+Physical and Environmental Security

Physical and Environmental Security

Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.

1. Yleiskatsaus

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät säädökset

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät säädökset

Säädökset
EULAW 21 artikla Pääsynvalvonta

21 artikla

Pääsynvalvonta

Finanssiyhteisöjen on osana pääsynhallintaoikeuksien valvontaa laadittava, dokumentoitava ja otettava käyttöön toimintaperiaatteet, jotka sisältävät kaikki seuraavat:

a) 

käyttöoikeuksien myöntäminen TVT-omaisuuteen tiedonsaantitarpeen, käyttötarpeen ja vähäisimpien oikeuksien periaatteiden mukaisesti, mukaan lukien etäkäyttöoikeudet ja hätätilanteen käyttöoikeudet;

b) 

tehtävien eriyttäminen, jonka tarkoituksena on estää perusteeton pääsy kriittisiin tietoihin tai estää sellaisten käyttöoikeuksien yhdistelmien myöntäminen, joita voidaan käyttää valvonnan kiertämiseen;

c) 

käyttäjien vastuuvelvollisuutta koskeva määräys, jossa rajoitetaan mahdollisuuksien mukaan yleisten ja yhteiskäyttöisten käyttäjätilien käyttöä ja varmistetaan, että käyttäjät voidaan aina tunnistaa TVT-järjestelmissä tapahtuvan toiminnan osalta;

d) 

TVT-omaisuuteen pääsyn rajoittamista koskeva määräys, jossa vahvistetaan valvontatoimet ja välineet luvattoman käytön estämiseksi;

e) 

tilinhallintamenettelyt käyttäjätilien ja yleisten tilien, mukaan lukien yleisten pääkäyttäjätilien, käyttöoikeuksien myöntämiseksi, muuttamiseksi tai peruuttamiseksi, mukaan lukien määräykset kaikista seuraavista:

i) 

käyttöoikeuksien myöntämistä, tarkistamista ja peruuttamista koskevien tehtävien ja vastuiden osoittaminen;

ii) 

erityis-, hätätilanne- ja järjestelmävastaavan oikeuksien myöntäminen kaikkiin TVT-järjestelmiin käyttötarpeen perusteella tai tapauskohtaisesti;

iii) 

käyttöoikeuksien peruuttaminen ilman aiheetonta viivytystä työsuhteen päättyessä tai silloin, kun käyttöoikeudet eivät ole enää tarpeen;

iv) 

käyttöoikeuksien päivittäminen, kun muutokset ovat tarpeen, ja vähintään kerran vuodessa kaikkien muiden kuin kriittisiä tai tärkeitä toimintoja koskevien TVT-järjestelmien osalta ja vähintään kuuden kuukauden välein kriittisiä tai tärkeitä toimintoja tukevien TVT-järjestelmien osalta;

f) 

todentamismenetelmät, mukaan lukien kaikki seuraavat:

i) 

sellaisten todentamismenetelmien käyttö, jotka ovat oikeassa suhteessa asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistettuun luokitteluun ja TVT-omaisuuden yleiseen riskiprofiiliin ja ottaen huomioon johtavat käytännöt;

ii) 

sellaisten vahvojen tunnistusmenetelmien käyttö, johtavien käytäntöjen ja tekniikoiden mukaisesti, jotka koskevat pääsyä finanssiyhteisön verkkoon etäyhteydellä, erityisoikeutettua pääsyä, pääsyä kriittisiä tai tärkeitä toimintoja tukevaan TVT-omaisuuteen tai julkisesti saatavilla olevan TVT-omaisuuden käyttöoikeutta;

g) 

fyysiset pääsynvalvontatoimenpiteet, mukaan lukien seuraavat:

i) 

sellaisten luonnollisten henkilöiden tunnistaminen ja kirjaaminen, joilla on lupa päästä tiloihin, datakeskuksiin ja finanssiyhteisön nimeämille arkaluonteisille alueille, joissa TVT- ja tieto-omaisuus sijaitsee;

