Az ügyfelem a szervezeti adattárunk fizikai biztonsága után kérdez rá

A fizikai szerverszoba a hozzáférési szabályzat alá tartozik, nem a folyamatosság alá

A szerverszoba fizikai biztonságára vonatkozó kérdés a hozzáférés-felügyelethez tartozik: ki léphet be, hogyan kerül naplózásra, és hogyan van szabályozva a vállalati eszközök kezelése. Az ügyfelek ezt általában külön szokták kérdezni a biztonsági mentésekről és vészhelyzeti intézkedésekről szóló kérdésüktől, de a legtöbb dokumentumban mindkettő ugyanabban a szabályzatdokumentumban szerepel. Tipikus alkérdések: jelvény- vagy kulcskezelés, kamerarendszer, klimatizálás, tűzoltás, és hogy a helyiség saját kezelésben van-e vagy egy adatközpont-szolgáltató tulajdonában.

Ha a szerverszoba külső adatközpont-szolgáltató nálában található, a válasz gyakran nem "igen, mi intézkedünk erről", hanem "a szállítónk intézkedik erről, és mi ezt ellenőriztük" — ez érint azok az követelmények, amelyeket a vállalat a saját beszállítóira támaszt". Ha a ketendosszié nem tartalmaz alapul szolgáló bizonyítékot — ISO 27001-tanúsítványt a szállítótól, SOC 2-jelentést vagy saját vizsgálati jelentést — akkor az "nem" vagy "részlegesen" az őszinte válasz, még akkor is, ha a fizikai biztonság ténylegesen rendben van. Forrás nélkül itt nem javasoltunk "igen" válaszlehetőséget. Ha nincs külön fizikai biztonsági szabályzat, de a téma az általános hozzáférési szabályzatban szerepel, akkor ez gyakran elegendő alap ahhoz, hogy a válasz mellett magyarázatot adhassunk, ahelyett hogy sima "nem" válaszunk lenne.

Az Artikel 21 (2) NIS2-hez és az ISO 27001 A.7. mellékletéhez köthető

A fizikai és környezeti biztonság az NIS2-irányelv 21. cikkének (2) bekezdésében szereplő tíz intézkedés egyike, és megjelenik az ISO/IEC 27001 A. mellékletének saját fejezeteként (A.7, "Physical and environmental security controls"). Az olyan vállalkozások, amelyek már kimutathatóan ISO 27001-tanúsítottak , gyakran közvetlenül a tanúsítvánnyal szolgálhatnak bizonyítékként, ahelyett hogy a fizikai intézkedéseket külön dokumentálnák. Az olyan vállalkozások számára, amelyek a 2026. augusztus 15-én hatályba lépő Kiberbiztonságról szóló törvény hatálya alá esnek, itt hosszú idő múlva saját kötelezettség várhat; addig is ez a legtöbb közvetítő számára csupán az ügyfél kérdése, nem saját törvényi kötelezettség.