klausimynas klausia apie fizinę serverio kambario arba duomenų centro apsaugą

Fizinė apsauga patenka į prieigos politiką, o ne į atskirą temą

Klausimas apie serverių patalpos arba duomenų centro fizinę apsaugą dažniausiai yra platesnio punkto išplėtimas: prieigos politiką, įskaitant verslo išteklių valdymą. Kas gali fiziškai pasiekti aparatūrą, tas taip pat gali gauti loginę prieigą — todėl tai dažniausiai yra toje pačioje pastraipoje kaip prieigos kontrolė, o ne kaip atskiras dalykas. Atsakykite remiantis tuo, kas iš tikrųjų yra: ženklo arba raktų sistema, kamerinė priežiūra, kas turi raktą arba kortelę, ir ar tai užregistruojama. Jei serverių patalpa yra pas išorinį duomenų centro tiekėją, atsakymas dažnai yra nuoroda į jų priemones, o ne į ką nors, ką pati organizacija valdo.

Jei hosting'as yra išduotas subranchiam, tada klausimas yra arti tiekimo grandinės valdymo: reikalavimus, kuriuos įmonė keliama savo patiems tiekėjams yra tada ryšio taškas, o įrodymu yra duomenų centro sertifikatas arba teikėjo SOC 2 ataskaita, o ne paties slaptažodžių ir kamerų aprašymas. Jei įmonė neturi savo serverio patalpos ir viskas yra debesijoje, tada „netaikytina, paslaugos veikia pas [teikėjas], žr. jų sertifikavimą

Iš kur tai kilę: A priedas ir 21 straipsnio 2 dalis

ISO/IEC 27001 Annex A nurodo fizinį ir aplinkos saugą kaip atskirą kontrolės priemonę, atskirai nuo loginės prieigos kontrolės — todėl auditorius apie tai klausia atskirai, nors Supplia tai laiko tuo pačiu tiekimo grandinės dokumentu. NIS2 direktyvos 21 straipsnio 2 dalis fizinės saugumo nenurodo kaip atskiro punkto tarp dešimties priemonių, tačiau prieigos kontrolės politika ir įmonės turto saugumas joje yra — fizinis serverio kambario prieigos draudimas yra praktinis to įgyvendinimas. Pagal Kibernetinio saugumo įstatymą, Nyderlandų transpoziciją, kuri įsigalioja 2026 m. rugpjūtį 15 d., tai iš esmės nesikeičia: dešimt priemonių grąžinamos, fizinė sauga lieka prieigos valdymo dalimi, o ne savarankiškais reikalavimais.