+Physical and Environmental Security

Physical and Environmental Security

Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 21 Řízení přístupu

Článek 21

Řízení přístupu

V rámci kontroly správy přístupových práv finanční subjekty vypracují, zdokumentují a zavedou politiku, která zahrnuje všechny následující prvky:

a) 

přidělování přístupových práv k aktivům v oblasti IKT na základě zásad „potřeba znát“ a „potřeba používat“ a zásady minimálních práv, a to i u vzdáleného a nouzového přístupu;

b) 

oddělení úkolů s cílem zabránit neoprávněnému přístupu ke kritickým údajům nebo zabránit přidělování kombinací přístupových práv, které lze využít k obcházení kontrol;

c) 

ustanovení o odpovědnosti uživatelů v tom smyslu, že se co nejvíce omezí používání obecných a sdílených uživatelských účtů a zajistí se, aby uživatelé byli vždy při provádění činností v systémech IKT identifikovatelní;

d) 

ustanovení o omezení přístupu k aktivům v oblasti IKT, které stanoví kontrolní mechanismy a nástroje k zabránění neoprávněnému přístupu;

e) 

postupy v oblasti správy účtů pro udělování, změnu nebo odebírání přístupových práv k uživatelským a obecným účtům, včetně obecných účtů správců, zahrnující všechny následující prvky:

i) 

přidělení úloh a povinností týkajících se udělování, přezkumu a odebírání přístupových práv;

ii) 

přidělování privilegovaného, nouzového a administrátorského přístupu podle potřeby nebo v režimu ad hoc u všech systémů IKT;

iii) 

odebrání přístupových práv bez zbytečného odkladu po ukončení pracovního poměru nebo v případě, že přístup již není nutný;

iv) 

aktualizace přístupových práv, pokud je nezbytné provést změny a jinak nejméně jednou ročně u všech systémů IKT, které nepodporují zásadní nebo důležité funkce, a nejméně jednou za šest měsíců u systémů IKT, které podporují zásadní nebo důležité funkce;

f) 

metody ověřování zahrnující všechny tyto prvky:

i) 

používání metod ověřování, které jsou úměrné klasifikaci stanovené v souladu s čl. 8 odst. 1 nařízení (EU) 2022/2554 a celkovému rizikovému profilu aktiv v oblasti IKT a zohledňují osvědčené postupy;

ii) 

používání metod silného ověření v souladu s osvědčenými postupy a technikami pro vzdálený přístup do sítě finančního subjektu, pro privilegovaný přístup, pro přístup k aktivům v oblasti IKT podporujícím zásadní nebo důležité funkce nebo k veřejně přístupným aktivům v oblasti IKT;

g) 

opatření pro řízení fyzického přístupu zahrnující:

i) 

identifikaci a protokolování fyzických osob, které jsou oprávněny k přístupu do prostor, datových center a určených citlivých oblastí vymezených finančním subjektem, kde se nacházejí aktiva v oblasti IKT a informační aktiva;

ii) 

udělování fyzických přístupových práv ke kritickým aktivům v oblasti IKT pouze oprávněným osobám v souladu se zásadou „potřeba znát“ a zásadou minimálních práv a v režimu ad hoc;

iii) 

monitorování fyzického přístupu do prostor, datových center a určených citlivých oblastí vymezených finančním subjektem, kde se nacházejí aktiva v oblasti IKT nebo informační aktiva nebo obojí;

iv) 

přezkum fyzických přístupových práv s cílem zajistit, aby byla nepotřebná přístupová práva neprodleně odebrána.

Pro účely písm. e) bodu i) stanoví finanční subjekty dobu uchovávání s přihlédnutím k obchodním cílům a cílům v oblasti bezpečnosti informací, důvodům pro zaznamenání události do protokolů a výsledkům posouzení rizik v oblasti IKT.

Pro účely písm. e) bodu ii) používají finanční subjekty pro provádění administrativních úkolů v systémech IKT pokud možno vyhrazené účty. Je-li to proveditelné a vhodné, zavedou finanční subjekty pro řízení privilegovaného přístupu automatizovaná řešení.

Pro účely písm. g) bodu i) musí být identifikace a protokolování úměrné významu prostor, datových center, určených citlivých oblastí a významu operací nebo systémů IKT, které se v nich nacházejí.

Pro účely písm. g) bodu iii) musí být monitorování úměrné klasifikaci stanovené v souladu s čl. 8 odst. 1 nařízení (EU) 2022/2554 a významu oblasti, do níž je poskytnut přístup.
EULAW Článek 18 1.
V rámci ochranných opatření pro zachování dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů finanční subjekty stanoví, zdokumentují a zavedou politiku fyzické a environmentální bezpečnosti. Finanční subjekty vypracují tuto politiku s ohledem na prostředí kybernetických hrozeb, v souladu s klasifikací stanovenou podle čl. 8 odst. 1 nařízení (EU) 2022/2554 a s ohledem na celkový rizikový profil aktiv v oblasti IKT a přístupných informačních aktiv.
EULAW Článek 18 2.

Politika fyzické a environmentální bezpečnosti uvedená v odstavci 1 zahrnuje všechny tyto prvky:

a) 

odkaz na oddíl politiky týkající se kontroly správy přístupových práv podle čl. 21 prvního pododstavce písm. g);

b) 

opatření na ochranu prostor, datových center finančního subjektu a určených citlivých oblastí vymezených finančním subjektem, v nichž se nacházejí aktiva v oblasti IKT a informační aktiva, před útoky, nehodami a environmentálními hrozbami a nebezpečími;

c) 

opatření k zabezpečení aktiv v oblasti IKT, a to jak v prostorách finančního subjektu, tak mimo ně, s přihlédnutím k výsledkům posouzení rizik v oblasti IKT týkajících se příslušných aktiv v oblasti IKT;

d) 

opatření k zajištění dostupnosti, hodnověrnosti, integrity a důvěrnosti aktiv v oblasti IKT, informačních aktiv a zařízení pro kontrolu fyzického přístupu finančního subjektu prostřednictvím odpovídající údržby;

e) 

opatření k zachování dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů, včetně:

i) 

politiky „čistého stolu“ pro tištěné dokumenty;

ii) 

politiky „prázdné obrazovky“ u zařízení na zpracování informací.

Pro účely písmene b) musí být opatření na ochranu před environmentálními hrozbami a nebezpečími úměrná významu prostor, datových center a určených citlivých oblastí a významu operací nebo systémů IKT, které se v nich nacházejí.

Pro účely písmene c) musí politika fyzické a environmentální bezpečnosti uvedená v odstavci 1 zahrnovat opatření k zajištění vhodné ochrany aktiv v oblasti IKT, která jsou bez obsluhy.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.