+Physical and Environmental Security

Physical and Environmental Security

Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.

1. Oversigt

Titel	Standard

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav
Kilde	Krav

3. Relaterede reguleringer

Reguleringer
Kilde	Regulering
EULAW	Artikel 21 Adgangskontrol Artikel 21 Adgangskontrol Som led i deres kontrol med rettigheder vedrørende adgangsforvaltning udvikler, dokumenterer og gennemfører finansielle enheder en politik, der indeholder alt følgende: a) tildeling af adgangsrettigheder til IKT-aktiver på grundlag af need to know-princippet, need to use-princippet og least privilege-princippet, herunder fjernadgang og adgang i hastetilfælde b) adskillelse af opgaver, der er udformet med henblik på at forhindre uberettiget adgang til kritiske data eller forhindre tildeling af kombinationer af adgangsrettigheder, der kan anvendes til at omgå kontroller c) en bestemmelse om brugeransvar, idet brugen af generiske og delte brugerkonti begrænses så vidt muligt og det sikres, at brugerne til enhver tid kan identificeres med hensyn til de handlinger, der udføres i IKT-systemerne d) en bestemmelse om begrænsning af adgangen til IKT-aktiver, der fastsætter kontrolforanstaltninger og værktøjer, som skal forhindre uautoriseret adgang e) procedurer for kontoforvaltning med henblik på tildeling, ændring eller tilbagekaldelse af adgangsrettigheder for brugerkonti og generiske konti, herunder generiske administratorkonti, som omfatter bestemmelser om alt følgende: i) tildeling af roller og ansvarsområder for tildeling, gennemgang og tilbagekaldelse af adgangsrettigheder ii) tildeling af privilegeret adgang, hasteadgang og administratoradgang på need to know-basis eller ad hoc-basis for alle IKT-systemer iii) øjeblikkelig inddragelse af adgangsretten ved ansættelsesforholdets ophør, eller når adgangen ikke længere er nødvendig iv) ajourføring af adgangsrettigheder, når ændringer er nødvendige, og mindst en gang om året for alle IKT-systemer, bortset fra IKT-systemer, der understøtter kritiske eller vigtige funktioner, og mindst hver sjette måned for IKT-systemer, der understøtter kritiske eller vigtige funktioner. f) autentificeringsmetoder, herunder alle følgende: i) anvendelse af autentificeringsmetoder, der svarer til den klassificering, der er fastsat i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554, og til IKT-aktivernes overordnede risikoprofil og under hensyntagen til førende praksis ii) anvendelse af stærke autentificeringsmetoder i overensstemmelse med førende praksis og teknikker vedrørende fjernadgang til den finansielle enheds netværk, privilegeret adgang, adgang til IKT-aktiver, der understøtter kritiske eller vigtige funktioner, eller IKT-aktiver, der er offentligt tilgængelige g) foranstaltninger til fysisk adgangskontrol, herunder: i) identificering og logføring af fysiske personer, der har tilladelse til at få adgang til lokaler, datacentre og sensitive udpegede områder, som er angivet af den finansielle enhed, og hvor der ligger IKT-aktiver og informationsaktiver ii) tildeling af fysiske adgangsrettigheder til kritiske IKT-aktiver udelukkende til autoriserede personer i overensstemmelse med need to know-princippet og least privilege-princippet og på ad hoc-basis iii) overvågning af fysisk adgang til lokaler, datacentre og sensitive udpegede områder, som er angivet af den finansielle enhed, og hvor der både ligger IKT-aktiver og informationsaktiver iv) gennemgang af fysiske adgangsrettigheder for at sikre, at unødvendige adgangsrettigheder straks tilbagekaldes. Med henblik på litra e), nr. i), fastsætter finansielle enheder opbevaringsperioden, idet de tager hensyn til forretnings- og informationssikkerhedsmålene, årsagerne til registreringen af hændelsen i logfilerne og resultaterne af IKT-risikovurderingen. Med henblik på litra e), nr. ii), anvender finansielle enheder, når det er muligt, særlige konti til varetagelse af administrative opgaver vedrørende IKT-systemer. Hvis det er muligt og hensigtsmæssigt, anvender finansielle enheder automatiserede løsninger til forvaltning af privilegeret adgang. Med henblik på litra g), nr. i), skal identifikationen og logføringen stå i rimeligt forhold til betydningen af lokalerne, datacentrene, de sensitive udpegede områder og den kritiske betydning af de operationer eller IKT-systemer, der foretages og ligger deri. Med henblik på litra g), nr. iii), skal overvågningen stå i rimeligt forhold til den klassificering, der er fastlagt i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554, og den kritiske betydning af det område, hvortil der opnås adgang.
EULAW	Artikel 18 1. Som led i de sikkerhedsforanstaltninger, der skal bevare tilgængeligheden, autenticiteten, integriteten og fortroligheden af data præciserer, dokumenterer og gennemfører finansielle enheder en politik for fysisk og miljømæssig sikkerhed. Finansielle enheder udformer denne politik på grundlag af cybertrusselsbilledet i overensstemmelse med den klassificering, der er fastsat i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554, og på grundlag af den overordnede risikoprofil for IKT-aktiver og tilgængelige informationsaktiver.
EULAW	Artikel 18 2. Den i stk. 1 omhandlede politik for fysisk og miljømæssig sikkerhed skal indeholde alt følgende: a) en henvisning til den del af politikken for kontrol med rettigheder vedrørende adgangsforvaltning, der er omhandlet i artikel 21, litra g), første afsnit b) foranstaltninger til beskyttelse mod angreb, ulykker og miljøtrusler og -farer, den finansielle enheds lokaler, datacentre og sensitive udpegede områder, som er angivet af den finansielle enhed, og hvor der ligger IKT-aktiver og informationsaktiver c) foranstaltninger til sikring af IKT-aktiver, både i og uden for den finansielle enheds lokaler, idet der tages hensyn til resultaterne af IKT-risikovurderingen af de relevante IKT-aktiver d) foranstaltninger til sikring af tilgængeligheden, autenticiteten, integriteten og fortroligheden af den finansielle enheds IKT-aktiver, informationsaktiver og fysiske enheder til adgangskontrol ved hjælp af passende vedligeholdelse e) foranstaltninger til sikring af tilgængeligheden, autenticiteten, integriteten og fortroligheden af data, herunder: i) en klar skrivebordspolitik for dokumenter ii) en klar skærmpolitik for udstyr til informationsbehandling. Med henblik på litra b) skal foranstaltningerne til beskyttelse mod miljøtrusler og -farer stå i rimeligt forhold til betydningen af lokalerne, datacentrene, de sensitive udpegede områder og den kritiske betydning af de operationer eller IKT-systemer, der foretages og ligger deri. Med henblik på litra c) skal politikken for fysisk og miljømæssig sikkerhed, der er omhandlet i stk. 1, indeholde foranstaltninger, som skal sikre passende beskyttelse af ikkeovervågede IKT-aktiver.

NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.