Dotazník sa pýta na fyzickú bezpečnosť serverovne alebo datacentra

Fyzická bezpečnosť spadá pod politiku prístupu, nie pod samostatnú tému

Otázka fyzickej bezpečnosti serverovne alebo dátového centra je zvyčajne rozpracovaním širšieho bodu: politiku prístupu vrátane správy firemného majetku. Kto má fyzický prístup k zariadeniu, môže totiž získať aj logický prístup — preto je to zvyčajne v rovnakom odseku ako riadenie prístupu, nie ako samostatný predmet. Odpoveďte na základe toho, čo skutočne existuje: systém znáčok alebo kľúčov, kamerový dohľad, kto má kľúč alebo kartu a či sa to zaznamenáva. Ak sa serverovňa nachádza u externého poskytovateľa dátového centra, odpoveď často predstavuje odkaz na ich opatrenia, nie na niečo, čo podnik sám spravuje.

Ak je hosting outsourcovaný, otázka sa úzko dotýka riadenia reťazca dodávateľov: požiadavky, ktoré podnik kladie na svojich vlastných dodávateľov je potom vstupným bodom, s certifikátom dátového centra alebo správou SOC 2 poskytovateľa ako doklad, nie vlastným popisom zámkov a kamier. Ak podnik nemá vlastnú serverovňu a všetko je v cloude, potom je "neuplatniteľné, služby bežia u [poskytovateľ], pozrite si ich certifikáciu" úplná odpoveď — za predpokladu, že to je skutočne tak. Ak formálny doklad chýba, ale existuje faktické opatrenie (napríklad: serverovňa v uzavretej skrini v budove s kontrolou prístupu), potom je aj to platná odpoveď — len bez certifikátu k tomu.

Odkiaľ to pochádza: Príloha A a článok 21 odsek 2

ISO/IEC 27001 príloha A uvádza fyzickú a environmentálnu bezpečnosť ako samostatný opatrenie na riadenie oddelene od logickej kontroly prístupu — preto sa na to audítor pýta zvlášť, aj keď spadá pod rovnaký zväz v Supplia. Článok 21 odsek 2 smernice NIS2 nespomína fyzickú bezpečnosť ako samostatný bod medzi desiatimi opatreniami, ale politika kontroly prístupu a bezpečnosť obchodných aktív pod ňu spadajú — fyzický prístup k serverovni je ich praktickým naplnením. Podľa Zákona o kybernetickej bezpečnosti, ktorý je holandským prevedením a nadobúda platnosti 15. augusta 2026, sa to podstatne nemení: desať opatrení sa opakuje, fyzická bezpečnosť zostáva súčasťou riadenia prístupu namiesto samostatnej požiadavky.