Bezpieczeństwo serwerowni a RODO

Serwerownia jest miejscem, w którym gromadzone są wszelkie informacje dotyczące najważniejszych sfer działalności przedsiębiorstwa. Bezpieczeństwo serwerowni jest więc sprawą pierwszorzędną – brak dostępu do tych informacji bądź utrata części z nich może skutkować sporymi stratami wizerunkowymi i finansowymi. Ponadto kwestia ta jest uregulowana prawnie, dlatego przybliżamy, jak wygląda bezpieczeństwo serwerowni zgodne z zapisami RODO.

Bezpieczeństwo serwerowni – kompleksowe podejście

Rozporządzenie Ogólne o Ochronie Danych Osobowych z dnia 25 maja 2018 roku, znane również jako RODO, wprowadziło szereg nowych przepisów unijnych dotyczących ochrony danych osobowych. Wśród nich znajduje się bezpieczeństwo serwerowni, bezpieczeństwo informacji oraz konieczność zapewnienia optymalnych warunków pracy dla sprzętu sieciowo-serwerowego, czyli infrastruktury serwerowo-macierzowej. Szczególne znaczenie dla bezpieczeństwa serwerowni ma ogólna zasada zbierania danych osobowych, znana jako „Privacy by design”. Oznacza ona, że każdy podmiot przetwarzający dane osobowe zobowiązany jest do dbałości zarówno o prawa osób fizycznych, jak i o bezpieczeństwo techniczne, czyli ochronę danych przed nieuprawnionym dostępem, nieuprawnioną zmianą, zniszczeniem czy nieprawidłowym przetwarzaniem. Za niespełnienie wymogów RODO względem bezpieczeństwa serwerowni grozi odpowiedzialność finansowa, będąca równowartością 4% przychodu za poprzedni rok bądź karą o wysokości nawet do 20 mln EURO. 

Ważne jest, aby do bezpieczeństwa serwerowni podejść w sposób kompleksowy, z uwzględnieniem każdego z 5 rodzajów zabezpieczeń: fizycznych, technicznych, środowiskowych, organizacyjnych oraz personalnych. Należy kierować się zasadą, że zabezpieczenia są na tyle skuteczne, na ile skuteczne jest najsłabsze z nich – dodaje nasz rozmówca z firmy PERANEK Sp. z o.o.

Bezpieczeństwo serwerowni a zabezpieczenia fizyczne

Zabezpieczenia fizyczne to podstawowy element bezpieczeństwa serwerowni. Muszą być one na tyle mocne, aby możliwie jak najbardziej wydłużyć czas ich przełamania, zwiększając tym samym szansę na odpowiednią reakcję ochrony. Serwerownia powinna znajdować się w miejscu niedostępnym dla osób postronnych oraz z dala od miejsc, w których istnieje spore ryzyko zalania. W pomieszczeniu nie powinno być okien, ponieważ w przypadku serwerowni stanowią one potencjalne zagrożenie. Drzwi powinny być antywłamaniowe o podwyższonej odporności ogniowej, a ściany murowane. Projekt bezpiecznej serwerowni powinien być wykonany tak, aby zminimalizować ryzyko nieautoryzowanych wejść, ale także z dbałością o to, aby do serwerowni nie przedostały się gryzonie mogące uszkodzić kable. Natomiast serwery, skrzynki z bezpiecznikami oraz wszystkie punkty rozdzielcze sieci zasilających powinny znajdować się w zamykanych szafach teleinformatycznych bądź skrzynkach, a dostęp do kluczy mogą mieć jedynie osoby upoważnione, odnotowane w odpowiednim rejestrze. W budynku powinna znajdować się ochrona fizyczna.

Bezpieczeństwo serwerowni a zabezpieczenia techniczne

Do zabezpieczeń technicznych zaliczamy takie rozwiązania jak m.in. system kontroli dostępu, system sygnalizacji włamania i napadu czy system monitoringu wizyjnego. System kontroli dostępu umożliwia otwarcie drzwi do serwerowni jedynie po autoryzacji uprawnionej osoby. Zaleca się użycia co najmniej dwóch różnych metod autoryzacji, jak kod PIN bądź funkcja otwierania drzwi kartą zbliżeniową. Należy pamiętać, aby uprawnienia karty dostępu dla osób nieupoważnionych były ograniczone, każde wejście do serwerowni było odnotowywane w stosownym rejestrze, a sam system kontroli dostępu stale nadzorowany. System sygnalizacji włamania i napadu służy wykryciu i natychmiastowemu zaalarmowaniu o próbie otwarciu serwerowni przez osobę nieuprawnioną. System monitoringu wizyjnego natomiast umożliwia stały podgląd pomieszczenia i służy do archiwizacji obrazu celem odtworzenia ewentualnych zdarzeń. Dostęp do nagrań, jak i do urządzeń nagrywających, musi być ściśle ograniczony, a czas archiwizacji zdarzeń nie krótszy niż 30 dni.

Bezpieczeństwo serwerowni a zabezpieczenia środowiskowe

Zabezpieczenia środowiskowe to szereg zabezpieczeń mający na celu zagwarantować bezpieczeństwo serwerowni, sprawną pracę serwerowni, elektroniki oraz urządzeń, które się w niej znajdują. Monitoring parametrów środowiskowych służy kontrolowaniu stanu instalacji oraz informowaniu o wszelkich odstępstwach od normy, dotyczących m.in. temperatury czy wilgotności. Równie ważne jest zapasowe źródło energii, aby uchronić się przed niekontrolowanymi i katastrofalnymi w skutkach przerwami w pracy serwerowni. Należy zadbać o to, aby cała sieć komputerowa i serwerownia były zasilane oddzielną gałęzią transformatora. Zabezpieczenia środowiskowe to także ochrona przeciwpożarowa. Aby zagwarantować bezpieczeństwo serwerowni w tym zakresie, niezbędna będzie podłoga techniczna, stosowne urządzenia gaśnicze czy system sygnalizacji pożaru. Taki system umożliwia na tyle wczesne wykrycie pożaru, aby zmaksymalizować szanse na udaną akcję gaśniczą oraz zminimalizować ewentualne straty. Istotne jest także, aby w serwerowni nie przechowywać materiałów łatwopalnych. Jeżeli jednak zachodzi taka konieczność, powinny być one składowane w metalowych szafach.

Bezpieczeństwo serwerowni a zabezpieczenia organizacyjne i personalne

W każdym miejscu, w którym funkcjonuje serwerownia, powinna znajdować się instrukcja obsługi serwerowni oraz instrukcja zarządzania systemem informatycznym. Instrukcja obsługi serwerowni zawiera wszystkie niezbędne informacje o zastosowanych systemach, instalacjach i urządzeniach oraz reguły postępowania w przypadku zagrożenia. Natomiast instrukcja zarządzania systemem informatycznym określa, które dane osobowe oraz w jaki sposób powinny być przetwarzane. Do zabezpieczeń organizacyjnych należy także kopia zapasowa, która, niezależnie od użytej techniki, gwarantuje ochronę danych przed uszkodzeniem bądź utratą i powinna być przechowywana w innej lokalizacji, niż serwerownia. Kopia zapasowa jest wymogiem, który należy spełnić mimo zastosowania wielu różnych zabezpieczeń oraz zachowania stosownych procedur. Zabezpieczenia personalne natomiast stanowią ludzie – dotyczy ona świadomości pracowników i personelu oraz obecności pracowników ochrony w budynku.