+Physical and Environmental Security

Physical and Environmental Security

Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud regulatsioonid

2. Tuvastatud nõuded

Nõuded

3. Seotud regulatsioonid

Regulatsioonid
EULAW Artikkel 21 Pääsu reguleerimine

Artikkel 21

Pääsu reguleerimine

Finantssektori ettevõtjad töötavad pääsuhalduse õiguste reguleerimise osana välja ja dokumenteerivad põhimõtted, mis peavad hõlmama kõike järgmist, ning rakendavad neid:

a) 

IKT-varadele juurdepääsu õiguste, sealhulgas kaugpääsu ja hädaolukorras pääsu õiguse andmine, lähtudes teadmisvajadusest, kasutusvajadusest ja minimaalõiguste printsiibist;

b) 

ülesannete lahusus, et ära hoida põhjendamatu juurdepääs kriitilise tähtsusega andmetele või sellise pääsuõiguste kombinatsiooni tekkimine, mida võidakse kasutada kontrollist kõrvalehoidmiseks;

c) 

säte kasutaja vastutuse kohta, millega piiratakse nii palju kui võimalik üldkontode ja jagatud kasutajakontode kasutamist ning tagatakse, et kasutajad on IKT-süsteemides tehtavate toimingute puhul alati tuvastatavad;

d) 

säte IKT-varadele juurdepääsu piiramise kohta, millega nähakse ette kontrollid ja vahendid loata juurdepääsu ärahoidmiseks;

e) 

kontohaldusmenetlused kasutaja- ja üldkontode, kaasa arvatud üldiste administraatorikontode pääsuõiguste andmiseks, muutmiseks või tühistamiseks, sealhulgas sätted kõige järgmise kohta:

i) 

rollide ja vastutusvaldkondade määramine pääsuõiguste andmiseks, läbivaatamiseks ja tühistamiseks,

ii) 

kõikidele IKT-süsteemidele eelis-, hädaolukorras või administraatori pääsu andmine kasutusvajaduse korral või vajaduspõhiselt,

iii) 

pääsuõiguste tühistamine põhjendamatu viivituseta, kui töösuhe lõpeb või kui pääs ei ole enam vajalik,

iv) 

pääsuõiguste ajakohastamine, kui on vaja teha muudatusi, ning kriitilise tähtsusega või olulisi funktsioone toetavate IKT-süsteemide puhul vähemalt kord kuue kuu jooksul ning kõigi muude IKT-süsteemide puhul vähemalt kord aastas;

f) 

autentimismeetodid, sealhulgas kõik järgmine:

i) 

autentimismeetodite kasutamine viisil, mis on vastavuses määruse (EL) 2022/2554 artikli 8 lõike 1 kohase liigitusega ja IKT-varade üldise riskiprofiiliga, ning võttes arvesse juhtivaid tavasid,

ii) 

tugevate autentimismeetodite kasutamine finantssektori ettevõtja võrgule kaugpääsu, eelispääsu, kriitilise tähtsusega või olulisi funktsioone toetavatele IKT-varadele juurdepääsu või üldsusele kättesaadavatele IKT-varadele juurdepääsu andmisel kooskõlas juhtivate tavade ja meetoditega;

g) 

füüsilise pääsu reguleerimise meetmed, sealhulgas

i) 

selliste füüsiliste isikute identifitseerimine ja nende toimingute logimine, kellel on õigus siseneda finantssektori ettevõtja ruumidesse ja andmekeskustesse ning finantssektori ettevõtja kindlaks määratud tundlikele aladele, kus asuvad IKT- ja teabevarad,

ii) 

kriitilise tähtsusega IKT-varade puhul füüsilise pääsu õiguse andmine üksnes volitatud isikutele kooskõlas teadmisvajaduse ja minimaalõiguste printsiibiga ning vajaduspõhiselt,

iii) 

finantssektori ettevõtja ruumidesse ja andmekeskustesse ning finantssektori ettevõtja kindlaks määratud tundlikele aladele, kus asuvad IKT- ja teabevarad, füüsilise pääsu seire,

iv) 

füüsilise pääsu õiguste läbivaatamine, et tagada tarbetute pääsuõiguste viivitamatu tühistamine.

