client întreabă despre securitatea fizică a sălii noastre de servere

Sala de servere fizică se încadrează în politica de acces, nu în continuitate

Întrebarea privind securitatea fizică a sălii de servere aparține managementului accesului: cine are voie să intre, cum este consemnat aceasta, și cum este reglementat managementul activelor corporative. Clienții pun de obicei această întrebare separat de întrebarea lor privind copiile de rezervă și dispozitivele de urgență, dar în majoritatea dosarelor ambele se află sub același document de politică. Subîntrebări tipice: managementul insignelor sau al cheilor, supravegherea prin camere, controlul climatic, stingerea incendiilor, și dacă sala se află în propria gestionare sau la un furnizor de centru de date.

Dacă sala de servere se află la un furnizor extern de centru de date, răspunsul nu este adesea "da, noi reglementăm aceasta" ci "furnizorul nostru reglementează aceasta, și noi am verificat aceasta" — aceasta afectează cerinţele pe care întreprinderea le pune propriilor furnizori. Dacă dosarul lanțului nu are un document justificativ subiacent pentru aceasta — un certificat ISO 27001 al furnizorului, un raport SOC 2, sau un raport de inspecție propriu — atunci "nu" sau "parțial" este răspunsul onest, chiar dacă securitatea fizică este de fapt în regulă. Fără o sursă, aici nu se propune un "da". Dacă nu există o politică separată de securitate fizică, dar subiectul este menționat în politica generală de acces, atunci aceasta este adesea o bază suficientă pentru o explicație la răspuns în loc de un simplu "nu".

Referitor la articolul 21 alineat 2 NIS2 și Anexa A.7 a ISO 27001

Securitatea fizică și de mediu este una dintre cele zece măsuri din articolul 21 alineat 2 al Directivei NIS2, și apare ca capitol separat (A.7, "Physical and environmental security controls") în Anexa A a ISO/IEC 27001. Companiile care sunt deja demonstrabil certificate ISO 27001 pot depune adesea acel certificat direct ca document justificativ în loc să documenteze separat măsurile fizice. Pentru companiile care vor cădea sub Legea privind securitatea cibernetică imediat ce aceasta intră în vigoare pe 15 august 2026, aici există pe termen scurt o obligație proprie; până la această dată, pentru majoritatea furnizorilor aceasta este încă pur și simplu o întrebare a clientului lor, nu o obligație legală proprie.