Требования к физической безопасности в разных стандартах

Большинство команд безопасности сегодня всё держат в облаке и редко думают о замках и камерах. Однако большинство стандартов по-прежнему требуют их, и аудиторы по-прежнему спрашивают.

В этом материале рассматриваются 11 фреймворков, которые ControlMapping сопоставил на момент написания. С тех пор DORA, CPS 234, Cyber Essentials были добавлены 2026-10-27; их страницы и матрица покрытия уже включают их.

Физическая безопасность стала забытой темой современных программ безопасности. Нагрузки работают в чужих дата-центрах, сотрудники работают из дома, а офис — это в основном столы и кофе. Тем не менее большинство стандартов по-прежнему требует физических мер, и когда мы проверили собственные сопоставления, оказалось, что эта тема отражена недостаточно, поэтому мы выделили её в отдельную тему.

Кто что требует

Стандарт	Физическая безопасность	Связь
NIST CSF 2.0	PR.AA-06 DE.CM-02 PR.IR-02	Определение темы
ISO 27001	A.7.1 A.7.2 A.7.3 A.7.4 A.7.5 A.7.8 A.7.11 A.7.6 A.7.12	Соответствия
CIS v8.1	—	Нет сопоставления в наших данных
SOC 2	CC6.4	Редакционные материалы
PCI DSS	9.2.1 9.2.3 9.3.1 9.2.1.1 9.3.1.1 9.3.2	Соответствия
CMMC	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3 PE.L2-3.10.4 PE.L2-3.10.5 PE.L2-3.10.6	Соответствия
800-53	PE-2 PE-3 PE-6 PE-8 PE-13 PE-14	Соответствия
HIPAA	§164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)§164.310(b)§164.310(c)	Соответствия
GDPR	—	Нет сопоставления в наших данных
NIS2	13.1 13.2 13.3	Соответствия
Essential Eight	—	Нет сопоставления в наших данных

Полные подробности и обоснование каждой связи: Физическая безопасность по фреймворкам →

Стандарты, которые уделяют этому больше всего внимания

PCI DSS — самый детальный: контроль входа в помещения с системами данных держателей карт, мониторинг чувствительных зон с помощью камер или систем контроля доступа, авторизация и журналы посетителей, ограничение доступа к сетевым портам и оборудованию, безопасное хранение и уничтожение носителей, а также проверка устройств считывания карт на признаки подмены (Требование 9). CMMC Level 2 включает целое семейство требований: ограничение и мониторинг физического доступа, сопровождение посетителей, ведение журналов доступа, управление устройствами доступа и защиту CUI на альтернативных рабочих местах (PE.L2-3.10.1 по 3.10.6). ISO 27001 содержит четырнадцать физических мер в своей теме A.7: от периметров и контроля входа до политики чистого стола, обслуживания оборудования и безопасной утилизации. HIPAA включает полный набор физических защитных мер в §164.310.

Стандарты, которые этого не делают

CIS Controls исключили физическую безопасность в версии 8. GDPR и Essential Eight её не затрагивают. SOC 2 охватывает её одним критерием (CC6.4), и аудиторы компаний, работающих только в облаке, часто принимают для этого отчёт самого облачного провайдера.

Фотография офисной двери с считывателем пропусков рядом и пустой картой доступа на шнурке, висящей на ручке — Даже у облачных компаний есть офисы, ноутбуки и посетители.

О чём спрашивают аудиторы облачную компанию

Ожидайте короткий список вопросов, даже если у вас нет собственных серверов:

Какие облачные и колокационные провайдеры размещают ваши системы и где их отчёт об уверенности?
Как вы контролируете доступ в офисы и кто имеет ключи или пропуска?
Регистрируются ли посетители и сопровождаются ли они там, где видна конфиденциальная информация?
Как защищены ноутбуки при утере или краже (шифрование, удалённое стирание, процесс оповещения)?
Как утилизируются диски, ноутбуки и бумажные документы?

Чёткие ответы, подкреплённые несколькими доказательствами (выгрузка из системы пропусков, журнал посетителей, отчёт MDM, акты утилизации), обычно быстро закрывают эту тему.

Главные выводы

Большинство стандартов по-прежнему требует физических мер.
Компании, работающие в облаке, наследуют гарантии дата-центра и должны защищать офисы, ноутбуки и носители.
Платежи с физическим предъявлением карты возвращают физические требования PCI в область применения.
PCI DSS — самый детальный стандарт: вплоть до журналов посетителей и проверки устройств считывания карт на подмену.

Как выполнить требования без собственного дата-центра

Для компании без собственных серверов физическая безопасность сводится к четырём задачам:

Опирайтесь на дата-центр провайдера. Отчёт SOC 2 или сертификат ISO вашего облачного провайдера покрывают его объекты. Изучите область охвата и зафиксируйте в собственной документации, что вы на него опираетесь.
Защищайте офис соразмерно рискам. Пропуска, регистрация посетителей, запираемое хранилище для всего чувствительного и политика чистого стола (ISO A.7.7).
Считайте ноутбуки периметром. Полнодисковое шифрование, блокировка экрана, удалённое стирание и процесс на случай утери устройств закрывают большую часть того, что раньше закрывали физические меры.
Управляйте носителями и утилизацией. Стирайте или уничтожайте диски и устройства перед повторным использованием или утилизацией (ISO A.7.14, PCI 9.4.7, HIPAA §164.310(d)).

Если вы принимаете платежи картами очно, внимательно изучите Требование 9 PCI DSS: устройства считывания карт в точке продажи возвращают физические меры в область применения, независимо от того, насколько ваша инфраструктура облачная.

Страница темы «Физическая безопасность» содержит каждое требование с его источником, а анализ разрывов показывает, что новый стандарт добавляет к уже используемому.

Вопросы

Покрывают ли CIS Controls физическую безопасность?

Нет. CIS Controls v8 исключили физическую безопасность, поэтому для этой темы сопоставления нет.

Как компании, работающие только в облаке, выполняют требования физической безопасности?

Опираясь на гарантии облачного провайдера для дата-центров (например, его отчёт SOC 2 или сертификат ISO) и обеспечивая защиту собственных офисов, устройств, носителей и посетителей.

Данные на 2026-10-27: цифры в этой публикации рассчитаны по текущей таблице соответствий и обновляются при её изменении. Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Не является консультацией по соответствию.

Физическая безопасность в стандартах: тема, о которой забывают облачные компании