hogyan válaszoljak a fizikai biztonságra vonatkozó kérdésre az adatközpontunkban

A fizikai biztonság az tíz intézkedés közé tartozik

A szerverek és adatközpontok fizikai biztonsága az NIS2 21. cikk (2) bekezdése alá esik, amely felsorolja azokat a tíz intézkedési kategóriát, amelyeket egy entitásnak meg kell tennie. Az irányelv maga nem említi a "fizikai biztonságot" külön pontként, hanem az információs rendszerek és üzleti eszközök biztonsága kategóriájába sorolja — ugyanabba a kategóriájába, ahol szintén hozzáférési szabályzat és az üzleti eszközök kezelése alá tartozik. Ha a lista kifejezetten a létesítmény hozzáférésvezérlésére, kameramegfigyelésre vagy a szerverszoba klíma- és tűzvédelmére kérdez rá, akkor lényegében ugyanarról a kérdésről van szó, mint a logikai hozzáférésvédelem esetében, csak annak a fizikai változatáról.

Ha saját szerverszobád van, akkor a válasz gyakran konkrétan alátámasztható: jelvény- vagy kulcsrendszerek, látogatotti regisztráció, kamerák és klímavezérlésre vonatkozó karbantartási szerződés a szokásos bizonyítékok. Ha az infrastruktúra felhőszolgáltatónál vagy colocation-partnernél működik, akkor a kérdés módosul: akkor nem a te fizikai biztonsági rendszeredről, hanem a szállítód biztonsági rendszeréről van szó, és ez az azon biztonsági követelmények közé tartozik, amelyeket a saját szállítóidra támasztasz. Ebben az esetben a szokásos válasz a szállító tanúsítványára vagy igazolására (gyakran ISO 27001 nyilatkozat vagy SOC 2 jelentés) való hivatkozás, nem pedig egy olyan épület saját leírása, amelyet nem kezelsz. Ha nem áll rendelkezésedre ez az igazolás, akkor az "nem, még nem elérhető" válasz azzal a megjegyzéssel, hogy a szállítónál kérik, ténylegesen helyes — jobb, mint egy feltételezés.

Ahol az ISO 27001 A. mellékletében megtalálható

Az ISO/IEC 27001 konkrétabban dolgozza ki a fizikai biztonságot, mint az NIS2: az A. melléklet külön kategóriát tartalmaz a fizikai környezetre vonatkozó ellenőrzési intézkedésekre, olyan témákkal, mint a hozzáférési zónák, a fizikai fenyegetések elleni védelem és a berendezések biztonsága. Az azok szerint már ISO 27001 tanúsított lehetnek, gyakran közvetlenül hivatkozhatnak erre a kérdésre a megfelelőségi nyilatkozat (Statement of Applicability) alapján, amelyben ezek az intézkedések már részletezve vannak. A NIS2 átültetésének számára kötelezettséggel rendelkező, azaz a Cyberbevédelmi törvény alá tartozó holland szervezetek számára ez a kategória az egyik tíz terület közül, amelyre vonatkozóan felügyelet lehetséges, amint az a törvény — a NIS2 átültetése — 2026. augusztus 15-én hatályba lép.