+Physical and Environmental Security

Physical and Environmental Security

Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани регулации

2. Идентифицирани изисквания

Изисквания

3. Свързани регулации

Регулации
EULAW Член 21 Контрол на достъпа

Член 21

Контрол на достъпа

Като част от своите права за управление на контрола на достъпа финансовите субекти разработват, документират и прилагат политика, която съдържа всички изброени по-долу елементи:

а) 

предоставянето на права на достъп до активи на ИКТ въз основа на принципите „необходимост да се знае“, „необходимост да се използва“ и „функциониране с най-малка привилегия“, включително при отдалечен достъп и достъп при извънредни ситуации;

б) 

разделянето на функциите, което има за цел да се предотврати необоснован достъп до критични данни или да се предотврати разпределянето на комбинации от права за достъп, които може да бъдат използвани за заобикаляне на механизмите за контрол;

в) 

разпоредба относно отчетността на ползвателите, като използването на общи и споделени потребителски профили се ограничава до възможната степен и се гарантира, че самоличността на ползвателите може да бъде установена по всяко време във връзка с извършвани в системите на ИКТ действия;

г) 

разпоредба относно ограниченията на достъпа до активи на ИКТ, с която се определят механизми за контрол и инструменти за предотвратяване на непозволен достъп;

д) 

процедури за управление на профили за предоставяне, промяна или отнемане на права на достъп за потребителски и общи профили, в това число общи профили на администратори, включително предоставяне на всички изброени по-долу елементи:

i) 

разпределяне на роли и отговорности за предоставяне, преглед и отнемане на права на достъп;

ii) 

предоставяне на привилегирован и администраторски достъп и достъп при извънредни ситуации въз основа на принципа „необходимост да се знае“ или на ad-hoc основа за всички системи на ИКТ;

iii) 

отнемане на правата за достъп без неоправдано забавяне при прекратяване на трудовото правоотношение, или когато достъпът вече не е необходим;

iv) 

актуализиране на правата за достъп, когато са необходими промени, и най-малко веднъж годишно за всички системи на ИКТ, различни от системи на ИКТ, поддържащи критични или важни функции, и поне на всеки 6 месеца за системи на ИКТ, поддържащи критични или важни функции;

е) 

методи за удостоверяване на автентичността, включително всички изброени по-долу елементи:

i) 

използването на методи за удостоверяване на автентичността, съизмерими с установената в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554 класификация и с цялостния рисков профил на активите на ИКТ, и като се вземат предвид водещите практики;

ii) 

използването на сигурни методи за удостоверяване на автентичността в съответствие с водещите практики и техники за отдалечен достъп до мрежата на финансовия субект, за привилегирован достъп, за достъп до активи на ИКТ, поддържащи критични или важни функции или до публично достъпни активи на ИКТ;

ж) 

мерки за контрол на физическия достъп, включително:

i) 

идентифицирането и регистрирането на физически лица, които са упълномощени за достъп до помещения, центрове за данни и зони, определени от финансовия субект като чувствителни, където се намират активи на ИКТ и информационни активи;

ii) 

предоставянето на права на физически достъп до активи на ИКТ само на упълномощени лица в съответствие с принципите „необходимост да се знае“ и функциониране с най-малка привилегия, както и на ad hoc основа;

iii) 

наблюдението на физическия достъп до помещения, центрове за данни и зони, определени от финансовия субект като чувствителни, където се намират активи на ИКТ и информационни активи или и двете;

iv) 

преглед на правата на физически достъп с цел да се гарантира незабавната отмяна на ненужните права за достъп.

За целите на буква д), точка i) финансовите субекти определят срока на съхранение, като вземат предвид целите за стопанска сигурност и сигурност на информацията, причините за записване на събитието в регистрационните файлове и резултатите от оценката на риска в областта на ИКТ.

За целите на буква д), точка ii) финансовите субекти използват, когато това е възможно, специални профили за изпълнение на административни задачи на системи на ИКТ. Когато е осъществимо и подходящо, финансовите субекти внедряват автоматизирани решения за управление на привилегирования достъп.

За целите на буква ж), точка i) идентифицирането и регистрирането са съизмерими със значението на помещенията, центровете за данни и зоните, определени като чувствителни, както и с критичната значимост на операциите или системите на ИКТ, разположени в тях.

За целите на буква ж), точка iii) наблюдението е съизмеримо с установената в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554 класификация и с критичната значимост на зоната, до която се осъществява достъп.
EULAW Член 18 1.
Като част от защитните механизми за запазване на наличността, автентичността, цялостността и поверителността на данните финансовите субекти определят, документират и прилагат политика за физическа сигурност и сигурност на заобикалящата среда. Финансовите субекти разработват тази политика с оглед на обстановката по отношение на киберзаплахите в съответствие с установената в член 8, параграф 1 от Регламент (ЕС) 2022/2554 класификация и с оглед на цялостния рисков профил на активите на ИКТ и достъпните информационни активи.
EULAW Член 18 2.

Посочената в първа алинея политика за физическа сигурност и сигурност на заобикалящата среда съдържа всички изброени по-долу елементи:

а) 

препратка към раздела относно политиката за правата за управление на контрола на достъпа, посочен в член 21, параграф 1, буква ж);

б) 

мерки за защита от атаки, аварии и заплахи и опасности, свързани със заобикалящата среда, на помещенията, центровете за данни на финансовия субект и на зони, определени от него като чувствителни, където се намират активи на ИКТ и информационни активи;

в) 

мерки за обезопасяване на активи на ИКТ, както в помещенията на финансовия субект, така и извън тях, като се вземат предвид резултатите от оценката на риска в областта на ИКТ, свързана със съответните активи на ИКТ;

г) 

мерки за осигуряване на наличността, автентичността, цялостността и поверителността на активи на ИКТ, информационни активи и физически устройства за контрол на достъпа на финансовия субект чрез подходящо поддържане;

д) 

мерки за запазване на наличността, автентичността, цялостността и поверителността на данните, включително:

i) 

политика на „чистото бюро“ във връзка с документи;

ii) 

политика на „изчистения екран“ за съоръжения за обработка на информация.

За целите на буква б) мерките за защитата от заплахи и опасности, свързани със заобикалящата среда, са съизмерими със значението на помещенията, центровете за данни и зоните, определени като чувствителни, както и с критичната значимост на операциите или системите на ИКТ, разположени в тях.

За целите на буква в) посочената в параграф 1 политика за физическа сигурност и сигурност на заобикалящата среда съдържа мерки за предоставяне на подходяща защита на активи на ИКТ, намиращи се извън служебните помещения.