品架构图、客户合同条款等敏感信息。企业在设计办公空间时完全没有考虑物理安全对信息保密的要求，这就是物理安全边界以内却未做差异化保护的典型案例。

审核要点：

• 办公区域物理安全措施是否覆盖了所有包含信息处理设施的工作环境
• 会议室、开放办公区、独立办公室、档案室、打印区是否有差异化的物理保护
• 非工作时段（夜间、节假日）办公区域的附加物理安全措施
• 紧急情况下的物理撤离通道和日常安全措施之间的安全平衡（如消防逃生通道是否被物理锁死）

A.7.4 物理安全监视

条款核心：应持续监视安全区域以检测未授权的物理访问。

视频监控是物理安全监视的核心手段。审核要点包括：

• 摄像头是否覆盖了所有安全区域的出入口和关键通道
• 监控录像保存周期是否满足组织的安全策略和法律合规要求
• 监控画面是否实现了24小时持续监视或启用了智能视频分析告警系统
• 摄像头自身的保护措施（是否容易被遮挡、转向或断电）
• 监控系统的人机界面访问权限控制

特别提醒：大量组织的监控系统已全面IP化并接入办公网络，但未做网络隔离——这意味着任何一个能接入办公网络的内部员工都可以通过浏览器直接访问监控画面，甚至通过监控系统漏洞跳转到其他信息系统。第三方监控系统维保人员同样可能存在远程访问监控系统的不当权限。

A.7.5 物理环境威胁防护

条款核心：应设计并实施针对环境威胁和入侵事件的保护措施。

这一条涉及火灾、水灾、地震、雷击、电力中断等环境威胁。火灾防护方面要重点检查机房等关键区域是否配备气体灭火系统而非水喷淋系统（水喷淋对电子设备的次生损害往往超过火灾本身），感烟感温探测器覆盖率以及是否按规范进行年度检测。我曾在一家企业审核时发现机房感烟探测器已经积满灰尘，现场人员承认"搬进来后从来没想过要检测这玩意儿"。

电力保障方面，关键区域是否配备UPS，UPS续航时间是否覆盖备用发电机启动的窗口期。备用发电机是否配有燃料储备，是否进行定期带载测试。防雷接地方面，信息系统的防雷设施及年度检测记录是必查项。

A.7.6 安全区域的工作

条款核心：应为安全区域的工作制定并实施程序。

这一条关注在安全区域内部工作的人员和活动的管理。常见问题包括：安全区域内遗留含敏感信息的废弃纸质文件未及时碎纸销毁；安全区域内部是否允许携带个人智能手机和拍照设备；安全区域内第三方服务人员（保洁、设备维修、空调维保）的活动是否处于受控状态和全过程监视。

A.7.7 交接区域

条款核心：应保护设备和信息进出的交接点，防止未授权的访问。

交接区域是物理控制的一个薄弱环节。收发室、货运通道、机场柜交接区等位置的审核关注点：设备进出是否进行登记和授权审批；信息载体如磁带、光盘、纸质档案的交接是否有双人确认和书面记录。

A.7.8 设备安装和保护

条款核心：设备应受到保护，以减少环境威胁和未授权访问的风险。

现场审核中最常见的发现包括：服务器机柜未上锁或门禁卡贴在机柜侧面；网络交换机和路由器放置在走廊的开放弱电箱内而无物理锁；机柜下方的电缆线槽未封闭导致虫鼠进入咬断线缆；服务器和网络设备散热空间不足导致局部过热甚至宕机。

A.7.9 内部资产清场

条款核心：不应将具有存储能力的设备从组织场地移出，除非获得授权。

这一条用于管控内部存储设备的带出行为。笔记本、移动硬盘、U盘等设备的带出申请和审批记录是必查项。同时关注出差携带笔记本电脑时的临时借用记录和归还确认。

A.7.10 场外资产安全

条款核心：应对场外的组织资产进行保护。

远程办公模式普及后，这一条的重要性显著提升。审核要点包括：远程工作人员自有设备是否需要安装公司指定的安全软件；外携笔记本电脑是否启用了全盘加密；员工在咖啡厅、高铁等公共场所远程工作时是否使用隐私屏幕；临时离开场外工作站时是否锁定屏幕。

A.7.11 存储介质管理

条款核心：应管理可移动存储介质的整个生命周期。

从采购入库到最终销毁的全生命周期管理。审核关注点：存储介质的分类和标签标识（应注意标签内容避免过度暴露介质上的信息敏感级别）；介质的出入库登记是否完整；介质上的数据是否加密存储；介质报废时的数据销毁方式以及销毁结果的可验证性。

