küsimustik küsib serverruum või andmekeskuse füüsilise turvalisuse kohta

Füüsiline kaitse kuulub juurdepääsupolitiika alla, mitte eraldi teemana

Küsimus serverituba või andmekeskuse füüsilise kaitse kohta on tavaliselt laiema punkti konkretiseerimine: juurdepääsupoliitika alla, sealhulgas ettevõtte vahendite haldusseKes füüsiliselt seadmetele ligi pääseb, saab ka loogilise juurdepääsu — sellepärast on see tavaliselt juurdepääsuhaldusega samas jaotises, mitte eraldi teemana. Vastake selle põhjal, mis tegelikult on: märgisüsteem või võtmesüsteem, kameraseire, kellel on võti või kaart, ja kas seda registreeritakse. Kui serverituba asub välise andmekeskuste pakkuja juures, on vastus sageli viide nende meetmetele, mitte millele, mida ettevõte ise haldab.

Kui hosting on välja antud, on küsimus tihedalt seotud tarneahelahaldusgal: nõuded, mida ettevõte oma tarnijatele esitab on siis lähtepunkt, kusjuures tõendusmaterjaliks on tarnija andmekeskuse sertifikaat või SOC 2 -aruanne, mitte ettevõtte enda kirjeldus lukudest ja kaameratest. Kui ettevõttel pole oma serverituba ja kõik on pilves, siis "ei ole rakendatav, teenused jooksevad [tarnija] juures, vt nende sertifitseerimist" on täielik vastus — tingimusel, et see tõesti nii on. Kui ametlikku tõendusmaterjali puudub, kuid tegelik meede olemas (näiteks: serverituba suletud kapis hoonele juurdepääsukontrolli juures), siis on see ka kehtiv vastus — ainult ilma sertifikaadita.

Kust see pärineb: Lisa A ja artikkel 21 lõige 2

ISO/IEC 27001 lisa A nimetab füüsilist ja keskkonnakaitset eraldiseisva haldusmeetmena, eraldi loogilisest juurdepääsukontrolli – sellepärast küsib auditor sellest eraldi, kuigi Supplia puhul on see samasse ketendossiesse kuuludes. NIS2-direktiivi artikli 21 lõik 2 ei nimetagi füüsilist kaitset kümnest meetmest eraldi punktina, kuid juurdepääsukontrolli poliitika ja ärivara kaitse kuuluvad sinna — füüsiline juurdepääs serverituppa on selle praktiline rakendamine. Küberjulgeolekuseaduse puhul, mille Madalmaade rakendamine jõustub 15. augustil 2026, ei muutu see põhiliselt: kümme meetmed naasevad, füüsiline kaitse jääb juurdepääsuhalduse osaks eraldiseisva nõude asemel.