保护受控未分类信息 Rev 3

与要求03.08.01限制用户访问媒体不同，此要求限制或禁止使用某些类型的媒体，例如外部硬盘、闪存驱动器或智能显示器。组织可以使用技术和非技术措施（例如政策、程序和行为规则）来控制系统媒体的使用。例如，组织可以通过在工作站上使用物理护罩来禁止访问外部端口，或者禁用或移除插入、读取或写入设备的功能，从而控制便携式存储设备的使用。组织可能会将便携式存储设备的使用限制为仅限经批准的设备，包括组织提供的设备、其他经批准组织提供的设备，以及非个人拥有的设备。组织还可以根据设备类型控制便携式存储设备的使用——禁止使用可写的便携式设备——并通过禁用或删除向这些设备写入的功能来实施此限制。在外部系统中使用组织控制的系统媒体的限制包括对媒体使用方式和使用条件的限制。要求可识别的所有者（例如个人、组织或项目）对可移动系统介质负责，可以通过允许组织分配责任和问责来降低使用这些技术的风险，从而应对介质中已知的漏洞（例如恶意代码的插入）。