Serverovny ICT (Information and Communication Technology) patří mezi nejkritičtější fyzické bezpečnostní perimetry každé společnosti. Jsou v nich umístěna technická aktiva zajišťující provoz informačních systémů, komunikační infrastruktury, datových úložišť, zálohovacích systémů a dalších technologií nezbytných pro poskytování služeb. Narušení fyzického bezpečnostního perimetru serverovny ICT proto může mít přímý dopad na důvěrnost, integritu a dostupnost informačních aktiv a současně na ochranu osobních údajů.
Cílem fyzického zabezpečení serverovny ICT není pouze zabránit neoprávněnému vstupu. Komplexní fyzická ochrana musí současně řešit rizika poškození, odcizení nebo zničení technických aktiv, neoprávněného přístupu a zásahů do ICT infrastruktury, rizika ohrožení kritické infrastruktury, výpadku elektrické energie, požáru, selhání chlazení, havárie vody, vlhkosti a dalších environmentálních hrozeb. Součástí musí být také opatření podporující kontinuitu provozu a schopnost organizace identifikovat bezpečnostní incidenty a reagovat na ně.
Legislativní a bezpečnostní rámec
Fyzickou bezpečnost serveroven ICT je nutné chápat jako významnou součást komplexního systému řízení bezpečnosti organizace. Tato oblast se prolíná zejména s požadavky kybernetické bezpečnosti, ochrany kritické infrastruktury, požární ochrany, stavební a technické bezpečnosti a ochrany osobních údajů, jakož i s principy systémů řízení bezpečnosti informací a kontinuity činností, například podle ISO/IEC 27001, ISO/IEC 27002, ISO 22301 a ČSN EN 50600.
Významnou oblast představuje také ochrana osobních údajů (GDPR). Význam GDPR spočívá v tom, že pokud společnost při provozu serverovny ICT nebo při zajišťování její fyzické bezpečnosti zpracovává osobní údaje, musí být toto zpracování zákonné, přiměřené danému účelu a odpovídajícím způsobem zabezpečené.
Je proto vhodné rozlišovat dvě vzájemně propojené oblasti:
ochranu technických aktiv a informačních systémů, které mohou obsahovat osobní údaje,
ochranu osobních údajů vznikajících při realizaci fyzické bezpečnosti serverovny ICT.
V informačních systémech mohou být zpracovávány personální a zaměstnanecké údaje, jako jsou identifikační a kontaktní údaje zaměstnanců, pracovní zařazení, údaje o pracovním poměru, docházce, odměňování, vzdělávání, kvalifikaci nebo využívání zaměstnaneckých systémů. V organizacích poskytujících zdravotní služby mohou být současně zpracovávány zdravotní údaje, tedy údaje o zdravotním stavu pacientů, diagnózách, léčbě, vyšetřeních, zdravotnické dokumentaci, laboratorních výsledcích, medikaci nebo dalších skutečnostech souvisejících s poskytováním zdravotní péče. Tyto údaje patří mezi zvláštní kategorie osobních údajů a jejich ochrana vyžaduje zvýšenou úroveň zabezpečení.
Neoprávněný fyzický přístup k serverům, diskovým jednotkám, síťovým prvkům, zálohovacím zařízením nebo jiným nosičům může umožnit neoprávněné získání, změnu, poškození či zničení osobních údajů a dalších významných informací důležitých pro provoz společnosti a může mít také dopad na poskytování služeb.
Současný stav a řešení nedostatků
Zejména u některých serveroven ICT, které se již delší dobu používají nebo se nacházejí v pronajatých objektech, se můžeme setkat s tím, že prostor serverovny ICT není podle stavebního zákona zkolaudován k tomuto účelu ani uveden v Požárně bezpečnostním řešení. To může v případě požáru významně snížit pojistné plnění. V některých serverovnách ICT nejsou instalovány protipožární dveře s odpovídající odolností ani další bezpečnostní prvky. Tyto nedostatky jsou většinou důsledkem dřívější praxe, kdy společnosti při rozvoji ICT zpravidla instalovaly serverovnu na místo, které nemohly využít jinak nebo jehož dispozice to alespoň umožňovala. Nejsou proto výjimkou serverovny ICT v bývalých skladech či sprchách, servery umístěné na chodbách nebo v kanceláři pracovníka ICT apod. Významné může být také, že pronajímatel objektu neumožnil provést stavební úpravy. Ve většině případů byla méně vhodná instalace serveru podmíněna prostou potřebou společnosti a také tím, „aby to fungovalo“ a hlavně aby to moc nestálo.
Současné nové regulace, zejména nový zákon o kybernetické bezpečnosti, stanovují povinnost určit fyzický bezpečnostní perimetr, zhodnotit aktiva uvnitř něj a stanovit optimální fyzické zabezpečení. Lze konstatovat, že provedená analýza a následné řízení rizik umožňují zahrnout některá rizika a související bezpečnostní opatření do plánu zvládání rizik. U kritických rizik souvisejících se zabezpečením perimetru serverovny ICT to však nelze doporučit.
Řízení fyzického přístupu
Základním bezpečnostním principem je omezení vstupu do serverovny pouze na osoby, které k němu mají oprávněný důvod. Přístup by měl být založen na individuálně přidělených oprávněních, která odpovídají pracovní roli a skutečné potřebě přístupu.
