lista pytań pyta o fizyczne zabezpieczenie serwerowni lub centrum danych

Bezpieczeństwo fizyczne wchodzi w skład polityki dostępu, a nie stanowi osobny temat

Pytanie dotyczące bezpieczeństwa fizycznego serwerowni lub centrum danych jest zwykle rozwinięciem szerszego zagadnienia: polityce dostępu, w tym zarządzaniu zasobami przedsiębiorstwaKto bowiem może fizycznie dostać się do urządzeń, może również uzyskać dostęp logiczny — dlatego kwestia ta zwykle znajduje się w tym samym rozdziale co zarządzanie dostępem, a nie jako osobny temat. Odpowiadaj na podstawie rzeczywistych rozwiązań: system karty dostępu lub kluczy, monitoring kamerowy, kto posiada klucz lub kartę i czy jest to rejestrowane. Jeśli serwerownia znajduje się u zewnętrznego dostawcy centrum danych, odpowiedź często polega na odwołaniu się do ich środków, a nie do czegoś, czym przedsiębiorstwo samo zarządza.

Jeśli hosting jest outsourcowany, pytanie pozostaje w bliskim związku z zarządzaniem łańcuchem dostaw: wymogi, które przedsiębiorstwo stawia własnym dostawcom jest wtedy punktem zaczepienia, z certyfikatem centrum danych lub raportem SOC 2 dostawcy jako dowodem, a nie własnym opisem zamków i kamer. Jeśli przedsiębiorstwo nie ma własnej serwerowni i wszystko działa w chmurze, wtedy "nie dotyczy, usługi działają u [dostawcy], zapoznaj się z ich certyfikacją" jest pełną odpowiedzią — o ile rzeczywiście tak jest. Jeśli brakuje formalnego dowodu, ale istnieje rzeczywisty środek (na przykład: serwerownia w zamkniętej szafie w budynku z kontrolą dostępu), to również jest prawidłową odpowiedzią — tylko bez certyfikatu.

Skąd to pochodzi: Załącznik A i artykuł 21 ust. 2

ISO/IEC 27001 Annex A wymienia bezpieczeństwo fizyczne i ochronę środowiska jako niezależny środek kontroli, oddzielnie od logicznej kontroli dostępu — dlatego audytor pyta o to osobno, chociaż w Supplia znajduje się w tym samym dossier łańcucha. Artykuł 21 ust. 2 dyrektywy NIS2 nie wymienia bezpieczeństwa fizycznego jako odrębnego punktu wśród dziesięciu środków, ale polityka kontroli dostępu i bezpieczeństwo zasobów przedsiębiorstwa są tam zawarte — fizyczny dostęp do serwerowni jest praktycznym zastosowaniem tego. W ramach Ustawy o cyberbezpieczeństwie, holenderskiego wdrożenia wchodzącego w życie 15 sierpnia 2026 r., nie zmienia się to fundamentalnie: dziesięć środków powraca, bezpieczeństwo fizyczne pozostaje elementem zarządzania dostępem zamiast samodzielnego wymogu.