kaip atsakau į klausimą apie fizinę mūsų duomenų centro apsaugą

Fizikinė apsauga patenka į dešimt priemonių

Fizinė serverių ir duomenų centrų apsauga patenka į NIS2 direktyvos 21 straipsnio 2 dalį, kurioje išvardijamos dešimt priemonių kategorijų, kurias turi taikyti subjektas. Pati direktyva "fizinės apsaugos" nevadinėja atskiru punktu, o prisklauso šiam informatinių sistemų ir verslo išteklių saugos darbus —ta pačia kategorija, kurioje taip pat Zugriffskontrollrichtlinie und Verwaltung von Unternehmensressourcen yra. Jeigu klausimynas konkrečiai klausia apie prieigą į patalpas, kamerų apsaugą arba serverio kambario klimato ir priešgaisrinę apsaugą, iš tikrųjų tai tas pats klausimas kaip ir loginė prieigos apsauga, tik jos fizinis variantas.

Jeigu tu turi savo serverio patalpą, atsakymas dažnai gali būti pagrįstas konkrečiais duomenimis: ženklelių arba raktų sistemos, lankytojų registracija, kameros ir klimato valdymo paslaugos sutartis yra įprasti įrodymai. Jeigu jūsų infrastruktūra veikia pas debesies paslaugų teikėją arba kolokacijos partnerį, tada klausimas pasikeičia: tada tai ne jūsų fizikinė apsauga, o jūsų tiekėjo apsauga, ir tai yra šio reikalavimų, kuriuos keliama savo tiekėjams, dalis. Tokiu atveju įprasta atsakymo forma yra nuoroda į tiekėjo sertifikatą ar atestaciją (dažnai ISO 27001 pareiškimas arba SOC 2 ataskaita), o ne savarankiškas pastato, kurio tu nevaldai, aprašymas. Jei tu neturi šio įrodymo, tada „ne, dar nėra pasiekiama

/>pateikiant paaiškinimą, kad jis reikalingas iš tiekėjo, faktiškai yra teisingas — geriau nei prielaida.

Kur tai nurodyta ISO 27001 A priede ISO 27001 sertifikuota ISO/IEC 27001 detalizuoja fizinį saugumą konkrečiau nei NIS2: A priedas apima atskirą kontrolės priemonių kategoriją fizinei aplinkai, su temomis, tokiomis kaip prieigos zonos, apsauga nuo fizinių grėsmių ir įrangos sauga. Įmonės, kurios jau vadovaujasi šia schema, šiam klausimui dažnai gali tiesiogiai nuorodyti taikymo pareiškimą (Statement of Applicability), kuriame šios priemonės jau yra išsamiai aprašytos. Holandijos subjektams, kurie patys patenka po Kibernetinio saugumo įstatymu, ši kategorija yra viena iš dešimties, kuriose priežiūra galima pradėti iš karto, kai tas įstatymas — NIS2 įgyvendinimas — prasidės 2026 m. rugpjūtį 15 d.