Elektronické přístupové systémy mohou zpracovávat identifikátor osoby nebo přístupové karty, datum a čas vstupu, případně informaci o konkrétním chráněném prostoru. Záznam tak představuje osobní údaj, protože umožňuje spojit konkrétní bezpečnostní událost s konkrétní fyzickou osobou.
Z pohledu GDPR je proto nutné stanovit zejména účel zpracování, rozsah zpracovávaných údajů, osoby oprávněné k přístupu k těmto údajům a dobu jejich uchování. Údaje by neměly být využívány k vytváření nadbytečných osobních profilů zaměstnanců, ale pouze v rozsahu odpovídajícím legitimnímu bezpečnostnímu účelu.
Stejný princip platí při změně pracovní pozice nebo ukončení pracovního vztahu. Přístupová oprávnění musí být neprodleně změněna nebo odebrána a příslušné identifikátory deaktivovány.
U externích pracovníků a servisních organizací je vhodné omezit přístup na rozsah potřebný k vykonávaným činnostem a zajistit jejich doprovod a dohled oprávněnou osobou. Důvodem není pouze ochrana technických zařízení, ale také skutečnost, že neoprávněná osoba může získat přístup k diskovým jednotkám, zálohovacím médiím, síťovým prvkům nebo administračním rozhraním apod.
Evidence vstupů a kamerové systémy
Evidence vstupů do serverovny představuje další významnou oblast propojení fyzické bezpečnosti a GDPR. Provozní kniha, elektronický systém ACS nebo jiné logy mohou obsahovat údaje umožňující určit, kdo do serverovny vstoupil, kdy vstoupil a případně jaký typ přístupu využil.
Taková evidence plní současně bezpečnostní a důkazní funkci. Umožňuje zpětně prověřit pohyb osob v chráněném prostoru, vyšetřit bezpečnostní incident a ověřit oprávněnost provedeného zásahu. Současně však sama představuje informační aktivum obsahující osobní údaje, které musí být chráněno před neoprávněným přístupem, změnou nebo odstraněním.
Specifickou oblast představují kamerové systémy CCTV. Kamera umístěná u vstupu nebo uvnitř serverovny může zaznamenávat osoby, jejich pohyb a činnost. Pokud lze osobu na základě záznamu identifikovat, jde o zpracování osobních údajů. Při návrhu a provozu CCTV je proto nutné posuzovat zejména účel kamerového systému, rozsah snímaného prostoru, přístup k záznamům, zabezpečení záznamů a dobu jejich uchování. Kamerový systém by měl být nastaven tak, aby odpovídal identifikovanému bezpečnostnímu riziku a nesnímal zbytečně prostory, které nejsou pro daný bezpečnostní účel relevantní (viz metodické pokyny a doporučení vydané ÚOOÚ).
Fyzická bezpečnost proto musí vytvářet vícevrstvou ochranu. Patří sem zejména kontrola vstupu, mechanické zabezpečení prostoru, ACS, CCTV, PZTS, EPS, monitoring teploty a vlhkosti, ochrana napájení, UPS, záložní chlazení, fyzická ostraha a opatření pro zvládání mimořádných událostí.
Propojení fyzické bezpečnosti, kybernetické bezpečnosti, kontinuity činností a dalších systémů
Fyzické zabezpečení serverovny ICT nelze oddělit od kybernetické bezpečnosti, ochrany kritické infrastruktury, řízení kontinuity činností a dalších systémů. Požár, výpadek napájení, selhání chlazení nebo neoprávněný fyzický zásah může vést k nedostupnosti informačního systému nebo narušení poskytování základní anebo regulované služby.
Součástí systému fyzické bezpečnosti by mělo být pravidelné testování a kontrola účinnosti bezpečnostních opatření. Zjištěné nedostatky je třeba řešit v rámci řízení rizik a stanovit odpovídající nápravná opatření.
Závěr
Fyzické zabezpečení serveroven ICT je komplexní bezpečnostní disciplína, která propojuje zabezpečení perimetru a ochranu umístěných technických aktiv, informační a kybernetickou bezpečnost, kontinuitu provozu, požární bezpečnost a ochranu osobních údajů. Je založena na kombinaci režimových a technických bezpečnostních opatření. Ochrana musí zahrnovat jak prevenci neoprávněného fyzického přístupu, tak schopnost organizace identifikovat incident, omezit jeho dopady a následně obnovit provoz.
Vztah GDPR k fyzickému zabezpečení vzniká ve dvou základních rovinách. První představuje ochrana osobních údajů uložených a zpracovávaných prostřednictvím ICT infrastruktury v perimetru serverovny ICT. Druhou rovinou je zpracování osobních údajů přímo při provozu fyzických bezpečnostních opatření ochrany perimetru, zejména prostřednictvím ACS, evidence vstupů, provozních knih a CCTV.
Závěrem lze konstatovat, že serverovny ICT představují jeden z klíčových prvků fyzické bezpečnosti organizace. Jejich ochrana je zásadní pro zajištění spolehlivého provozu, dostupnosti a kontinuity kritických informačních systémů a poskytovaných služeb.
