kyselylomake kysyy palvelinhuoneen tai data-keskuksen fyysisestä turvallisuudesta

Fyysinen suojaus kuuluu pääsynhallintaperiaatteisiin, ei erilliseen teemaan

Kysymys palvelinhuoneen tai datakeskuksen fyysisestä suojauksesta on yleensä laajemman asian soveltaminen: pääsynhallintakäytäntöä, mukaan lukien liikevaihdetta omaisuuden hallintaaKuka voi fyysisesti päästä laitteisiin, voi nimittäin myös saada loogisen pääsyn — siksi tämä on yleensä samassa osassa pääsynhallinnan kanssa, ei erillisenä aiheena. Vastaa sen perusteella, mitä todellisuudessa on: badge- tai avaintekijärjestelmä, kameran valvonta, kenellä on avain tai kortti, ja kirjataanko se. Jos palvelinhuone on ulkoisen datakeskuksen toimittajan palvelussa, vastaus on usein viittaus heidän toimenpiteihin, ei johonkin, jota yritys itse hallinnoi.

Jos hosting on ulkoistettu, kysymys liittyy läheisesti toimitusketjun hallintaan: vaatimukset, jotka yritys asettaa omille toimittajilleen on tällöin kontaktipiste, ja todistusasiakirjana on datakeskuksen sertifikaatti tai toimittajan SOC 2 -raportti, ei yrityksen oma kuvaus lukkoista ja kameroista. Jos yrityksellä ei ole omaa palvelinhuonetta ja kaikki on pilvipalvelussa, niin "ei sovellu, palvelut toimivat [toimittaja]-palvelussa, katso heidän sertifiointi" on täydellinen vastaus — kunhan se on myös todella niin. Jos virallinen todistusasiakirja puuttuu mutta käytännön toimenpide on olemassa (esimerkiksi: palvelinyksikkö suljetussa kaapissa rakennuksessa, jossa on pääsynvalvonta), myös se on pätevä vastaus — vain ilman sertifikaattia.

Lähde: Liite A ja artikla 21 kohta 2

ISO/IEC 27001 Annex A nimeää fyysisen ja ympäristösuojauksen omaksi hallintotoimenpiteeksi, erillään loogisesta pääsynvalvonnasta — siksi tarkastaja kysyy siitä erikseen, vaikka se Suppliassa kuuluisikin samaan ketjudokumenttiin. NIS2-direktiivin 21 artiklan 2 kohta ei mainitse fyysistä suojausta erilliseksi pisteeksi kymmenen toimenpitteen joukossa, mutta pääsynhallintaperiaatteet ja liiketoimintavarojen suojaus kuuluvat siihen — fyysinen pääsy palvelinhuoneeseen on niiden käytännön soveltamista. Kansallisen Cybersecurity-lain, Alankomaiden toimeenpanon osalta, joka astuu voimaan 15. elokuuta 2026, ei ole perustavanlaatuista muutosta: kymmenen toimenpidettä toistetaan, fyysinen suojaus säilyy osana pääsynhallintaa itsenäisen vaatimuksen sijasta.