cliente pergunta sobre a segurança física da nossa sala de servidores

Sala de servidores física enquadra-se na política de acesso, não na continuidade

A questão sobre segurança física da sala de servidores pertence ao controlo de acesso: quem tem permissão para entrar, como é registado, e como é gerida a responsabilidade sobre os activos empresariais. Os clientes costumam colocar esta questão separadamente das suas questões sobre cópias de segurança e medidas de emergência, mas na maioria dos dossiers ambas estão incluídas no mesmo documento de política. Questões típicas: gestão de crachás ou chaves, vigilância por câmara, controlo climático, extinção de incêndios, e se a sala é gerida internamente ou está alojada num fornecedor de datacenters externo.

Se a sala de servidores está alojada num fornecedor de datacenters externo, a resposta frequentemente não é "sim, nós regulamos isto" mas "o nosso fornecedor regula isto, e nós verificámos" — isso envolve os requisitos que a empresa coloca aos seus próprios fornecedoresSem uma fonte subjacente no dossier da cadeia — um certificado ISO 27001 do fornecedor, um relatório SOC 2, ou um relatório de inspecção próprio — então "não" ou "parcialmente" é a resposta honesta, mesmo que a segurança física esteja de facto em ordem. Sem fonte, nenhum "sim" é sugerido aqui. Se não existe uma política de segurança física separada mas o tema é mencionado na política de acesso geral, isso é frequentemente uma base suficiente para uma nota explicativa da resposta em vez de um "não" sem qualificação.

Rastreável ao artigo 21.º n.º 2 da NIS2 e Anexo A.7 da ISO 27001

Segurança física e ambiental é uma das dez medidas do artigo 21.º n.º 2 da Directiva NIS2, e reaparece como capítulo próprio (A.7, "Physical and environmental security controls") no Anexo A da ISO/IEC 27001. As empresas que já têm certificação ISO 27001 demonstrável podem frequentemente apresentar esse certificado directamente como prova documental em vez de documentar as medidas físicas em separado. Para empresas que se tornarão elas próprias abrangidas pela Lei da Segurança Cibernética quando esta entrar em vigor em 15 de Agosto de 2026, existe aqui a prazo uma obrigação própria; até essa data, para a maioria dos fornecedores, isto é ainda puramente uma questão colocada pelos seus clientes, não uma obrigação legal própria.