Ο πελάτης ζητά τη φυσική ασφάλεια του χώρου των διακομιστών μας

Ο φυσικός χώρος διακομιστή εμπίπτει στην πολιτική πρόσβασης, όχι στη συνέχεια λειτουργίας

Το ερώτημα σχετικά με τη φυσική ασφάλεια του χώρου διακομιστή ανήκει στη διαχείριση πρόσβασης: ποιος μπορεί να εισέλθει, πώς καταγράφεται αυτό και πώς διατίθεται η διαχείριση των περιουσιακών στοιχείων. Οι πελάτες συνήθως το θέτουν ξεχωριστά από την ερώτησή τους σχετικά με τα αντίγραφα ασφαλείας και τις διαδικασίες έκτακτης ανάγκης, αλλά στα περισσότερα δοσιέ και τα δύο περιέχονται στο ίδιο έγγραφο πολιτικής. Τυπικά δευτερεύοντα ερωτήματα: διαχείριση διακριτικών σημάτων ή κλειδιών, παρακολούθηση με κάμερα, έλεγχος κλίματος, πυρόσβεση και εάν ο χώρος βρίσκεται υπό δική τη διαχείριση ή σε έναν πάροχο κέντρου δεδομένων.

Εάν ο χώρος διακομιστή βρίσκεται σε έναν εξωτερικό πάροχο κέντρου δεδομένων, η απάντηση συχνά δεν είναι "ναι, το ρυθμίζουμε" αλλά "ο πάροχός μας το ρυθμίζει, και το ελέγξαμε" — που αφορά οι απαιτήσεις που ο οργανισμός θέτει στους δικούς του προμηθευτές. Εάν το δοσιέ της αλυσίδας δεν διαθέτει υποκείμενο αποδεικτικό στοιχείο για αυτό — ένα πιστοποιητικό ISO 27001 του παρόχου, μια αναφορά SOC 2 ή ένα δικό σας έκθεση επιθεώρησης — τότε "όχι" ή "εν μέρει" είναι η ειλικρινής απάντηση, ακόμη και αν η φυσική ασφάλεια είναι πράγματι σε καλή κατάσταση. Χωρίς πηγή δεν προτείνεται εδώ ένα "ναι". Εάν δεν υπάρχει ξεχωριστή πολιτική φυσικής ασφάλειας αλλά το θέμα αναφέρεται στη γενική πολιτική πρόσβασης, αυτή είναι συχνά μια επαρκής βάση για μια διευκρίνιση στην απάντηση αντί ενός άδειου "όχι".

Άρθρο 21 παράγραφος 2 NIS2 και Παράρτημα A.7 της ISO 27001

Η φυσική και περιβαλλοντική ασφάλεια είναι ένα από τα δέκα μέτρα του άρθρου 21 παράγραφος 2 της Οδηγίας NIS2, και εμφανίζεται ως ξεχωριστό κεφάλαιο (A.7, "Physical and environmental security controls") στο Παράρτημα A του ISO/IEC 27001. Τα εταιρεία που είναι ήδη αποδεδειγμένως πιστοποιημένα κατά ISO 27001 μπορούν συχνά να υποβάλουν αυτό το πιστοποιητικό απευθείας ως αποδεικτικό στοιχείο αντί να τεκμηριώσουν τα φυσικά μέτρα ξεχωριστά. Για τις εταιρείες που θα υπόκεινται στον Νόμο Διαχείρισης Κυβερνοασφάλειας όταν αυτός θα τεθεί σε ισχύ στις 15 Αυγούστου 2026, υπάρχει εδώ μια δική τους υποχρέωση· μέχρι τότε αυτό για τους περισσότερους προμηθευτές είναι ακόμη καθαρά ένα ζήτημα της ερώτησης του πελάτη τους, όχι δική τους νόμιμη υποχρέωση.