Control 7.8 – Plaatsing en bescherming van apparatuur

Wat houdt deze control in?

Control 7.8 gaat over waar en hoe je apparatuur neerzet. Plaats servers, netwerkapparatuur, werkplekken en printers zo dat ze beschermd zijn tegen omgevingsrisico’s, zoals water, hitte, brand en stof, en tegen ongeautoriseerde toegang of inkijk.

Waarom is dit verplicht?

Een server onder een waterleiding, een switch in een onafgesloten meterkast of een scherm met persoonsgegevens dat zichtbaar is vanaf de gang: dat zijn risico’s die geen enkele technische maatregel opvangt. De plaatsing van apparatuur is de basis waarop de andere fysieke maatregelen rusten.

Voor 7.8 geldt geen overheidsmaatregel in de BIO2 (7.08.01). De implementatierichtlijn uit ISO 27002 is daarom het uitgangspunt. Pas je de control niet of anders toe, dan onderbouw je dat met een risicoanalyse en neem je dat op in de bijlage uitzonderingen van je Verklaring van Toepasselijkheid (VvT).

Praktische implementatie

• Omgevingsrisico’s: plaats apparatuur niet onder waterleidingen of in kelders met overstromingsrisico, en niet naast warmtebronnen. Zorg voor klimaatbeheersing en bewaking van temperatuur en luchtvochtigheid in serverruimtes.
• Brand en bliksem: gebruik brandmelding en een passend blussysteem, zoals gasblussing in serverruimtes. Bescherm apparatuur tegen overspanning.
• Afgesloten opstelling: zet servers en netwerkapparatuur in afgesloten ruimtes of afsluitbare racks, en niet in gedeelde meterkasten of op open plekken.
• Inkijk voorkomen: plaats schermen en printers die gevoelige informatie verwerken zo dat ze niet zichtbaar zijn vanaf ramen, gangen of publieke ruimtes. Gebruik waar nodig privacyfilters.
• Eten en drinken: stel regels op voor eten en drinken bij kritieke apparatuur, zoals in serverruimtes.
• Diefstal op flexplekken: gebruik kabelsloten of afsluitbare dockingstations waar laptops onbeheerd kunnen achterblijven.
• Spreiding: plaats kritieke systemen niet allemaal op één locatie. Een incident op de ene plek mag niet ook de uitwijk raken.

Aandachtspunten voor de overheid

• OT (Operationele Technology) in het veld: besturingskasten bij gemalen, sluizen, bruggen en verkeersregelinstallaties staan vaak buiten en onbewaakt. Gebruik inbraakwerende kasten met deur- en sabotagedetectie, en neem ze op in je risicoanalyse. De BIO2 verwijst voor OT naar de CSIR en IEC 62443.
• Uitbestede hosting: draaien je systemen in een extern datacenter? Leg dan de eisen voor plaatsing en omgevingsbeveiliging vast in het contract (5.20). Laat de leverancier aantonen dat hij eraan voldoet via onafhankelijk onderzoek (overheidsmaatregel 5.20.03).
• Kantoorgebouwen met publieksfuncties: balies en spreekkamers liggen vaak dicht bij werkplekken. Let daar extra op inkijk en op onbeheerde apparatuur.

Relatie met andere controls

• 7.3 – Beveiliging van kantoren en ruimtes
• 7.5 – Bescherming tegen fysieke en omgevingsbedreigingen
• 7.7 – Clear desk / clear screen: inkijk op schermen
• 7.9 – Bedrijfsmiddelen buiten het terrein: bescherming van apparatuur buiten de eigen locatie
• 7.11 – Ondersteunende nutsvoorzieningen
• 7.12 – Beveiliging van bekabeling
• 7.13 – Onderhoud van apparatuur
• 5.9 – Inventarisatie van bedrijfsmiddelen, inclusief OT

← Terug naar alle BIO 2.0 controls