Кратко: Стандарты безопасности ЦОД: HIPAA, PCI DSS, ISO 27001 и SOC 2

Суть материала

Межсетевой экран не покажет, кто прошёл по пропуску в серверную в два часа ночи. Именно этот стык физической и кибербезопасности призваны закрывать рассматриваемые режимы. Поэтому соответствие уже нельзя обеспечить одними ИТ-контролями: сильные кибермеры не заменяют контроль физического доступа. Там, где физические меры входят в область действия, организация должна доказать, что доступ авторизован, контролируется и поддаётся аудиту.

HIPAA регулирует обращение с защищённой медицинской информацией: записями, страховыми данными и всем, что идентифицирует пациента вместе с его сведениями о здоровье. Провайдер дата-центра или хостинга, который создаёт, получает, хранит или передаёт электронную такую информацию от имени покрываемой организации или бизнес-ассоциированного лица, сам может считаться бизнес-ассоциированным лицом и подпадать под применимые требования Security Rule. Даже при сильном шифровании возможны проблемы с HIPAA, если нельзя доказать надлежащее ограничение, проверку и документирование физического доступа к системам с такой информацией.

Физическую безопасность режимы трактуют по-разному. HIPAA требует разумных и подходящих физических мер защиты; PCI DSS задаёт явные контроли физического доступа к средам с данными карт; ISO/IEC 27001 предписывает выбирать и управлять физическими контролями исходя из оценённого риска; SOC 2 оценивает физические контроли, когда они значимы и входят в определённую область системы. На практике соответствие даёт многослойный подход: системы доступа, привязывающие пропуск к конкретному человеку и двери, видеонаблюдение, пригодное для доказательств, а не только для наблюдения, учёт посетителей с журналом вместо подписного листа и мониторинг среды, защищающий оборудование.