asiakas kysyy palvelintilamamme fyysisestä turvallisuudesta

Fyysinen palvelinkeskustila kuuluu pääsynhallinnan piiriin, ei jatkuvuuteen

Kysymys palvelinkeskustilan fyysisestä turvallisuudesta kuuluu pääsynhallintaan: keillä on pääsy sisälle, miten se kirjataan, ja miten omaisuuden hallinta on järjestetty. Asiakkaat kysyvät tätä yleensä erillään varmuuskopioiden ja hätätoimenpiteiden kysymyksistä, mutta useimmissa ketjutiedostoissa molemmat ovat saman politiikkadokumentin alla. Tyypilliset alakysymykset: tunniste- tai avainten hallinta, kameravalvonta, ilmastointi, palontorjunta ja se, ovatko tilat omassa hallinnassa vai ulkoisen palvelinkeskuspalveluntarjoajan ylläpitämiä.

Jos palvelinkeskustila on ulkoisen palvelinkeskuspalveluntarjoajan hallinnassa, vastaus on usein eikä "kyllä, me hoitamme tämän" vaan "toimittajamme hoitaa tämän, ja olemme tarkistaneet sen" — se koskee vaatimukset, jotka yritys asettaa omille toimittajilleen. Jos ketjutiedostolla ei ole taustalla olevaa todistusasiakirjaa — palveluntarjoajan ISO 27001 -sertifikaattia, SOC 2 -raporttia tai omaa tarkastusraporttia — silloin "ei" tai "osittain" on rehellinen vastaus, vaikka fyysinen turvallisuus olisi todellisuudessa kunnossa. Ilman lähdettä "kyllä" ei esitetä tässä. Jos erillistä fyysisen turvallisuuden politiikkaa ei ole, mutta aihe mainitaan yleisessä pääsynhallintapolitiikassa, se on usein riittävä perusta vastauksen selitykselle eikä tyhjälle "ei":lle.

Jäljitettävissä EU:n NIS2-direktiivin 21 artiklan 2 kappaleen sekä ISO 27001 -standardin liitteen A.7 mukaisesti

Fyysinen ja ympäristöturvallisuus on yksi kymmenestä toimenpiteestä EU:n NIS2-direktiivin 21 artiklan 2 kohdassa, ja se esiintyy omana lukuna (A.7, "Physical and environmental security controls") ISO/IEC 27001 -standardin liitteessä A. Yritykset, jotka ovat jo todistettavasti ISO 27001 -sertifioituja voivat usein toimittaa sertifikaatin suoraan todistusasiakirjana fyysisten toimenpiteiden erillisen dokumentoinnin sijaan. Yrityksille, jotka kuuluvat Kyberturvallisuuslain piiriin, kun se tulee voimaan 15. elokuuta 2026, on tässä pitkällä aikavälillä oma velvoite; tähän asti tämä on useimmille alihankintajille vain heidän asiakkaansa kysymys, ei oma lakisääteinen velvoite.