Test af fysisk adgang hos leverandøren: serverrum, kontor og udstyr

Krav fra NIS2-kunder handler gerne om netværk, systemer og adgange på afstand. Men en angriber kan også gå ind ad en dør. Står kundens data på en server i jeres eget serverrum, sidder jeres driftsfolk med adgang til kundens systemer på et kontor, eller ligger udstyr til kunden på jeres lager, kan kunden spørge, om den fysiske adgang til de steder er sikret og afprøvet.

Siden forklarer, hvor spørgsmålet kommer fra, hvad en test af fysisk adgang kan dække, og hvad der skal være aftalt, før den gennemføres. Teksten er ikke juridisk rådgivning.

Grundlaget i reglerne

NIS 2-lovens § 6, stk. 1, nr. 9, nævner personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver. Lovbemærkningerne, som de er gengivet i Styrelsen for Samfundssikkerheds vejledning om foranstaltninger, siger, at politikken for adgangskontrol som minimum skal identificere og vurdere risici i forhold til både logisk og fysisk adgangskontrol.

For de digitale udbydere, som gennemførelsesforordning (EU) 2024/2690 gælder for, er kravet mere detaljeret. Bilagets punkt 13.3 kræver, at de forebygger og overvåger uautoriseret fysisk adgang, beskytter områder med net- og informationssystemer med passende adgangskontrol og efter punkt 13.3.3 tester, gennemgår og om nødvendigt ajourfører foranstaltningerne til fysisk adgangskontrol regelmæssigt. Styrelsens vejledning nævner desuden fysisk adgang som én af vejene i en social engineering-test. → Kunden vil teste jeres medarbejdere

Hvornår det angår jer som leverandør

Kundens pligt gælder kundens egne lokaler. Den når jer, når kundens systemer, data eller adgange også befinder sig hos jer. Det kan være:

Jeres serverrum · hvor I hoster kundens løsning eller opbevarer backup.
Driftskontoret · hvor medarbejdere med adgang til kundens systemer arbejder, og hvor en ulåst skærm kan give adgang videre.
Lager og værksted · hvor udstyr til kunden konfigureres, før det sendes ud.
Mødelokaler og reception · hvor besøgende kan komme tæt på netværksstik og udstyr.
Arkiv og printere · hvor udskrifter, nøgler eller adgangskort til kundens lokaler kan ligge fremme.

Kravet kan også gå den anden vej. Når jeres teknikere arbejder i kundens lokaler, er de en del af kundens fysiske adgangskontrol, og kunden kan afprøve, om de bliver ført og registreret som andre besøgende. → Serviceteknikere og arbejde på stedet

Er I selv en digital udbyder under forordningen, har I punkt 13.3 som jeres egen pligt. Ellers kommer kravet gennem aftalen med kunden, fx som en del af cybersikkerhedskravene efter bilagets punkt 5.1.4, litra a. → Forordningens kontraktpunkter

Hvad en test af fysisk adgang kan dække

En test af fysisk adgang afprøver, om de foranstaltninger, I har beskrevet, virker i praksis. Den kan fx belyse, om adgangskort og koder kan omgås, om besøgende bliver ført og registreret, om serverrummet er låst og logget, og om medarbejderne reagerer, når en ukendt person beder om at blive lukket ind. Den sidste del er social engineering og kræver de samme hensyn til medarbejderne som en phishing-test.

Forordningen taler om at teste og gennemgå foranstaltningerne. En gennemgang kan være et godt første skridt: en gennemgang af tegninger, nøglelister, adgangslog og hvem der har kort til hvilke rum. Den viser, om foranstaltningerne er beskrevet og vedligeholdt. Testen viser derefter, om de holder, når nogen forsøger at komme forbi dem.

Testen er en anden opgave end en penetrationstest af jeres systemer. Den kan kombineres med en teknisk test, fx ved at afprøve, om et netværksstik i et mødelokale giver adgang til driftsnettet, men det skal stå i aftalen. → Adskillelse i netværket

Det, der skal aftales først

En test af fysisk adgang foregår i rigtige bygninger med rigtige mennesker, og den kræver mere forberedelse end en test på afstand. Aftal skriftligt, hvilke bygninger og rum der indgår, i hvilket tidsrum testen må finde sted, og hvem i jeres ledelse der kender til den og kan bekræfte opgaven, hvis testeren bliver standset. Aftal også, hvad testeren ikke må: fx at beskadige døre og låse eller at udløse alarmer, der tilkalder et vagtselskab, uden at vagtselskabet er orienteret.

Ejer I ikke bygningen, skal udlejeren eller den, der driver adgangskontrollen, også give tilladelse. Det gælder i særlig grad et datacenter, hvor jeres udstyr står sammen med andres. Her er det datacentrets egen dokumentation, der svarer på spørgsmålet, ikke jeres test. → Datacenteret i kæden

Hvad kunden skal have bagefter

Resultatet dokumenteres som ved andre test: type, omfang, tidspunkt og resultat, med en vurdering af hvert fund og hvad I gør ved det. Beskrivelser af præcis hvordan en dør eller et kort blev omgået, bør ikke sendes rundt. Et resumé med fundenes art og status på rettelserne er som udgangspunkt nok for kunden. → Resumé, erklæring eller hel rapport

Er et fund rettet ved at ændre en lås, en regel for besøgende eller en adgangsrettighed, kan en kort kontrol bagefter vise, at rettelsen virker. Kunden kan bruge datoen for kontrollen i sin opfølgning på jer. Opbevar den fulde testbeskrivelse hos jer selv, og lad kun dem, der skal rette fundene, læse den.

Et tænkt eksempel

En hostingleverandør med eget serverrum i en lejet erhvervsejendom får et krav fra en forsyningskunde om dokumentation for, at den fysiske adgang til serverrummet er testet. Leverandøren får tilladelse fra udlejeren, aftaler en dag og et tidsrum og giver testeren et brev fra direktøren. Testen viser, at en håndværker kunne komme ind i kælderen bag en anden medarbejder, men at serverrummet var låst og logget.

Leverandøren skærper reglerne for at lukke folk ind og sender kunden et resumé med fundet, rettelsen og datoen for en kontrol bagefter. Resuméet nævner ikke, hvordan håndværkeren kom forbi, men at døren til kælderen nu kræver kort for alle.

Det skal I lade være med

At svare på et spørgsmål om fysisk sikring med en netværkstest · den dækker ikke dørene.
At teste en bygning, I ikke ejer, uden ejerens tilladelse · aftalen skal omfatte den, der har adgangskontrollen.
At lade testen ske uden en kontaktperson i ledelsen · testeren skal kunne få opgaven bekræftet.
At sende detaljer om omgåede døre rundt · et resumé er nok for kunden.
At glemme driftskontoret · adgangen til kundens systemer går også gennem de skærme, der står der.

Hvad kan og ikke kan konkluderes

Reglerne viser, at fysisk adgangskontrol er en del af de foranstaltninger, en NIS2-kunde skal tage stilling til, og at de digitale udbydere skal teste den. En test viser, om adgangen kunne omgås på testdagen. Den afgør ikke, om jeres samlede fysiske sikring er tilstrækkelig for kunden, og den erstatter ikke datacentrets eller udlejerens dokumentation.