一文睇清：一體機櫃幫到你邊啲 Audit 項目？
- 8月3日
- 讀畢需時 4 分鐘
許多企業在準備 ISO 27001、IT 服務管理審查或 SRAA 時，會把焦點放在政策、權限和技術控制上，卻容易忽略機房與機櫃這些基礎設施。事實上，實體與環境安全往往是審核中實際會被檢查的項目。一體機櫃作為整合式方案，雖然不能取代完整的管理系統，但在多個常見控制點上，確實能提供具體幫助。
本文整理一體機櫃與主要 IT 資安／服務標準的對應，方便 IT、Facility 及負責合規的同事快速了解。
為什麼實體基礎設施會被審查？
無論是 ISO/IEC 27001:2022 的實體控制、ISO/IEC 20000 的服務可用性要求，還是香港常見的 SRAA（Security Risk Assessment & Audit），審查人員通常會關注：
設備是否被妥善保護，防止未授權接觸
線路是否整理有序，降低被截取或損壞的風險
電力與散熱環境是否相對穩定
維護與變更是否較易受控
這些要求並非要求企業興建大型數據中心，而是希望基礎設施本身不會成為明顯的弱點。
參考資料：
主要有助的範疇
檢查範疇 | 相關標準 | 一體機櫃的幫助 (視乎品牌／Series) |
實體進入控制 | ISO 27001、SRAA、ISO 27701 | 櫃門可上鎖，有助限制未授權人員接觸設備 |
設備安置與保護 | ISO 27001、SRAA | 設備統一收納於標準機櫃，有助減少損壞與暴露風險 |
線路安全與管理 | ISO 27001、SRAA | 完善理線設計，有助降低線路混亂、拉扯或被截取的風險 |
環境控制（溫度等） | ISO 27001、ISO 20000、SRAA | 機櫃具備基本通風／散熱設計，有助維持較穩定的運作環境 |
電力接駁與基本穩定性 | ISO 27001、ISO 20000、SRAA | 預留 PDU／UPS 接駁位置，有助進行基本電力管理 |
維護可控性 | ISO 27001、ISO 20000 | 模組化及清晰佈局，有助使硬件維護更有秩序 |
如需更詳細的 Audit 對應說明（包括相關控制編號及進一步說明），歡迎與我們聯絡。我們可於收到查詢後，以電郵提供相關參考資料，方便內部評估或與顧問討論。
各標準的簡單說明
ISO/IEC 27001:2022 國際最主流的資訊安全管理系統標準。Annex A 中的實體控制（A.7 系列）明確要求保護設備、控制進入、管理線路與環境威脅。一體機櫃在這些項目上能提供較具體的實施證據。
ISO/IEC 20000-1 IT 服務管理標準，重視服務的可用性、容量與變更管理。穩定的電力與散熱環境、清晰的設備佈局，有助減少因基礎設施問題導致的服務中斷。
ISO/IEC 27701 私隱資訊管理標準，建基於 27001。由於大量引用實體安全控制，一體機櫃對保護處理個人資料的設備同樣有幫助。
SRAA（香港） 香港政府及不少機構參考的保安風險評估及審計框架。雖然沒有像 ISO 一樣公開統一的控制編號，但實務上同樣會檢查實體存取、設備保護、線路管理、電力與環境控制等項目。
一體機櫃「幫得到」與「幫不到」的地方
較有幫助的部分：
實體存取限制（上鎖）
設備保護與安置
線路整理與安全
基本散熱與電力接駁
維護時的可控性
櫃門存取權限設定
無法完全取代的部分：
資訊安全政策與風險評估文件
人員權限的定期審查與整體管理（機櫃層面的 Access Rights 只是其中一環，仍需配合公司整體權限政策與定期檢討）
日誌監控、入侵偵測（系統層面）
事件應變計劃與演練
供應商管理與合約要求
員工培訓與意識提升
換言之，一體機櫃是整體控制措施中的一環，能讓基礎設施相關項目更容易被證明，但真正的合規仍然取決於管理制度是否完整運作。
實務建議
選購時優先留意上鎖方式、理線設計、散熱與電力接駁是否到位，而不是只看品牌。
在審核或評估前，可準備機櫃的現場照片、鎖具說明、理線狀況及電力接駁方式，作為實體控制已實施的參考證據。
若企業同時進行 ISO 認證或 SRAA，建議與合資格顧問確認，如何將基礎設施措施納入整體控制說明。
免責聲明
本內容僅供參考用途，旨在說明一體機櫃在實體與環境控制方面可能帶來的幫助。 實際審核、認證或評估結果，取決於企業的整體控制措施、文件證據以及審核員的專業判斷。 本內容不構成任何形式的合規、認證、法律或專業意見。建議企業在有需要時，諮詢合資格的資安、認證或顧問機構。
ReachTech 專業服務
除了提供一體機櫃方案，ReachTech 亦可協助企業從基礎設施角度，檢視現有機房或機櫃配置是否達到基本穩定性與管理要求。我們可按實際情況，提供選型建議、部署規劃，以及相關技術說明，方便企業內部評估或與顧問進一步討論。
我們的專業服務包括：
✅機房設計與一體化智能機櫃方案
✅UPS 電力備援系統
✅精密冷卻方案
✅完整辦公室 IT 搬遷服務
🤗 CONTACT US
☎️ +852 2150 2300
❇️ +852 5501 2625
參考資料 / References
ISO/IEC 27001:2022 – Information security, cybersecurity and privacy protection — Information security management systems — Requirements https://www.iso.org/standard/27001
Hong Kong Digital Policy Office – Practice Guide for Security Risk Assessment & Audit (ISPG-SM01) https://www.govcert.gov.hk/doc/ispg-sm01-v2.1_EN.pdf
Digital Policy Office – Information and Cyber Security Policy & Guidelines https://www.ogcio.gov.hk/en/information_security/policy_and_guidelines/
