一、ISO/IEC 27701:2019 6.8.1 标准原文
原文摘要：本条对应 ISO/IEC 27002:2013 11.1，要求组织通过物理安全边界、入口控制、办公室和设施保护、外部和环境威胁防护、在安全区域工作的规程以及交接区控制，防止对敏感信息和信息处理设施的未授权物理访问、损坏和干扰。对 PIMS 而言，凡是会处理、查阅、打印、保存或交接 PII 的区域，都应按风险建立相应的物理控制。
二、条款解读说明
6.8.1 的核心，是把处理 PII 的空间从“普通办公场所”中区别出来，并按风险决定边界和控制强度。很多组织只在数据中心或档案库上做物理安全设计，却忽略了客服座席区、财务归档间、法务阅档室、现场采集点、打印复核区、第三方驻场支持点和访客可到达的会议区域。这些地方未必被定义为“机密区域”，但它们对 PII 的暴露概率往往更高。
与逻辑访问不同，安全区域面对的是更加直接的接触风险。进入一个受控区域的人，可能不需要破解任何系统就能看到屏幕、拿走纸质材料、插入设备、旁听电话、观察操作流程，甚至通过拍照和记忆完成信息获取。因此，区域控制不只是“防陌生人闯入”，还包括限制过度停留、无关人员混入、未授权记录、未经审批的装卸和交接等现场行为。
| 区域控制点 | 要解决的问题 | 对PII的直接影响 |
|---|---|---|
| 边界定义 | 哪些空间属于受控范围 | 决定 PII 接触范围是否清晰 |
| 入口控制 | 谁能进入、以什么方式进入 | 防止未授权人员靠近敏感活动 |
| 现场工作规程 | 进入后能做什么、不能做什么 | 减少拍摄、抄录、偷窥和混线操作 |
| 交接区管理 | 物资、介质和打印件如何收发 | 降低带入带出与途中篡改风险 |
在 PIMS 中，安全区域设计还要回答一个更细的问题: PII 处理目的与区域功能是否一致。比如，某些区域允许查看摘要但不允许导出，某些区域允许录入但不允许批量打印，某些支持人员可进入设备间但不能接触业务纸档。若区域设计只按“能进或不能进”划分，而不按活动类型区分，组织仍然会在区域内部制造新的过度接触。
6.8.1 还提醒组织关注环境和交接场景。真实的隐私事件经常发生在“门外到门内”“楼内到楼外”“库房到办公区”的过渡链路里。门禁做得再好，如果交接区无人监督、来料不检查、退回材料不上账、访客可以独自等待，区域边界仍然会被绕开。
因此，6.8.1 的本质是让处理 PII 的空间具备被识别、被分层、被限制和被监督的能力，使物理接触边界与业务授权边界保持一致。
三、实施要点
- 先梳理所有会查看、打印、交接或暂存 PII 的区域，不只关注机房和档案室。
- 按 PII 敏感度和业务活动差异，对区域做分级管理和不同强度的入口控制。
- 为安全区域建立现场工作规程，包括访客陪同、禁止拍摄、材料留置和紧急处理要求。
- 把交接区、收发区和临时等候区纳入安全区域设计，避免边界在过渡环节失效。
- 6.8.1的核心是把“哪里可以接触 PII”这件事做成清晰可执行的物理规则，而不是靠现场人员自行判断。
四、常用工具与实施方法
| 工具/方法 | 适用目的 | 关键输出 |
|---|---|---|
| 区域分级图 | 识别不同区域承载的 PII 风险等级 | 安全区域清单与平面图 |
| 门禁与访客审批 | 控制人员进入和停留范围 | 授权名单与陪同规则 |
| 现场行为规则 | 规范拍照、打印、携带设备和接待活动 | 区域作业规程 |
| 交接区检查机制 | 管理收发、装卸和材料转移 | 进出登记与异常上报 |
实践中，组织不应把所有受控区域都设计成同一种模式。开放式客服区、病案库、审单中心和设备间面对的威胁完全不同，控制也不应一刀切。更有效的方法，是在统一原则下为不同区域设置不同的进入条件、陪同要求和工作约束。
