+Physical and Environmental Security
|
Physical and Environmental Security
Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.
1. Resumen
1.1 Referencias
1.2 Requisitos identificados
1.3 Regulaciones relacionadas
2. Requisitos identificados
Requisitos
| Fuente |
Requisito |
3. Regulaciones relacionadas
Regulaciones
| Fuente |
Regulación |
|
EULAW
|
Artículo 21 Control de acceso
Artículo 21
Dentro de su control de los derechos de gestión de accesos, las entidades financieras elaborarán, documentarán y aplicarán una política que incluya todos los aspectos siguientes:
a)
la asignación de derechos de acceso a los activos de TIC sobre la base de los principios de «necesidad de conocer», «necesidad de uso» y «mínimo privilegio», también para el acceso a distancia y de emergencia;
b)
la separación de funciones con el fin de impedir el acceso injustificado a datos esenciales o la asignación de combinaciones de derechos de acceso que puedan utilizarse para eludir los controles;
c)
una disposición sobre responsabilidad de los usuarios que limite en la medida de lo posible el uso de cuentas de usuario genéricas y compartidas y garantice que, en todo momento, los usuarios sean identificables cuando realicen acciones en los sistemas de TIC;
d)
una disposición sobre las restricciones de acceso a los activos de TIC que establezca controles y herramientas para impedir el acceso no autorizado;
e)
procedimientos de gestión de cuentas para la concesión, modificación o revocación de derechos de acceso en relación con las cuentas de usuario y las cuentas genéricas, incluidas las cuentas de administrador genéricas, que incluyan disposiciones sobre todos los aspectos siguientes:
i)
asignación de funciones y responsabilidades para la concesión, revisión y revocación de los derechos de acceso,
ii)
asignación de acceso privilegiado, de emergencia y de administrador sobre la base del principio de «necesidad de uso» o con carácter ad hoc para todos los sistemas de TIC,
iii)
retirada de los derechos de acceso sin demora indebida al término de la relación laboral o cuando el acceso ya no sea necesario,
iv)
actualización de los derechos de acceso cuando se requiera introducir cambios y al menos una vez al año para todos los sistemas de TIC que no sustenten funciones esenciales o importantes y al menos cada seis meses para los sistemas de TIC que sustenten funciones esenciales o importantes;
f)
métodos de autenticación, incluidos todos los aspectos siguientes:
i)
el uso de métodos de autenticación que sean acordes con la clasificación establecida de conformidad con el artículo 8, apartado 1, del Reglamento (UE) 2022/2554 y con el perfil de riesgo general de los activos de TIC, y que tengan en cuenta las prácticas punteras,
ii)
el uso de métodos de autenticación sólidos de conformidad con las prácticas y técnicas punteras para el acceso a distancia a la red de la entidad financiera, el acceso privilegiado y el acceso a los activos de TIC que sustenten funciones esenciales o importantes o a los activos de TIC que sean de acceso público;
g)
medidas de control del acceso físico que incluyan lo siguiente:
i)
la identificación y el registro de las personas físicas autorizadas a acceder a los locales, los centros de datos y las zonas sensibles designadas determinadas por la entidad financiera en los que se encuentren los activos de TIC y de información,
ii)
la concesión de derechos de acceso físico a los activos de TIC esenciales únicamente a las personas autorizadas, de conformidad con los principios de «necesidad de conocer» y «mínimo privilegio» y con carácter ad hoc,
iii)
el seguimiento del acceso físico a los locales, los centros de datos y las zonas sensibles designadas determinadas por la entidad financiera en los que se encuentren los activos de TIC, los activos de información o ambos,
iv)
la revisión de los derechos de acceso físico para garantizar la rápida revocación de los derechos que no sean necesarios.
A efectos de la letra e), inciso i), las entidades financieras establecerán el período de conservación teniendo en cuenta los objetivos empresariales y de seguridad de la información, los motivos por los que se consigna el hecho de que se trate en los registros y los resultados de la evaluación del riesgo relacionado con las TIC.
A efectos de la letra e), inciso ii), las entidades financieras utilizarán, en la medida de lo posible, cuentas específicas para la realización de tareas administrativas en los sistemas de TIC. Cuando sea factible y adecuado, las entidades financieras implementarán soluciones automatizadas para la gestión del acceso privilegiado.
A efectos de la letra g), inciso i), la identificación y el registro serán acordes con la importancia de los locales, los centros de datos y las zonas sensibles designadas y con el carácter esencial de las operaciones que se realicen en ellos o los sistemas de TIC que se encuentren en ellos.
A efectos de la letra g), inciso iii), el seguimiento será acorde con la clasificación establecida de conformidad con el artículo 8, apartado 1, del Reglamento (UE) 2022/2554 y con el carácter esencial de la zona a la que se acceda.
|
|
EULAW
|
Artículo 18 1.
Dentro de las salvaguardias para preservar la disponibilidad, autenticidad, integridad y confidencialidad de los datos, las entidades financieras especificarán, documentarán y aplicarán una política de seguridad física y del entorno. Las entidades financieras diseñarán dicha política a la luz del panorama de las ciberamenazas, teniendo en cuenta la clasificación establecida de conformidad con el artículo 8, apartado 1, del Reglamento (UE) 2022/2554, y a la luz del perfil de riesgo general de los activos de TIC y los activos de información accesibles.
|
|
EULAW
|
Artículo 18 2.
La política de seguridad física y del entorno a que se refiere el apartado 1 contendrá todos los aspectos siguientes:
a)
una referencia a la parte de la política sobre el control de los derechos de gestión de accesos a que se refiere el artículo 21, apartado 1, letra g);
b)
medidas para proteger contra ataques, accidentes y amenazas y peligros naturales los locales, los centros de datos de la entidad financiera y las zonas sensibles designadas determinadas por la entidad financiera en las que se encuentren los activos de TIC y los activos de información;
c)
medidas para proteger los activos de TIC, tanto dentro como fuera de los locales de la entidad financiera, teniendo en cuenta los resultados de la evaluación del riesgo relacionado con las TIC respecto de los activos de TIC pertinentes;
d)
medidas para garantizar la disponibilidad, autenticidad, integridad y confidencialidad de los activos de TIC, los activos de información y los dispositivos de control del acceso físico de la entidad financiera mediante el mantenimiento adecuado;
e)
medidas para preservar la disponibilidad, autenticidad, integridad y confidencialidad de los datos, en particular:
i)
una política de mesas limpias para los documentos,
ii)
una política de pantallas limpias para las instalaciones de tratamiento de información.
A efectos de la letra b), las medidas de protección contra las amenazas y peligros medioambientales serán acordes con la importancia de los locales, los centros de datos y las zonas sensibles designadas y con el carácter esencial de las operaciones que se realicen en ellos o los sistemas de TIC que se encuentren en ellos. A efectos de la letra c), la política de seguridad física y del entorno a que se refiere el apartado 1 incluirá medidas que garanticen una protección adecuada de los activos de TIC no vigilados.
|
- NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.
DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.
|