Punkti e alapunkti i kohaldamisel määravad finantssektori ettevõtjad kindlaks säilitamistähtaja, võttes arvesse äri- ja infoturbe eesmärke, sündmuse logis registreerimise põhjust ja IKT-riski hindamise tulemusi.

Punkti e alapunkti ii kohaldamisel kasutavad finantssektori ettevõtjad IKT-süsteemidega seotud haldusülesannete täitmiseks võimaluse korral spetsiaalseid kontosid. Kui see on teostatav ja asjakohane, võtavad finantssektori ettevõtjad eelispääsu haldamiseks kasutusele automatiseeritud lahendused.

Punkti g alapunkti i kohaldamisel peavad identifitseerimine ja logimine olema vastavuses ruumide, andmekeskuste ja kindlaksmääratud tundlike alade ning seal tehtavate toimingute või asuvate IKT-süsteemide kriitilise tähtsusega.

Punkti g alapunkti iii kohaldamisel peab seire olema vastavuses määruse (EL) 2022/2554 artikli 8 lõike 1 kohase liigitusega ja juurdepääsetava ala kriitilise tähtsusega.
EULAW Artikkel 18 1.
Finantssektori ettevõtjad määravad andmete kättesaadavuse, autentsuse, tervikluse ja konfidentsiaalsuse säilitamiseks kehtestatavate kaitsemeetmete osana kindlaks ja dokumenteerivad füüsilise ja keskkonnaturbe põhimõtted ning rakendavad neid. Finantssektori ettevõtjad võtavad nende põhimõtete väljatöötamisel arvesse küberohtude maastikku, määruse (EL) 2022/2554 artikli 8 lõike 1 kohast liigitust, IKT-varade üldist riskiprofiili ja juurdepääsetavaid teabevarasid.
EULAW Artikkel 18 2.

Lõikes 1 osutatud füüsilise ja keskkonnaturbe põhimõtted peavad hõlmama kõike järgmist:

a) 

viide sellele põhimõtete osale, kus käsitletakse artikli 21 esimese lõigu punktis g osutatud pääsuhalduse õiguste reguleerimist;

b) 

meetmed, millega kaitstakse finantssektori ettevõtja ruume ja andmekeskusi ning finantssektori ettevõtja kindlaks määratud tundlikke alasid, kus asuvad IKT- ja teabevarad, rünnete, õnnetuste ning keskkonnaohtude eest;

c) 

meetmed, millega tagatakse IKT-varade turvalisus nii finantssektori ettevõtja ruumides kui ka neist väljaspool, võttes arvesse asjaomaste IKT-varadega seotud IKT-riski hindamise tulemusi;

d) 

meetmed, millega tagatakse asjakohase hoolduse kaudu finantssektori ettevõtja IKT-varade ja teabevarade ning samuti füüsilise pääsu reguleerimise seadmete kättesaadavus, autentsus, terviklus ja konfidentsiaalsus;

e) 

meetmed, millega säilitatakse andmete kättesaadavus, autentsus, terviklus ja konfidentsiaalsus, sealhulgas

i) 

puhta-laua-põhimõte,

ii) 

tühja-ekraani-põhimõte teabetöötlusseadmete jaoks.

Punkti b kohaldamisel peavad meetmed, mille eesmärk on kaitsta keskkonnaohtude eest, olema vastavuses ruumide, andmekeskuste ja kindlaksmääratud tundlike alade ning seal tehtavate toimingute või asuvate IKT-süsteemide kriitilise tähtsusega.

Punkti c kohaldamisel peavad lõikes 1 osutatud füüsilise ja keskkonnaturbe põhimõtted hõlmama meetmeid, millega tagatakse järelevalveta jäetud IKT-varade asjakohane kaitse.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.