同时，区域控制与人员管理必须联动。没有角色变更同步、没有访客记录保存、没有离职后门禁回收，再好的物理设施都会逐步失效。
五、典型案例
- 区域未分层导致过度接触：某组织将客服、档案整理和外部支持座位放在同一开放区域，虽然每个人都有各自账号，但外部支持人员可以直接看到客户纸档和屏幕内容。问题根源是 6.8.1 未把不同活动按区域风险分开。
- 交接区成了隐私盲点：某团队将待邮寄的资料长期堆放在无人值守的收发区，快递、访客和保洁人员均可能接触。组织原以为“办公室门禁已经足够”，却忽略了区域边界在交接环节被打开。
这类问题说明，安全区域控制真正要守住的不是一个门，而是从入口到活动再到离开的整条现场接触链。
六、成文信息管理要求
| 建议保留文件 | 关键内容 |
|---|---|
| 安全区域清单 | 区域用途、PII 类型、风险等级和授权对象 |
| 门禁与访客规则 | 审批、登记、陪同、临时证件和回收要求 |
| 区域工作规程 | 禁止事项、设备携带、打印和异常处置要求 |
| 交接区管理记录 | 收发、装卸、检查、异常报告和责任链 |
这些文件能够证明组织对 PII 处理空间做了正式管理，而不是依赖办公习惯和现场自觉。
七、常见误区及踩坑提醒
| 误区 | 问题表现 | 正确做法 |
|---|---|---|
| 只有机房才算安全区域 | 客服区、打印区和档案借阅区长期暴露 | 凡接触 PII 的空间都应识别并分级 |
| 有门禁就等于区域安全 | 区域内部行为和交接环节无人管 | 同时设计进入限制与现场工作规程 |
| 访客只是短暂停留无需留痕 | 事后无法说明谁进过区域、看过什么 | 对访客和临时支持活动保留完整记录 |
安全区域的管理难点，在于很多区域既不是完全开放，也不是绝对封闭。前台后场、病区工作站、共享打印区、临时项目室和访客陪同路径都处在灰色地带。若组织没有把“谁可进入、何时可进入、进入后能看到什么”分层讲清楚，PII 就会在这些半开放空间里被日常运营慢慢暴露。真正成熟的区域设计，会随着人流、用途和时段变化持续调整，而不是一次划线后长期不动。
在实践中，安全区域往往不应只按房间名称来划分，而要按活动来划分。同一间会议室在普通例会时可能只是一般办公空间，在进行投诉复核、证件审核或外部尽调时就可能暂时变成高敏感区域；同一条走廊在平时只是通道，在交接班和档案转运时又会成为材料经过路径。若区域设计只固定在平面图上，而不随着活动和时段动态理解，就会把大量真实接触场景排除在治理视野之外。
所以审核 6.8.1 时，不能只看门禁点位和区域清单，还要看组织是否定期重新识别“现在哪里在处理 PII、谁会经过、谁会停留、哪些活动需要临时升级控制”。能够随业务变化及时调整区域边界和现场规则，才说明安全区域管理是活的，而不是一次装修完成后就再也不更新的静态设施。
安全区域还特别容易在后勤和支持活动中被削弱。保洁、维修、安保巡检、设备更换、装修施工和夜间值守人员虽然不直接参与 PII 处理，却可能在无人注意的时段进入高敏感空间。如果门禁授权、陪同规则和现场清理只针对白天业务人员设计，组织就会在“非业务接触”这条线上留下明显空白。成熟做法应把这些支持性活动纳入同样的区域控制视角，明确哪些区域可进入、进入前后需要什么确认、现场不能遗留什么物品和画面。
另外，6.8.1 的现场验证不应只靠管理者描述，最好能通过走查和视角测试来完成。站在访客等待区、门外走廊、电梯拐角、楼外窗边和清洁车经过路线，看能否直接看到屏幕、白板、档案盒标签或听到身份核验内容，这类检查往往比制度抽问更能揭示真实暴露面。对 PII 场景来说，区域安全是否有效，最终仍要回到一个问题：无关人员在自然活动路径上，能否顺手接触到本不该接触的内容。