A.7.12 电缆安全

条款核心：传输数据或支持信息服务的电缆应受到保护，防止截获、干扰或损坏。

这项条款在实际审核中容易被忽略。应关注：配线间和弱电间的物理访问控制，防止未授权人员接触布线系统；机柜后侧网线和光纤的物理保护，防止被有意或无意拔插；电缆路由是否远离水管和供热管道以防泡水和过热损坏。

A.7.13 设备维护

条款核心：设备应按照供应商推荐的服务间隔和规范进行正确维护。

审核检查要点：关键设备的维修保养计划及实施记录；维护维修服务提供商的资质审核和合同约束；维修过程中信息资产的安全防护——尤其是需要送修的硬盘等存储设备，是否在送修前进行了数据清除或通过了组织的安全评估。

A.7.14 设备安全处置和再利用

条款核心：应验证包含存储介质的设备，确保在处置或再利用之前所有敏感数据和许可软件已被删除或安全覆盖。

这是物理控制的生命周期最后一环，却也是实践中最容易出问题的环节。典型问题：旧电脑直接折价卖给员工但并未对硬盘数据进行符合行业标准的数据擦除，仅执行了简单的快速格式化；涉密等级的报废硬盘因受限于销毁预算而长期堆积在库房未做处理；设备捐赠或赠送前未执行数据擦除验证；数据销毁记录不完整，无法追溯每一台设备的处置时间、方式和责任人。

审核要点包括：报废设备处置书面流程是否存在；数据擦除方法和强度是否与信息资产分级策略匹配；擦除作业后是否进行验证检查（如通过磁盘取证工具确认可恢复数据比例为零）；销毁记录是否包含设备序列号、处置时间、处置方式和操作人签章。

审核实务总结

ISO 27001:2022 附录A第7章的物理控制措施在审核中有一个显著特征：几乎所有的审核证据都可以凭"看"获取。与第5章（组织控制）需要大量调阅文件和会议记录、第8章（技术控制）需要深入配置检查和日志分析不同，物理控制的审核证据更多来源于现场观察和实地验证。因此，物理控制的审核是最能体现审核员现场观察能力和直觉判断力的部分。

我建议审核员在执行物理控制审核时遵循以下四项实操原则：

第一，先走再翻记录。 到达受审核方现场后不要急着坐到会议室看文件和记录。请陪同人员陪同你走一圈——走遍所有安全区域：机房门口、弱电间、机房内部、员工办公区、打印区、茶水间、走廊、接待区。走的过程中不要只盯着门禁和摄像头——观察桌面上是否有未收起的涉密文件、是否有员工离开工位不锁屏、墙上是否贴有包含账号密码的便签纸、碎纸机里是否有完整的纸质资料。这些肉眼可见的细节通常比三页纸的制度文件更能真实反映组织的物理安全现状。

第二，关注人的行为习惯。 一把再好的锁也不如一个习惯锁门的人。门禁系统技术再先进，如果保安或员工习惯用砖头或灭火器抵住防火门方便进出，那么一切技术手段都是白搭。审核中应多向员工提问实景行为："如果您出差提着一个大箱子和行李，不方便掏门禁卡，您会怎么做？""如果门禁卡忘带了您找谁开门？他用什么方法验证您的身份？"越是具体的场景越能暴露真实的安全文化。

第三，关注"中间地带"。 物理安全防护的总体强度取决于防护链条中最薄弱的环节。许多组织在中心机房花费了大量资源建设全面的物理防护体系，却在建筑首层入口、楼层公共通道、消防楼梯门、配线间等"中间地带"毫无保护或严重保护不足。一个攻击者即便无法直接侵入核心机房，也可以先通过边门进入办公楼内，在开放办公区寻找可乘之机，逐步渗透到高安全区域。

第四，关注第三方人员。 清洁工、快递员、空调维保、电梯维修、监控系统维护人员——这些第三方人员在组织物理区域的流动性活动往往是安全管理的最大盲区。应了解组织对这些外部人员的进入是否有区别于内部员工的审批流程，是否在活动期间有陪同或监视措施，是否与第三方签订了保密协议并对第三方人员进行定期安全培训。

物理安全是信息全生命周期保护的第一道防线，也是最容易被忽略的防线。一次对附录A第7章的深入审核，应该让组织的管理层重新审视自身的物理安全边界与人员安全习惯，最终认识到"信息安全从来不是屏幕上的技术问题，而是从你踏入办公区大门的那一刻就开始的事"。