安保系统设计的重点在于放在入口处对人员个体进行识别和筛选的装置，即“门禁”。如果识别可靠性能达到100%，人员的进入意图安全可信，并且墙壁、门窗、锁具和天花板牢不可破，那你将无任何后顾之忧。但是鉴于自身缺陷或恶意破坏，事情往往并不能如此完美。因此，安保系统一般还需要结合其它保护、监控和灾备等措施一起发挥作用。

当新建一处设施或翻新原有设施时，物理安全可以彻底重新做起，综合利用建筑和施工措施预防或阻止恶意行为。在建筑的结构和布局方面，安保需要考虑的事项主要与潜在的进入路线和离开路线以及进入关键物理基础设施的通道有关，比如HVAC和布线，还有就是可供恶意进入者藏身的场所。

门禁系统的一个常见的漏洞是未经授权人员可能会跟在一名得到授权人员的后面从检查点进入安全区域。（如果获得授权的人员知情，这种行为称之为“伴随”，即，他会帮助开门；如果获得授权的人员不知情，则称为“尾随”，即未经授权人员趁人不察时悄悄溜入）。传统的解决方案是一种气闸式的双门互锁装置，叫做“捕获装置”，上面分别安装了入口门和出口门，两扇门之间的空间只能容纳一个人。双门互锁装置可在入口门和出口门都设置门禁，或者只在出口门设置门禁。这种情况下，如果无法从这个装置中出去，入口门也会锁闭，同时装置会发出警报，通知未经授权的闯入者已经被控制。此外还可以安装专门的脚印探测地坪，以确认一次只有一个人通过。

现在已经开发出一种解决这个问题的新技术，即在天花板上安装摄像头，在人员通过检查点时进行跟踪和标记，一旦发现一次通过多人的情况就会发出警报。

固定摄像机可以用于在车辆驶入点记录汽车牌照，或者结合脚步感应器使用以记录关键位置的进出人员。

闭路电视（CCTV）摄像机，采用暗装或明装可以提供内部或外部监督、发挥威慑作用以及在发生事故后进行追溯检查。摄像机的种类多样，包括有固定式，旋转式或远程控制。在安装摄像头时需要注意的一些事项：

如果CCTV信号存有记录，那么就以下事项制定相应程序：

目前正在开发一种新技术，它可以自动完成之前由保安进行的工作——观看TV监控器——即使用软件探测屏幕上的图像变化（活动）。

就物理安全而言，除运用先进技术外，专家们认为高素质的警卫团队是为门禁系统提供支持和补充的最佳手段。安保警卫人员可以充分利用所有感官进行安全监督，同时还能够运用智慧灵活应对和处理可疑、异常或灾难性事件。

我们每个人都熟悉传统的房屋和建筑警报系统及其传感器——动作传感器，热量传感器，接触（闭门）传感器等等。数据中心警报系统可能还会使用其它种类的传感器——激光传感器、脚步传感器、触摸传感器和振动传感器。数据中心内的一些区域可能会选用静音告警器而不是发声传感器以便抓获作案中的犯罪分子。

如果传感器联网，它们可由管理系统远程监控，也包括来自门禁装置的个人活动数据。

安保系统设计时必须考虑如何处理访客。一般的解决方案是发放可进入低安全级别区域的临时胸牌或通行卡并在陪同下进入高安全级别区域。如果使用双门互锁装置（防止两个人使用同一授权通过入口），则需要提供临时证或提供访客证才能通行。

技术不能自行完成所有工作，特别是一些最好由人来完成的工作：评估人员身份和意图。人是安保问题的一个重要成因，同时人也是解决方案中不可或缺的要素——容易出错的特性使我们既是最薄弱的安保环节，但是同时人的智慧也能够为安保提供最强大的支持。

除了错误和事故，人类天性中的友好和信任也伴随着固有的风险。一个你认识的人进入设施，而他/她可能是心怀不满的员工或者是有所企图的人，因为是熟人所以违反规定或跳过程序可能会造成灾难性的后果，安保失效的主要形式之一就是“内部人员作案”。即使是陌生人有时也能成功越过安保防线——他们往往非常狡猾聪明，擅长利用诡计和欺骗手段来获取通行。安全保护区域的人员应当接受相关培训，不仅针对操作和安保规则，还应了解如何抵御层出不穷的通过人际交往进行突破的手段。

安全防护措施往往被意外因素所干扰，任何技术手段都不如保持高度警惕的人可靠。如果时刻警惕被操纵利用并且坚决不走捷径，这样的人对安保来说将是技术之外的无价补充。

除了保持警惕性之外，工作人员的眼睛、耳朵、大脑和灵活性也非常有用，因此人是安保计划中不可忽略的要素之一。在入口设置门卫以及在物业和建筑内设施巡逻岗，虽然花费较贵，但可以在安保技术手段发生故障或被入侵时提供保护。警卫人员在感到“事情不妙”时的快速反应可能是抵抗潜在安保的最后防线。

在防止意外和蓄意伤害方面，警卫人员的贡献也同样重要：时刻保持警惕并且严格遵守规章制度。只允许相关人员进入设施，工作人员均经过完善培训，遵循预定规则和程序是一个有效物理安全系统最后的“防火墙”。

恰当的安保系统是可以想到的最佳折中方案，它应当能够尽可能地平衡因人员误入而引起的风险和潜在的损坏与安保措施的成本和繁复程度之间的关系。

尽管每个数据中心都有其独特的特点，加上可能受损失的具体情况也各有不同，大部分的数据中心还是都需要考虑以下几点：

安保系统设计需要考虑许多变量，非常复杂。虽然安保系统设计的具体策略不在本系列文章的讨论范围内，但是任何设计方案都需要考虑以下事项：

预算限制通常会使选用昂贵的高保密级别识别设备受到限制。通常的解决办法是针对不同的安保级别选用相应保密级别的的技术。

对于任何安保级别的区域，结合使用低成本技术都可以提高识别结果的可靠性。最内层的安全区域可以受益于所有同心外层区域的技术保护。

识别技术的简单易用和可靠性非常重要，这可以避免让安保系统成为制造麻烦的源头或者让人认为有机可乘。

设计是否可以根据需要，投入成本和技术的安全等级进行扩展?

新设计是否可以与旧系统中的已有要素兼容？保留使用全部或部分现有系统可以极大降低部署成本。

图4  潜在损失和已知安保成本之间的平衡

随着数据中心和托管服务设施的不断增加，设施的物理安全需求变得和网络计算机安全需求一样强烈和迫切。伪造身份或有所企图的闯入者可能造成巨大的破坏，比如破坏关键物理设备或者攻击软件。即使正常工作人员的普通失误也对数据中心的运行存在威胁。控制这些风险的办法就是尽量只让相关人员在安全控制区域内进出。

基于“你有什么”、“你知道什么”和“你是谁”的识别原则，我们可以综合运用各种技术，在优化成本的基础上，构建各种不同的解决方案。通过风险接受度评估以及对门禁要求和可用技术的综合分析，我们可以设计出在保护力度和成本之间力求平衡的有效安保系统。