波仔
🛡️ 第六章 组织机构的安全防范对策
📄 一句话概括

ISO/IEC 27001:2022 的 A.7.7 把【清理桌面和屏幕】写成了一条正式控制——因为它防的不是大风险，而是每天都在发生的小暴露。

📝 本节和前面几节的关系

6-14 讲的是数字世界的出口管控，这一节回到了最原始的一层：人能走到的地方。 它和 1-8 是一条线的两端：1-8 讲的是【系统里的权限给谁】，这一节讲的是【物理空间里的权限给谁】——如果一个人能直接走到你的工位前，很多数字权限的设计就失去了意义。 它也是本章【物理控制（A.7）14 项】这一块的代表（6-2 里那张附录 A 的表）。

一、标准原文：A.7.7 清理桌面和屏幕

先把标准原文摆出来，因为它的措辞比想象中具体：

组织应要求人员在离开工位、结束工作或在共享环境中活动时，妥善收起纸质资料、可移动介质和敏感物品，并对终端屏幕实施锁定或其他适当保护，以防止未经授权查看或接触。

这段话里有三个词决定了它的适用范围：

注意它关注的不是【桌面整洁美观】。这是这一条最容易被误解的地方：它不是 5S 管理，不是为了形象——它关注的是减少低成本、日常化、容易被忽视的信息暴露。一张贴在显示器边框上写着密码的便签，美观上问题不大，安全上是直接失守。

二、为什么它是【高频基础控制】

这条控制的特点可以概括成一句话：单次风险很小，但发生频率极高、覆盖面极广。

场景 暴露了什么
离开工位去接杯水 屏幕上还开着客户资料
显示器边框贴着便签 写好的账号与密码
午休或下班没锁屏 任何人路过都能操作你的会话
重要合同散在桌面上 金额、对方、条款一览无余
打印机出纸口滞留文件 被下一个人顺手拿走
会议结束白板没擦 讨论内容与决策要点留在墙上
会议室纸质材料没收 下一组使用者直接看到
远程办公时家人路过 屏幕内容被无意看到或拍下

这张表里每一行单独看都不像重大风险——但把它们乘以【每天发生的次数】，总体暴露面就很大了。 举个例子：一个 200 人的开放办公区，每人每天离开工位 8 次，每次屏幕暴露 2 分钟——一天就是 3,200 分钟的暴露窗口。这个量级的信息暴露，是任何技术控制都难以覆盖的（因为它在物理空间里，不在系统里）。

最后一行（远程办公）在混合办公普及后变得重要。过去这条场景不存在（因为都在办公室，周围都是同事）；现在它每天发生——而这一条恰恰是技术手段最没办法的部分：你无法要求员工家里没有访客。

三、三清一锁：下班前的四个标准动作

把要求变成动作，才有可能被执行。【三清一锁】是四个具体动作：

为什么是这四个而不是别的？因为它们分别对应了四类【可以随手带走或看到的东西】：纸质（文件）、电子（屏幕）、介质（U 盘）、存储（柜子）。只要这四类都被收好了，一个人在物理空间里能【顺手获得】的信息就基本被切断。

配套的硬件如果不到位，这套动作执行不下去。最低要求是：每个工位配带锁的文件柜与抽屉、可上锁的办公桌、足够的资料收纳盒；开放式办公区配集中式的保密文件存储柜并登记存取。这一点常被忽略：如果员工手上没有可锁的地方，【把文件收起来】就变成【把它们摞整齐】——动作走了，目的没达到。

四、动手 Demo：检查表打分与门禁异常

deck = [("行政", 9, 10, 8, 9, 10), ("财务", 10, 10, 10, 9, 9),
        ("研发", 6, 7, 5, 8, 7), ("市场", 5, 6, 6, 7, 6),
        ("客服", 8, 9, 7, 8, 9)]      # 桌面/屏幕/介质/柜锁/白板，每项 10 分

实跑输出：

四、检查表打分：五个部门横向比
  部门      桌面    屏幕    介质    柜锁    白板    得分    合格
  行政      9       10      8       9       10      46      是
  财务      10      10      10      9       9       48      是
  研发      6       7       5       8       7       33      否
  市场      5       6       6       7       6       30      否
  客服      8       9       7       8       9       41      是
  → 满分 50，40 分以上算合格。研发与市场两个部门要重点整改。
  → 奖惩要挂钩：检查结果纳入部门信息安全考核，
     部门负责人负日常督导责任，这样才形成闭环。

五、门禁日志里的三类异常
  异常模式                    判定方式
  尾随进入                    一张卡刷开后，短时间同门又连续出现进入记录
  非工作时间进入              进入时间在授权时段之外，且无审批记录
  失败后成功                  连续失败达到阈值后又通过，可能是试探或代刷
  → 门禁的价值不在于拦住谁，而在于留下【谁在什么时候进了哪扇门】。

