物理访问控制. 数据导入方的设施/场所的物理访问控制/安全措施满足以下要求：
(a) 应当根据业务必要性、资产敏感性以及个人的角色和与数据导入方的关系，控制对数据导入方的建筑物、设施和其他物理场所的访问。只有与数据导入方有关的人员才能以与其在组织中的角色和职责相符的方式访问数据导入方的设施和物理资源；
(b) 相关数据导入方设施由访问控制系统提供保护。只有使用激活卡才能进入此类设施；
(c) 由IS职能部门给所有需要访问设施和/或资源的人签发适当且唯一的物理访问凭据（例如分配给一个人的证章或出入证）。签发有唯一物理访问凭据的人员将收到指示，不允许或让其他人使用其唯一凭据（例如没有“尾随”）访问数据导入方 的设施或资源。如果没有有效身份的个人需要
(i) 访问特定设施和满足
(ii) 有效的业务需求，可向其发放临时（最多14天）凭据。唯一凭据不可转让，如果个人无法根据要求提供凭据，则可能会被拒绝进入数据导入方的设施或被护送离开相关 场所。在配有工作人员的入口处，个人必须在进入时向安全代表出示带照片的有效身份证件或有效凭据。丢失凭据或其 他身份证件或不记得将其放在何处的个人必须通过配有工作人员的入口进入，并由安全代表签发临时证章；
(d) 定期培训员工，并且提醒他们随时携带自己的凭据，将笔记本电脑、便携式设备和文档存储在安全位置（特别是在出差时），并在离开办公桌时注销或关闭计算机；
(e) 需要访问数据导入方设施的访客必须通过配有工作人员的入口和/或主要设施入口进入。访客必须登记其到达日期和时间、离开大楼的时间，以及他们要拜访的人员的姓名。访客必须出示当前通用的政府签发的身份证件，以验证其身份。为了 防止访问或披露公司专有信息，访客不得在无人陪同的情况下进入受限或受控区域；
(f) 选定的数据导入方设施使用CCTV监控、安保人员和其他适当且法律允许的物理措施；
(g) 在大多数场所提供带锁的碎纸箱，以安全销毁机密信息/个人数据；
(h) 对于数据导入方的主要数据中心，安保人员、UPS和发电机以及变更控制标准均可用；
(i) 对于软件开发和基础架构部署项目，IS职能部门使用风险评估流程和数据分类程序来管理这些活动产生的风险。
物理访问控制. (a) Sophos 有一项实际出入控制政策；
(b) 所有工作人员都携带身份证/出入证；
(c) 设施的入口受到出入证或钥匙的保护；
(d) 设施分为：
(i) 公共出入区(如接待区)；
(ii) 一般工作人员出入区；
物理访问控制. 是指通过采取相关行动禁止未经授权的人员对个人信息处理地点和区域进行物理访问。
物理访问控制. 安全文件应要求且供应商应确保只有经授权的人员才能进入存放支持信息系统的物理设备的场所。