7.5 Ochrona przed zagrożeniami fizycznymi i środowiskowymi
W skrócie: organizacja ocenia, co z otoczenia może zniszczyć jej obiekty i sprzęt — od pożaru po powódź — i stosuje środki proporcjonalne do ryzyka.
Cel: zapobieganie lub ograniczenie skutków zdarzeń wynikających z zagrożeń fizycznych i środowiskowych.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #Physical_security (bezpieczeństwo fizyczne) |
| Domeny bezpieczeństwa | #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Ocenę ryzyka zagrożeń fizycznych i środowiskowych wykonuje się przed rozpoczęciem krytycznych działań w danej lokalizacji i regularnie później. Warto zasięgnąć opinii specjalistów.
- Przy wyborze lokalizacji i projekcie uwzględnia się topografię (wysokość, cieki wodne, uskoki tektoniczne) oraz zagrożenia miejskie (niepokoje społeczne, przestępczość, terroryzm).
- Pożar: systemy wczesnego wykrywania, alarmowania i gaszenia dobrane do środowiska, tak by chroniły nośniki i systemy.
- Zalanie: czujniki wody pod podłogami technicznymi, pompy i inne środki reakcji.
- Przepięcia: ochrona serwerów i urządzeń klienckich przed przepięciami i podobnymi zdarzeniami.
- Materiały wybuchowe i broń: losowe kontrole osób, pojazdów i przesyłek wjeżdżających do wrażliwych obiektów.
- Pomocniczo: sejfy ognioodporne na nośniki, a także projektowanie otoczenia (np. elementy krajobrazu pełniące funkcję barier).
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Mapy zagrożenia powodziowego (ISOK) przy wyborze lokalizacji serwerowni i zapasowego centrum danych.
- Gaszenie gazem obojętnym lub mgłą wodną w serwerowni zamiast tryskaczy wodnych.
- Odległość ośrodka zapasowego od głównego dobrana tak, by jedno zdarzenie (powódź, awaria sieci energetycznej) nie objęło obu.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.7.5 — wykaz zabezpieczeń fizycznych.
- Pokrewne zabezpieczenia: 7.8 Rozmieszczenie i ochrona sprzętu, 7.11 Media i instalacje wspierające, 5.29 Bezpieczeństwo informacji podczas zakłóceń, 5.30 Gotowość ICT do zapewnienia ciągłości działania.
- ISO/IEC 27002:2013: 11.1.4.