Kā es aizpildu jautājumu par datu centra fizisko drošību

Fiziskā drošība ietilpst desmit pasākumos

Serveru un datu centru fiziskā drošība ietilpst NIS2 21. panta 2. punktā, kurā uzskaitīti desmit pasākumu kategorijas, ko entītija jāveic. Direktīva pati par sevi «fizisko drošību» neuzskaita kā atsevišķu punktu, bet to iekļauj informācijas sistēmu un biznesa līdzekļu drošības kategoriski — tā pati kategorija, kurā arī piekļuves politiku un uzņēmuma līdzekļu pārvaldi ietilpst. Ja saraksts konkrēti prasa par pieņemšanas kontroli ēkā, kameras drošību vai serveristābes klimata un ugunsdrošību, faktiskā jūs atrodaties tajā pašā jautājumā kā loģiskā pieņemšanas drošība, tikai tās fiziskā varianta — tikai tā.

Ja jums ir savs serveru telpa, tad atbilde bieži ir konkrēti pamatojama: žetonu vai atslēgu sistēmas, apmeklētāju reģistrācija, kameras un klimata kontroles apkopes līgums ir bieži sastopami pierādījumi. Ja jūsu infrastruktūra darbojas mākoņa pakalpojumu sniedzēja vai kopnovietojuma partnera vadībā, tad jautājums pārvietojas: tad runa nav par jūsu fizisko drošību, bet par jūsu pakalpojumu sniedzēja drošību, un tas ietilpst drošības prasībās, ko jūs izvirzāt saviem piegādātājiem. Šajā gadījumā bieži pieņemtā atbilde ir atsauce uz piegādātāja sertifikātu vai apliecinājumu (bieži vien ISO 27001 deklarācija vai SOC 2 pārskats), nevis savs ēkas, ko jūs niekontrolējat, apraksts. Ja jums nav šī pierādījuma nolabā, tad «nē, vēl nav pieejams» ar skaidrojumu, ka tas tiek pieprasīts piegādātājam, faktiskā ir pareizi — labāk nekā pieņēmums.

Kur tas atrodas ISO 27001 A pielikumā

ISO/IEC 27001 fizisku drošību apstrādā konkrētāk nekā NIS2: A pielikums satur atsevišķu kontroles pasākumu kategoriju fiziskajai videi ar tādiem jautājumiem kā piekļuves zonas, fiziskas briesmas un aprīkojuma drošība. Uzņēmumi, kuri jau ISO 27001 sertificēts ir pēc šīs shēmas, bieži var uz šo jautājumu tiešā atsauci uz atbilstības paziņojumu (Statement of Applicability), kurā šie pasākumi jau ir detalizēti izstrādāti. Nīderlandē esošajām entītijām, kas paši nonāks Kiberdrošības likuma darbības jomā, šī kategorija ir viena no desmit, uz kurām ir iespējama uzraudzība, tiklīdz šis likums — NIS2 transponēšana — stājas spēkā 2026. gada 15. augustā.