Pięć typowych luk bezpieczeństwa fizycznego w obiektach IK
Kontrola dostępu, rejestr kluczy, zasada eskorty gościa — krótki przegląd miejsc, w których bezpieczeństwo fizyczne najczęściej zawodzi w praktyce.
1. Rejestr kluczy i kart dostępu bez właściciela
Depozytor kluczy prowadzony na kartce albo w arkuszu bez wymuszonej odpowiedzialności imiennej to jedna z najczęściej powtarzających się luk. ISO/IEC 27002:2022 w punkcie 7, poświęconym zabezpieczeniom fizycznym, opisuje kontrolę wejścia jako proces, nie jednorazowe wydanie karty — obejmuje też cykliczny przegląd, kto faktycznie potrzebuje dostępu do danej strefy.
2. Brak zasady eskorty dla gości i serwisantów
Wpuszczenie zewnętrznego serwisanta do strefy technicznej bez towarzyszącej osoby z organizacji to klasyczna luka pojawiająca się w scenariuszach naszego symulatora. Zasada eskorty gościa nie jest formalnością — to jedyny mechanizm, który realnie ogranicza to, co osoba z zewnątrz może zobaczyć lub zrobić, zanim ktokolwiek to zauważy.
3. Strefy bez segregacji poziomów dostępu
Ustawa o ochronie osób i mienia (art. 5, 7–9) wymaga od obszarów podlegających obowiązkowej ochronie planu ochrony dopasowanego do faktycznego ryzyka, nie jednego uniwersalnego poziomu zabezpieczeń dla całego obiektu. W praktyce oznacza to segregację stref — inny poziom kontroli dla recepcji, inny dla serwerowni czy sterowni.
4. Kamery bez utrzymania i przeglądu
Monitoring wizyjny bez okresowej weryfikacji, czy kamery faktycznie rejestrują (a nie tylko wyświetlają obraz na żywo) i czy nagrania są przechowywane zgodnie z polityką retencji, to zabezpieczenie istniejące „na papierze”, ale niekoniecznie w praktyce.
5. Brak testowania planu ochrony
Plan ochrony, który nigdy nie został przetestowany ćwiczeniem czy próbnym scenariuszem, często okazuje się nieaktualny dokładnie w momencie, gdy jest potrzebny — zmieniają się wewnętrzne służby ochrony, rozkład pomieszczeń, dostawcy. Regularny przegląd i test to jedyny sposób, żeby dokument nie stał się fikcją.
Jak to ćwiczyć
W symulatorze każda z tych luk pojawia się jako osobna pozycja checklisty z odniesieniem do konkretnego przepisu lub normy oraz wyjaśnieniem, dlaczego dany stan jest niezgodny — to szybki sposób, żeby nauczyć się je rozpoznawać, zanim zrobisz to na prawdziwym obiekcie.