03 · 布线间、机房/数据中心与 SCIF

Domain 3（安全架构与工程）· Ch10 物理安全 · 第 3 篇

① 一句话秒懂

网络线缆和服务器是物理安全的高价值目标，布线间要上锁、机房要藏到建筑核心、涉密计算要进 SCIF——越值钱的东西越往”同心圆”最里层放。

② 生活类比

把一栋楼想成洋葱：最外层是停车场和大堂（公开区），往里是办公区（受限），最中心是机房和涉密间（高度受限）。布线间就像洋葱里的”神经节点”，谁摸到了它，就等于能剪断或窃听整栋楼的信号。

③ 核心概念（大白话 + 原书定义）

1. 缆线厂（Cable Plant）与布线间（Wiring Closet） 缆线厂=互联线缆 + 中间设备（配线架、交换机等）构成的物理网络。组成要素：

入口设施/主配线架（MDF）：运营商线缆接入建筑的点；
设备间：主布线间，常紧邻入口设施；
骨干分配系统：跨楼层/跨设备间连接；
布线间（也称 IDF、通信间、MDF）：服务某层/某区的连接点，是骨干与水平系统的交汇；
水平分配系统：连接通信间与工作区。

2. 防护性分配系统（PDS, Protected Distribution System） 保护线缆免遭未授权访问/破坏，目标：威慑违规、检测接入、防止线缆被 compromise。手段含防护导管、密封接头、定期人工巡检，某些 PDS 还要求管内入侵检测。

3. 布线间安全”硬规则”

绝不作普通储物间；
配足锁（可含生物识别）；
保持整洁、禁放易燃物；
视频监控 + 门磁记录开关；
钥匙只给授权管理员；
定期物理巡检；
纳入环境监控（防洪/防火）。

4. 服务器机房 / 数据中心（Server Rooms / Data Centers）

常配置为 lights-out（熄灯）区：为设备而非人为优化，低照、低温、最少人员进出；
墙体至少 1 小时耐火等级；
选址：建筑核心，尽量避开一层、顶层、地下室，并远离水/气/污水管线（防泄漏/淹水）；
可以是自建、租赁（CSP/托管 colocation），单租户或多租户；
技术门禁：智能卡、近程设备、生物识别、物理 IDS、纵深防御。

5. SCIF（敏感隔离信息设施，Sensitive Compartmented Information Facility） 政府/军方/承包商用于存放和处理 SCI（敏感隔离信息）的高度受限环境；仅限有”许可+SCI 授权”的特定业务需求者进入；通常禁止携带摄影/录像等记录设备；可建于地面、飞机或浮动平台，可临时或永久。

④ 真实案例

一家金融科技公司将数据中心放在大楼 3 层核心区，远离所有水管；布线间上指纹锁并接入门磁日志。一次清洁工误将湿拖把靠在布线间门边，门磁报警 + 摄像头回放迅速定位责任人，避免了潜在的水损与线缆破坏——正是”分层 + 日志 + 视频”协同的实效。

⑤ 考试怎么考

MDF（主）/ IDF（中间）的角色区分；PDS 的目标（威慑/检测/防破坏）。
数据中心选址三避：一层、顶层、地下室都不理想；远离水管。
lights-out 含义；墙体 1 小时耐火等级。
SCIF 的关键限制：禁止记录设备、仅限特定授权人员；常考政府/军事场景。
布线间”不作储物间、不存易燃物、配生物锁、门磁日志”是多选题高频点。

⑥ 记忆口诀

“布线间，上锁记；机房藏核心，避水避顶底。” SCIF 三不：不录（禁记录）、不滥（限授权）、不漏（涉密 SCI）。

⑦ 自测

缆线厂由哪五部分构成？MDF 与 IDF 分别指什么？
PDS（防护性分配系统）的三大目标是什么？
服务器机房/数据中心的选址与耐火等级有何硬性要求？
什么是 lights-out 区域？
SCIF 对人员与记录设备有何限制？它通常处理哪类信息（SCI）？