Bezpieczeństwo fizyczne w ISO/IEC 27001: zakres i dowody

Informację można utracić także bez ataku przez sieć: przez kradzież laptopa, dostęp osoby postronnej do wydruków albo awarię zasilania pomieszczenia z serwerami. Dlatego w systemie zarządzania bezpieczeństwem informacji według ISO/IEC 27001:2022 trzeba ocenić ryzyka fizyczne razem z cyfrowymi. Dobór zabezpieczeń powinien wynikać z zakresu SZBI i oceny ryzyka. Sama kamera, zamek czy lista gości nie dowodzą jeszcze, że kontrola działa.

Od czego zacząć ocenę?

Wskaż miejsca i przedmioty, przez które można uzyskać dostęp do informacji: stanowiska pracy, szafy dokumentów, serwerownię, pomieszczenia dostawców, laptopy poza biurem i nośniki przeznaczone do utylizacji. Następnie ustal, kto jest właścicielem każdego zasobu, kto może wejść do danej strefy oraz co stanie się w razie utraty dostępu, sprzętu lub zasilania. Taki opis pozwala dobrać kontrolę do rzeczywistego ryzyka.

To przykładowe kontrole, nie lista urządzeń, które norma nakazuje kupić każdej organizacji. System monitoringu wizyjnego może być przydatny w określonym miejscu, ale jego cel, zakres i sposób używania wymagają osobnej oceny, również pod kątem ochrony danych osobowych. W innych lokalizacjach wystarczające mogą być prostsze środki organizacyjne i techniczne.

Jak sprawdzić, czy zabezpieczenie działa?

Wybierz kilka zdarzeń z ostatnich miesięcy. Czy po zmianie stanowiska cofnięto zbędny dostęp do pomieszczenia? Czy sprzęt oddany do naprawy był właściwie zabezpieczony? Czy po alarmie z czujnika wiadomo, kto podjął działanie? Audyt powinien łączyć opis zasad z obserwacją miejsca, rozmową z odpowiedzialnymi osobami i wybranymi zapisami. Brak incydentu nie jest samodzielnym dowodem skuteczności.

Wynik warto zapisać w sposób umożliwiający decyzję: co znaleziono, jakie informacje lub usługi są zagrożone, jakie działanie jest potrzebne, kto za nie odpowiada i kiedy zostanie sprawdzone. Jeżeli z analizy ryzyka wynika, że danej kontroli nie stosuje się w określonym miejscu, uzasadnienie powinno być widoczne w dokumentacji SZBI, a nie dopisane dopiero przy audycie.

Ochrona serwerowni to tylko jeden fragment tematu; jej praktyczny zakres opisujemy osobno w artykule o fizycznej ochronie serwerowni i archiwum. Jeśli organizacja buduje cały system, zobacz wdrożenie ISO/IEC 27001. Gdy potrzebna jest ocena istniejących zasad i dowodów, sprawdź audyt SZBI lub skontaktuj się z Idealdata w sprawie zakresu prac.