读这个输出：

五、检查监督机制怎么建

这条控制如果只靠【要求】，一定执行不下去（因为它每天都在和【方便】打架）。要让它成立，需要一套闭环：

这四个环节里，【下班后半小时巡查】这个设计值得注意：它选了一个动作最容易被验证的时间点（下班后半小时，该收的东西要么收了要么没），而且它不打扰工作时间。 而【部门负责人负督导责任】是让这件事从【行政的事】变成【部门自己的事】的关键——如果只考核到个人，部门就没有动力去改善条件（比如添置带锁柜子）。

特殊场景要单独调整：出差或居家办公时，须把公司文件与电脑收入可锁闭的箱包或单独房间，确保儿童和访客无法接触；临时使用会议室后，须清理全部材料、个人物品与饮品，并关闭投影与设备；工位临时交接给同事使用时，原使用人应提前完成清理。

六、⚠️ 2026 现状与三个常见误区

三个误区很常见，而且每一个都能在会议室里听到：

误区 纠正
工位偏僻、没人走动，不整理也没关系 安全无死角：监控摄像头或保洁人员都可能成为风险点
远程办公环境私密，不需要清空桌面 要警惕家人或室友误触电脑，建议设独立工作区
我电脑里没什么秘密，不用在意 系统权限、账号数据、网络配置，都是攻击者的入口

第三条特别值得说：【我电脑里没什么秘密】这个判断通常是错的——因为攻击者要的往往不是【秘密】，而是【入口】。一台普通办公电脑上可能有：内部系统的配置信息、共享盘的挂载凭据、聊天记录里的组织架构与人员信息、以及一个已经登录的会话。对攻击者来说，这台机器是通往更有价值目标的跳板——这正是 2-6 讲的那种用法的起点。

最后补一段背景：Clean Desk 这种做法最早来自办公室管理理念，真正把它变成安全标准的是 UPS 公司（创始人 James Casey 定下的【员工每天下班前必须清理桌面】的文化），后来被纳入信息安全体系，成为 ISO 27001 等国际标准的要求之一。 一个落地建议是：用可视化、互动式的教程让员工自助检查（比一页纸的制度更容易被执行）——因为这条控制的成败取决于【员工是否记得做】，而不是【员工是否知道要做】。

30 秒实验

今天做两个动作，各 15 秒：

  1. 看一眼你现在坐的位置，回答一个问题：如果同事现在从你身后走过，他能看到什么？ 如果有客户名单、合同、工资表、或者写着密码的便签，那你已经看到了这条控制存在的理由。 屏幕隐私膜（防窥膜）是一个成本很低的补充措施——它对【侧面被看到】这个具体场景很有效。
  2. 走之前做一个动作：按下锁屏键（Windows 是 Win + L，macOS 是 Control + Command + Q）。把它变成条件反射——这是本节所有动作里成本最低、收益最高的一条，而且它同时防住了【同事顺手看一下】和【陌生人坐下来操作】两种场景。

这一节要带走的一句是：物理安全防不住有备而来的人，但它能挡住绝大多数【顺手】——而事故里绝大多数正是顺手发生的；所以这条控制的价值在于压低频率，而不在于提高上限。

常见误区

  1. 错误：桌面管理是形式主义，浪费时间，跟安全没关系。——纠正：这条控制被写进 ISO/IEC 27001 是有具体原因的。它防的是【低成本的信息获取】：不需要任何技术能力，不需要攻破任何系统，只要走到工位前看一眼、拍一张、或者顺手拿走一份纸。这类事件的特点是【没有技术痕迹、很难事后追查】——而这恰恰是技术手段覆盖不到的地方。 另一个角度是【成本对比】：这条控制的实施成本接近于零（收东西、锁屏），而它挡住的风险里包括【合同条款泄露】【客户名单被拍照】【工资表被看到】这些后果不轻的事情。从风险处置的四种手段看（6-8），它属于典型的【降低】措施，而且性价比很高。

  2. 错误：只要装了门禁系统，物理安全就解决了。——纠正：门禁解决的是【谁能进门】，它解决不了四件事。① 尾随——一张卡刷开后后面的人跟着进去，是门禁的固有弱点（从日志上看只是【一次刷卡、多人进入】，甚至完全看不出来）；② 门内行为——进了门之后能看什么、能拿什么、能拍什么，门禁管不了（这正是清空桌面要补的部分）；③ 共享区域——会议室、打印区、走廊这些地方没有门禁，但有大量信息暴露；④ 记录的使用——门禁日志如果没人看，它就只是一份数据（要把它和【非工作时间进入】【失败后成功】这类规则接起来做告警）。所以物理安全是一组措施，而不是一台设备：门锁、门禁、监控、清空桌面、清空屏幕、访客管理，各自补一块。

