въпросникът пита за физическата защита на сървърното помещение или дата център

Физическата защита пада под политиката за достъп, а не под отделна тема

Въпросът за физическата защита на сървърната стая или центъра за данни обикновено е разработка на по-широка точка: политиката за достъп, включително управлението на корпоративни ресурси. Който може физически да достъпи оборудването, може също така да получи логически достъп — поради това обикновено стои в един и същ параграф като управление на достъпа, а не като отделна тема. Отговорете въз основа на това, което наистина съществува: система с бейджи или ключове, видеонаблюдение, кой има ключ или карта, и дали това се регистрира. Ако сървърната стая е при външен доставчик на центрове за данни, отговорът часто е препратка към техните мерки, а не към нещо, което самото предприятие управлява.

Ако хостингът е аутсорсиран, въпросът е тясно свързан с управлението на веригата: изискванията, които предприятието поставя на своите собствени доставчици е тогава точката на свързване, като доказателство е сертификатът на центъра за данни или SOC 2 докладът на доставчика, а не собственото описание на предприятието на брави и камери. Ако предприятието няма собствена сървърна стая и всичко е в облака, тогава "не е приложимо, услугите работят при [доставчик], вижте техния сертификат" е полноценен отговор — при условие че това е действително така. Ако липсва официално доказателство, но съществува практическа мярка (например: сървърна стая в затворено шкафче в помещение с контрол на достъпа), тогава това също е валиден отговор — само без сертификат към него.

Откъде идва това: Приложение A и член 21, параграф 2

ISO/IEC 27001 Annex A назовава физическата и екологичната защита като отделна мярка за управление, отделена от контролата на логическия достъп — поради това одиторът я задава поотделно, дори и при Supplia да пада под един и същ дневник на веригата. Член 21, параграф 2 на NIS2 директивата не назовава физическата защита като отделна точка между десетте мерки, но политиката за контрол на достъпа и защитата на деловите активи попадат под нея — физическият достъп до сървърната стая е практическо приложение на това. Според Закона за киберсигурност, холандската трансформация, която влиза в сила на 15 август 2026 г., това не се променя коренно: десетте мерки се връщат, физическата защита остава част от управлението на достъпа вместо самостоятелно изискване.