klient küsib meie serverruumi füüsilisest turvalisusest

Füüsiline serverruum kuulub juurdepääsupoliitika alla, mitte järjepidevuse alla

Küsimus füüsilise turvalisuse kohta serverruumis kuulub juurdepääsukontrolli juurde: kes tohib sisse, kuidas seda logitakse ja kuidas on ettevõtte varadega seotud juhtimistoimingud korraldatud. Kliendid küsivad seda tavaliselt eraldi küsimustest varukoopiate ja kriisieelsete meetmete kohta, kuid enamikus dossieedes on mõlemad samade poliitika dokumentide alla kantud. Tüüpilised osküsimused: kaardi- või võtmehaldus, kaameravalve, kliimareguleerimine, tulekustutus ning kas ruum on ettevõtte enda hallata või asub välisel andmekeskuse pakkuja juures.

Kui serverruum asub välisel andmekeskuse pakkuja juures, siis vastus on sageli mitte "jah, me reguleerime seda" vaid "meie pakkuja reguleerib seda ja me oleme seda kontrollinud" — see puudutab nõuded, mida ettevõte oma tarnijatele esitab. Kui ahelas olevast dossieest puudub selleks aluseks olev tõend — pakkuja ISO 27001 sertifikaat, SOC 2 aruanne või enda inspektsioniprotokoll — siis on "ei" või "osaliselt" aus vastus, isegi kui füüsiline turvalisus on tegelikult korrektne. Ilma allikata ei pakuta siinkohal "jah"-i. Kui eraldi füüsilise turvalisuse poliitikad puuduvad, kuid teema on mainitud üldises juurdepääsupoliitikis, siis on see sageli piisav alus vastusele lisatud selgitusele, et mitte paljanda "ei".

Jäljitav artikli 21 lõike 2 NIS2 ja ISO 27001 Annex A.7 alusel

Füüsiline ja keskkonnale suunatud turvalisus on üks kümme meetmetest artikli 21 lõikest 2 NIS2 direktiivist ja esineb iseseisva peatükkina (A.7, "Physical and environmental security controls") ISO/IEC 27001 Annex A-s. Ettevõtted, kes on juba tõendatavalt ISO 27001 sertifitseeritud võivad selle sertifikaadi sageli otseselt tõendusdokumendina ära kasutada füüsiliste meetmete eraldi dokumenteerimise asemel. Ettevõtete jaoks, kes hakkavad Küberjulgeolekuseaduse alla kuuluma 15. augustist 2026 jõustumisel, on siin lähitulevikus omaenda kohustus; kuni selleni on see enamike tarnija jaoks puhtalt nende kliendiküsimus, mitte enda seaduslik kohustus.