Keamanan fisik lintas kerangka kerja: topik yang dilupakan
Sebagian besar tim keamanan kini menjalankan semuanya di cloud dan jarang memikirkan kunci dan kamera. Sebagian besar kerangka kerja tetap mensyaratkannya, dan auditor tetap menanyakannya.
Pos ini membahas 11 kerangka kerja yang dipetakan ControlMapping saat ditulis. Sejak itu, DORA, CPS 234, Cyber Essentials telah ditambahkan pada 2026-10-27; halaman masing-masing dan matriks cakupan sudah menyertakannya.
Keamanan fisik telah menjadi topik yang terlupakan dalam program keamanan modern. Beban kerja berjalan di pusat data milik pihak lain, staf bekerja dari rumah, dan kantor sebagian besar hanya berisi meja dan kopi. Namun sebagian besar kerangka kerja tetap mensyaratkan kontrol fisik, dan ketika kami mengaudit pemetaan kami sendiri, ternyata pemetaannya kurang lengkap, sehingga kami memberinya topik tersendiri.
Siapa mensyaratkan apa
| Kerangka kerja | Keamanan Fisik | Tautan |
|---|---|---|
| NIST CSF 2.0 | PR.AA-06DE.CM-02PR.IR-02 | Definisi topik |
| ISO 27001 | A.7.1A.7.2A.7.3A.7.4A.7.5A.7.8A.7.11A.7.6A.7.12 | Crosswalk |
| CIS v8.1 | — | Tidak ada pemetaan dalam data kami |
| SOC 2 | CC6.4 | Editorial |
| PCI DSS | 9.2.19.2.39.3.19.2.1.19.3.1.19.3.2 | Crosswalk |
| CMMC | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3PE.L2-3.10.4PE.L2-3.10.5PE.L2-3.10.6 | Crosswalk |
| 800-53 | PE-2PE-3PE-6PE-8PE-13PE-14 | Crosswalk |
| HIPAA | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)§164.310(b)§164.310(c) | Crosswalk |
| GDPR | — | Tidak ada pemetaan dalam data kami |
| NIS2 | 13.113.213.3 | Crosswalk |
| Essential Eight | — | Tidak ada pemetaan dalam data kami |
Detail lengkap dan alasan untuk setiap tautan: Keamanan Fisik di seluruh kerangka kerja →
Kerangka kerja yang paling memperhatikannya
PCI DSS adalah yang paling rinci: kontrol masuk untuk fasilitas dengan sistem data pemegang kartu, pemantauan area sensitif dengan kamera atau sistem kontrol akses, otorisasi dan log pengunjung, colokan dan perangkat jaringan yang dibatasi, penyimpanan dan pemusnahan media yang aman, serta pemeriksaan perangkat pembaca kartu terhadap manipulasi (Persyaratan 9). CMMC Level 2 memiliki satu keluarga lengkap: membatasi dan memantau akses fisik, mendampingi pengunjung, menyimpan log akses, mengelola perangkat akses, dan melindungi CUI di lokasi kerja alternatif (PE.L2-3.10.1 hingga 3.10.6). ISO 27001 memiliki empat belas kontrol fisik dalam tema A.7, mulai dari perimeter dan kontrol masuk hingga clear desk, pemeliharaan peralatan, dan pembuangan yang aman. HIPAA memiliki serangkaian lengkap safeguard fisik di §164.310.
Yang tidak
CIS Controls menghapus keamanan fisik pada versi 8. GDPR dan Essential Eight tidak membahasnya. SOC 2 mencakupnya dalam satu kriteria (CC6.4), dan auditor untuk perusahaan yang hanya menggunakan cloud sering menerima laporan penyedia cloud itu sendiri sebagai bukti untuk hal ini.
Apa yang ditanyakan auditor kepada perusahaan cloud-first
Bersiaplah menghadapi daftar pertanyaan singkat meskipun Anda tidak memiliki server sendiri:
- Penyedia cloud dan colocation mana yang menjadi host sistem Anda, dan di mana laporan jaminannya?
