klient turi klausimų apie mūsų serveriams skirtų patalpų fizinį saugumą

Fizinis serveriams skirtas kambarys patenka į prieigos politiką, o ne į tęstinumą

Klausimas apie serveriams skirtų patalpų fizinį saugumą priklauso prieigos kontrolei: kas gali patekti į vidų, kaip tai yra registruojama ir kaip yra tvarkomos įmonės nuosavybės. Klientai paprastai užduoda šį klausimą atskirai nuo klausimo apie atsarginius kopijavimus ir avarinių nuostatų, tačiau daugelyje failų abu yra viename politikos dokumente. Tipiški papildomieji klausimai: ženklelių arba raktų valdymas, kameros priežiūra, klimato kontrolė, gaisrų gesinimas ir ar kambarys yra valdomoje įmonės ar duomenų centro tiekėjo žinyboje.

Jei serverių patalpa yra išorinėje duomenų centro tiekėjo vietoje, atsakymas dažnai yra ne "taip, mes tai organizuojame", o "mūsų tiekėjas tai organizuoja, ir mes tai patikrinome" — tai liečia reikalavimus, kuriuos įmonė keliama savo patiems tiekėjams. Jei grandinės byloje nėra jokio pagrindinės sistemos dokumento — tiekėjo ISO 27001 sertifikato, SOC 2 ataskaitos ar savivaldos inspektavimo ataskaitos — tada "ne" arba "iš dalies" yra sąžiningu atsakymu, net jei fizinis saugumas iš tikrųjų yra tinkamas. Be šaltinio "taip" čia nesiūloma. Jei nėra atskiro fizinio saugumo politikos, bet šis klausimas yra paminėtas bendrojoje prieigos politikoje, tai dažnai yra pakankama pagrindas atsakymui išaiškinant, o ne tyčiui "ne".

Grįžtama prie 21 straipsnio 2 dalies NIS2 ir ISO 27001 Priedo A.7

Fizinis ir aplinkos saugumas yra vienas iš dešimties 21 straipsnio 2 dalyje nurodytos NIS2 direktyvos priemonių ir pasirodo kaip atskiras skyrius (A.7, „Physical and environmental security controls„) ISO/IEC 27001 Priede A. Įmonės, kurios jau įrodamai ISO 27001 sertifikuotos jie, dažnai gali tą sertifikatą iš karto pateikti kaip įrodymą, o ne dokumentuoti fizines priemones atskirai. Bendrovėms, kurios pateks į Kibernetinio saugumo įstatymo taikymo sritį, kai jis įsigalios 2026 m. rugpjūčio 15 d., čia atsiranda savarankiška įpareigojimu; iki tos datos daugumai tiekėjų tai yra tik jų kliento klausimas, o ne savarankiška teisinė pareiga.