  3. 错误：远程办公是私密环境，不需要执行这些要求。——纠正：远程办公反而增加了一类新的暴露面，而且这一类的技术手段基本无效。具体来说：① 家庭成员的可见与可接触（孩子在旁边、室友在用你的电脑、访客来访时屏幕亮着）；② 环境背景泄露——视频会议里背后的白板、便签、纸质文件（这一条在远程会议普及后非常常见，而且很多人没意识到）；③ 设备共用——个人电脑上同时有工作和私人内容，家人可能无意中打开工作文件。可行的做法有三条：设定独立工作区（哪怕是固定的一个角落）、会议前检查背景、工作设备不共用。 这些措施都很轻，但需要被明确提出来——因为【私密环境】这个假设本身是错的：家里的隐私是针对外人的，而风险恰恰来自家人与访客这种【最亲密的外人】。

  4. 错误：检查就是抓人，扣分才能让人重视。——纠正：只扣分不改善条件，这条控制会长期停在【检查时合格、平时不合格】的状态。原因在于：如果员工手边没有带锁的抽屉、资料收纳盒不够用、工位布局决定了文件必然堆在桌上，那么【收起来】这个动作就要额外付出很大成本——而这种成本每天都要付，人是坚持不下去的。 更有效的顺序是：① 先改善条件（配齐带锁收纳、把常用文件的电子化）；② 再给清晰的标准（什么必须收、收到哪、什么可以留在桌上）；③ 最后才是检查与考核。另外，第一轮检查建议只公布部门整体数据（和 6-4 讲钓鱼演练的原则一样）——先把【这是日常工作的一部分】这个认知建立起来，处罚永远放在后面。

自测三问（点开对答案） 1. 为什么【清空桌面和屏幕】这样简单的事，要被写进国际标准的正式控制项？ —— 因为**它覆盖的是【技术手段够不到的那部分信息暴露】**。**技术控制能管住【系统里的数据】，但管不住【屏幕上亮着的内容、桌面上摊着的纸、白板上写着的字】**——**而这些恰好是访问成本最低的信息**：**不需要账号、不需要漏洞、不需要任何工具。** **从风险管理的角度看，它的特点是【单次概率高但单次影响小】**：**被人看到一份合同不会立刻造成损失，但如果这个人恰好是来谈价的供应商代表，影响就不小了。** **把它写成标准条款的另一个原因，是它足够的【可验证】**：**【下班后半小时巡查工位】这样的动作有明确的对错，可以检查、可以记录、可以纳入考核**——**相比【提高安全意识】这类无从验证的要求，它更容易形成闭环。** 这也解释了为什么标准原文写得那么具体（**离开工位、结束工作、共享环境**）：**它是在把一个抽象目标翻译成可检查的动作。** 2. 【三清一锁】里为什么把纸质文件和电子设备分开列？ —— 因为它们**丢失后的后果与补救方式完全不同**。**纸质文件的特点是【一旦被看到就无法撤回】**——**拍张照、记下几个数字就够了，而且没有日志、没有告警、事后无法追查**。**电子设备的特点是【可以上锁屏、可以远程锁定、可以留下访问记录】**——**所以处置手段更多**（**锁屏、磁盘加密、远程擦除**）。**这个区别带来操作上的不同优先级**：**纸质文件是【必须收进带锁的地方】**（**因为它没有第二道防线**）；**电子设备最低限度是【锁屏】**（**因为还有加密和远程擦除兜底**）。**【三清一锁】把两者分开，实际上是在提示员工【它们的风险性质不一样】**——**这也解释了为什么标准原文里专门把【纸质资料】和【可移动介质】并列**（**可移动介质更接近纸质文件的性质：小巧、可携带、一旦丢失难以追回**）。 3. 门禁日志该怎么用才不只是【一份数据】？ —— 关键是**把它从【事后调取】变成【自动发现异常】**。**具体做法是把日志按规则过滤，只产生少量高价值告警**。**最值得设的三类**：**① 尾随进入**——**一张卡刷开后，短时间内同一道门又出现进入记录**（**正常的单次刷卡只有一条记录**）；**② 非工作时间进入**——**进入时间落在授权时段之外，且没有对应的审批记录**（**这需要门禁系统与审批系统打通，或者至少要有一个事后核对的流程**）；**③ 连续失败后成功**——**失败次数达到阈值后又通过了，可能是试探（试别人的卡）、也可能是代刷**。**这三类加起来每天产生的告警量通常很小**，**所以能被真正处理**——**这是它区别于【日志堆积】的关键**。**另一个用法是【基线对比】**：**先统计一个月，得到【平时每天谁在什么时候进哪扇门】的常态**，**然后让偏离常态的记录浮出来**（**这和 6-10 里【以正常时期的记录做基线】是同一个方法**）。**最后提醒一句**：**门禁日志本身也是个人信息（能反映员工行踪），采集范围与保留期限应当与制度一致**（**参照 6-1 的隐私策略**）。

相关笔记