- Bagaimana Anda mengontrol akses ke kantor, dan siapa yang memegang kunci atau badge?
- Apakah pengunjung dicatat dan didampingi di area yang informasi sensitifnya terlihat?
- Bagaimana laptop dilindungi jika hilang atau dicuri (enkripsi, remote wipe, proses pelaporan)?
- Bagaimana drive, laptop, dan dokumen kertas dimusnahkan?
Jawaban yang jelas disertai sedikit bukti (ekspor sistem badge, log pengunjung, laporan MDM, sertifikat pemusnahan) biasanya dapat menutup topik ini dengan cepat.
Poin utama
- Sebagian besar kerangka kerja tetap mensyaratkan kontrol fisik.
- Perusahaan cloud-first mewarisi jaminan pusat data serta kantor, laptop, dan media yang aman.
- Pembayaran kartu secara langsung membawa persyaratan fisik PCI kembali dalam cakupan.
- PCI DSS adalah yang paling rinci, hingga log pengunjung dan pemeriksaan pembaca kartu terhadap manipulasi.
Memenuhinya tanpa pusat data
Bagi perusahaan tanpa server sendiri, keamanan fisik bermuara pada empat hal:
- Warisi pusat data. Laporan SOC 2 atau sertifikat ISO penyedia cloud Anda mencakup fasilitasnya. Baca cakupannya, dan catat dalam dokumentasi Anda sendiri bahwa Anda mengandalkannya.
- Amankan kantor secara proporsional. Akses badge, pencatatan pengunjung, penyimpanan terkunci untuk apa pun yang sensitif, dan kebijakan clear desk (ISO A.7.7).
- Perlakukan laptop sebagai perimeter. Enkripsi disk penuh, kunci layar, remote wipe, dan proses untuk perangkat yang hilang mencakup sebagian besar hal yang dulu dilakukan kontrol fisik.
- Tangani media dan pembuangan. Hapus atau musnahkan drive dan perangkat sebelum digunakan kembali atau dibuang (ISO A.7.14, PCI 9.4.7, HIPAA §164.310(d)).
Jika Anda menerima pembayaran kartu secara langsung, baca Persyaratan 9 PCI DSS dengan saksama: perangkat pembaca kartu di titik penjualan membawa kontrol fisik kembali ke dalam cakupan, betapapun native-cloud perusahaan Anda.
Halaman topik Keamanan Fisik mencantumkan setiap persyaratan beserta sumbernya, dan analisis kesenjangan menunjukkan apa yang ditambahkan kerangka kerja baru dibandingkan dengan yang sudah Anda miliki.
Pertanyaan
Apakah CIS Controls mencakup keamanan fisik?
Tidak. CIS Controls v8 menghapus keamanan fisik, itulah sebabnya tidak ada pemetaan untuk topik ini.
Bagaimana perusahaan yang hanya menggunakan cloud memenuhi persyaratan keamanan fisik?
Dengan mengandalkan jaminan penyedia cloud mereka untuk pusat data (misalnya laporan SOC 2 atau sertifikat ISO), serta mencakup kantor, perangkat, media, dan pengunjung mereka sendiri.
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-27Cyber Essentials vs Essential Eight: dua baseline nasional dibandingkanCyber Essentials milik Inggris dan Essential Eight milik Australia sama-sama menargetkan serangan umum, tetapi keduanya mencakup wilayah yang berbeda. Apa yang tumpang tindih, apa yang tidak, dan mengapa.
Analisis · 2026-10-27DORA vs NIS2: apa yang sudah dicakup program NIS2DORA dan NIS2 sama-sama memuat sebagian besar konten keamanan, namun DORA menambah register, ketentuan kontrak, dan pengujian berbasis ancaman. Pasal demi pasal.