jautājumā tiek vaicāts par serveru telpas vai datu centra fizisko drošību

Fiziskā aizsardzība ietilpst piekļuves politikā, nevis atsevišķā tēmā

Jautājums par servertelpu vai datu centra fizisko aizsardzību parasti ir platāka punkta izstrāde: piekļuves politikā, ieskaitant darba līdzekļu pārvaldībuJo tas, kas fizikski var piekļūt aprīkojumam, var arī iegūt loģisku piekļuvi — tāpēc tas parasti atrodas tajā pašā paragrāfā ar piekļuves vadību, nevis kā atsevišķs temats. Sniedziet atbildi, pamatojoties uz to, kas patiešu ir: žetona vai atslēgu sistēma, kameru uzraudzība, kuriem ir atslēga vai pase, un vai tas tiek reģistrēts. Ja servertelpa atrodas pie ārējā datu centra piegādātāja, atbilde bieži vien ir atsauce uz viņu pasākumiem, nevis uz kaut ko, ko uzņēmums pats pārvalda.

Ja hostings ir izņemts ārpus, tad jautājums ir tuvu piegādes ķēdes vadībai: prasības, ko uzņēmums izvirza saviem piegādātājiem ir tad saistības punkts, ar datu centra sertifikātu vai piegādātāja SOC 2 atskaiti kā pierādījumu, nevis pašu cerējuma aprakstu par slēdžiem un kamerām. Ja uzņēmumam nav sava servertelpu un viss ir mākonī, tad "nav piemērojams, pakalpojumi darbojas pie [piegādātājs], skatiet viņu sertifikāciju" ir pilnīga atbilde — ja vien tas patiešu tā ir. Ja formāls pierādījums trūkst, bet ir faktiskais pasākums (piemēram: servertelpa noslēgtā skapī ņemot pēc piekļuves kontroles), tad tas ir derīga atbilde — tikai bez sertifikāta klāt.

No kurienes tas nāk: Annex A un 21. panta 2. punkts

ISO/IEC 27001 A pielikums nosaka fizisko un vides aizsardzību kā atsevišķu vadības pasākumu, atšķirībā no loģiskās piekļuves kontroles — tāpēc revizoris par to atsevišķi jautā, lai arī tas Supplia ietvaros ietilpst tajā pašā piegādes ķēdes dosijē. NIS2 direktīvas 21. panta 2. punkts fizisko aizsardzību neuzskaita kā atsevišķu punktu starp desmit pasākumiem, bet piekļuves kontroles politika un uzņēmuma aktīvu aizsardzība tur ir ietilpsta — fiziskā piekļuve servertelpu ir to praktiska īstenošana. Saskaņā ar Kiberdraudzības likumu, Nīderlandes transponēšanu, kas stājas spēkā 2026. gada 15. augustā, tas fundamentāli nemainās: desmit pasākumi atgriežas, fiziskā aizsardzība paliek piekļuves vadības sastāvdaļa, nevis patstāvīga prasība.