A.7.5Protecting against physical and environmental threats
Protect facilities against physical and environmental threats such as fire, flood and power problems, so a single event cannot easily take you offline.
El mapeo de un vistazo
A.7.5Protecting against physical and environmental threatsISO/IEC 27001:2022
Lo que pide un auditor, o el motor de evidencias de Sekit.
Resiliencia de instalaciones y control de soportes físicos
Las protecciones frente a fallos de energía o climatización que afecten a sistemas críticos, y el control del cableado y las zonas de seguridad de la instalación.
Del catálogo de evidencias de Sekit
En la práctica
Para una oficina pequeña, este control trata menos de comprar equipos y más de nombrar los riesgos físicos que conviene prever: un incendio en la sala de servidores, riesgo de inundación por la rotura de una tubería en el piso de arriba, o un robo que daña el hardware, no solo un corte de luz. Los auditores esperan una revisión breve de riesgos ambientales que cubra el edificio, supresión de incendios o detección de humo adecuada, y evidencia de que la revisión se retoma cuando la oficina se muda o cambia un riesgo, no un documento olvidado. La resiliencia de energía y refrigeración entra aquí, pero ceñirse al UPS deja fuera las amenazas más amplias que nombra este control.
Brechas habituales
Se compró un UPS para el rack de servidores, pero nunca se ha probado bajo carga, así que se desconoce su autonomía durante un corte real.
No existe un reconocimiento por escrito de qué equipo depende de energía y refrigeración, así que un nuevo empleado no puede saber qué proteger durante un corte.
No existe una revisión de riesgo de incendio o inundación para la oficina más allá del contrato general de arrendamiento, así que una tubería rota o un pequeño incendio no tiene plan de respuesta documentado.
Preguntas que hará tu auditor
¿Qué amenazas físicas y ambientales, además de los cortes de energía, ha evaluado la empresa?
Una revisión breve de riesgo ambiental cubre incendios, inundaciones y peligros propios del edificio para la oficina, no solo las dependencias de energía y refrigeración, y se retoma cuando cambian la oficina o sus riesgos.
¿Cómo saben que el UPS o el generador funcionará durante un corte real?
El UPS, los generadores y la refrigeración se prueban y mantienen con calendario fijo, todo ello recogido en la evidencia de resiliencia de instalaciones y control de soportes.
¿Qué ocurre si un sensor ambiental detecta un problema de refrigeración o energía?
Los sensores y alertas ambientales están dimensionados para llegar a alguien que pueda actuar, no solo para registrar un evento que nadie revisa.
Dónde lo exige la regulación
El art. 13.1 de NIS2 exige proteger los suministros de apoyo, como energía y refrigeración, de los sistemas de red e información.
ENS mp.if.4 exige energía eléctrica, protección del suministro eléctrico del que depende el equipo crítico.
Controles relacionados
Vía el tema compartido del Sekit CSF, no el índice del propio marco.