клиентът пита за физическата защита на нашето сървърно помещение

Физическа сървърна зала попада под политика за достъп, а не под непрекъснатост

Въпросът за физическа сигурност на сървърната зала принадлежи към управление на достъпа: кой има право да влиза, как се записва това и как се управляват корпоративните активи. Клиентите обикновено питат за това отделно от вопросите си относно архиви и аварийни мерки, но в повечето дossiers и двете падат под един и същ документ за политика. Типични подвопроси: управление на карти или ключове, видеонаблюдение, контрол на климата, пожарогасене и дали помещението е под собствено управление или е разположено при външен доставчик на центрове за данни.

Когато сървърната зала е разположена при външен доставчик на центрове за данни, отговорът често не е "да, ние управляваме това" а "нашият доставчик управлява това и ние сме проверили" — това докосва изискванията, които предприятието поставя на своите собствени доставчици. Ако ketendossier няма свързано доказателство за това — сертификат ISO 27001 на доставчика, доклад SOC 2 или собствен доклад от проверка — то "не" или "частично" е честният отговор, дори ако физическата сигурност фактически е в ред. Без източник няма да се предложи кал "да" тук. Ако няма отделна политика за физическа сигурност, но темата е упомената в общата политика за достъп, то това е често достатъчна база за обяснение при отговора вместо гол "не".

Проследимо до член 21, параграф 2 NIS2 и Приложение A.7 на ISO 27001

Физическата и екологична защита е една от десетте мерки от член 21, параграф 2 на Директива NIS2 и се появява като отделна глава (A.7, "Physical and environmental security controls") в Приложение A на ISO/IEC 27001. Компаниите, които вече са сертифицирани по ISO 27001 могат често да представят този сертификат директно като доказателство вместо да документират физическите мерки поотделно. За компаниите, които попадат под Закона за киберсигурност щом той влезе в сила на 15 август 2026 г., тук съществува дългосрочна собствена задължителност; до тази дата за повечето доставчици това е все още чисто въпрос от тяхния клиент, а не собствено законово задължение.