Seznam vprašanj vprašuje o fizični varnosti serverske sobe ali podatkovnega centra

Fizična zaščita spada pod politiko dostopa, ne pa pod ločeno temo

Vprašanje o fizični zaščiti serverske sobe ali podatkovnega centra je običajno razdelka širšega vidika: politiko dostopa, vključno z upravljanjem poslovnih sredstev. Kdor ima fizičan dostop do opreme, ima namreč lahko tudi logični dostop — zato je to običajno v istem odstavku kot upravljanje dostopa, ne pa kot ločena tema. Odgovori na podlagi tega, kar v resnici obstaja: sistem z značkami ali ključi, nadzor s kamerami, kdo ima ključ ali kartico in ali je to zabeleženo. Če se serverska soba nahaja pri zunanjem ponudniku podatkovnih centrov, je odgovor pogosto sklicevanje na njihske ukrepe, ne pa na kaj, kar organizacija sama upravlja.

Če je gostovanje oddano v zunanjost, je vprašanje blizu upravljanja verige: zahteve, ki jih organizacija postavlja svojim lastnim dobaviteljem so nato stična točka, s certifikatom podatkovnega centra ali poročilom SOC 2 dobavitelja kot dokazom, ne pa z lastnim opisom ključavnic in kamer. Če organizacija nima lastne serverske sobe in je vse v oblaku, je »ne velja, storitve tečejo pri [dobavitelju], glejte njihovo certificiranje« popoln odgovor — le če je res tako. Če formalno dokazilo manjka, vendar obstaja dejansko merilo (na primer: serverska soba v zaklenjeni omari v stavbi z nadzoro dostopa), je to tudi veljaven odgovor — le brez certifikata pri tem.

Od kje je to: Annex A in član 21 odstavek 2

ISO/IEC 27001 Annex A navaja fizično in okoljsko zaščito kot ukrep nadzora, ločeno od nadzora logičnega dostopa — zato auditor posebej vpraša tudi pri Supplii, kjer spada pod isto datoteko verige. Člen 21(2) direktive NIS2 ne omenja fizične zaščite kot ločene točke med desetimi ukrepi, vendar se politika nadzora dostopa in zaščita premoženja podjetja nanašata nanjo — fizičan dostop do serverske sobe je praktična izvedba tega. V skladu s Cybersecurity Act, nizozemsko implementacijo, ki stopi v veljavo 15. avgusta 2026, se v bistvu ne spremeni: deset ukrepov se ponovi, fizična zaščita ostane del upravljanja dostopa namesto samostojne zahteve.