ii) 

fyysisten käyttöoikeuksien myöntäminen kriittiseen TVT-omaisuuteen ainoastaan valtuutetuille henkilöille tiedonsaantitarpeen ja vähäisimpien oikeuksien periaatteiden mukaisesti ja tapauskohtaisesti;

iii) 

fyysinen pääsynvalvonta tiloissa, datakeskuksissa ja finanssiyhteisön nimeämillä arkaluonteisilla alueilla, joissa TVT- ja tieto-omaisuus sijaitsee;

iv) 

fyysisten käyttöoikeuksien tarkistaminen sen varmistamiseksi, että tarpeettomat käyttöoikeudet peruutetaan viipymättä.

Sovellettaessa e alakohdan i alakohtaa finanssiyhteisöjen on vahvistettava säilytysaika ottaen huomioon liiketoiminta- ja tietoturvatavoitteet, syy tapahtuman kirjaamiseen lokitietoihin sekä TVT-riskinarvioinnin tulokset.

Sovellettaessa e alakohdan ii alakohtaa finanssiyhteisöjen on mahdollisuuksien mukaan käytettävä tarkoitukseen varattuja tilejä TVT-järjestelmiä koskevien hallinnollisten tehtävien suorittamiseen. Finanssiyhteisöjen on mahdollisuuksien mukaan ja tarvittaessa otettava käyttöön automatisoituja ratkaisuja erityisoikeuksien hallintaa varten.

Sovellettaessa g alakohdan i alakohtaa määrittämisen ja kirjaamisen on oltava oikeassa suhteessa tilojen, datakeskusten ja nimettyjen arkaluonteisten alueiden merkitykseen sekä niissä sijaitsevien toimintojen tai TVT-järjestelmien kriittisyyteen.

Sovellettaessa g alakohdan iii alakohtaa valvonnan on oltava oikeassa suhteessa asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistettuun luokitteluun ja pääsyn kohteena olevan alueen kriittisyyteen.
EULAW 18 artikla 1.
Finanssiyhteisöjen on osana suojatoimia, joilla säilytetään tietojen saatavuus, aitous, eheys ja luottamuksellisuus, määritettävä, dokumentoitava ja otettava käyttöön fyysisen turvallisuuden ja ympäristön turvallisuuden toimintaperiaatteet. Finanssiyhteisöjen on suunniteltava kyseiset toimintaperiaatteet kyberuhkaympäristön perusteella, asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistetun luokittelun mukaisesti ja ottaen huomioon TVT-omaisuuden ja pääsyn kohteena olevan tieto-omaisuuden yleinen riskiprofiili.
EULAW 18 artikla 2.

Edellä 1 kohdassa tarkoitettujen fyysisen turvallisuuden ja ympäristön turvallisuuden toimintaperiaatteiden on sisällettävä kaikki seuraavat:

a) 

viittaus 21 artiklan ensimmäisen kohdan g alakohdassa tarkoitettujen käyttöoikeuksien valvontaa koskevien toimintaperiaatteiden osaan;

b) 

toimenpiteet, joilla finanssiyhteisön tiloja, datakeskuksia ja finanssiyhteisön määrittämiä arkaluonteisia alueita, joissa TVT-omaisuus ja tieto-omaisuus sijaitsevat, suojataan hyökkäyksiltä, onnettomuuksilta sekä ympäristöuhkilta ja -vaaroilta;

c) 

toimenpiteet, joilla turvataan TVT-omaisuus sekä finanssiyhteisön tiloissa että niiden ulkopuolella ottaen huomioon asianomaiseen TVT-omaisuuteen liittyvän TVT-riskinarvioinnin tulokset;

d) 

toimenpiteet, joilla varmistetaan finanssiyhteisön TVT-omaisuuden, tieto-omaisuuden ja fyysisten pääsynvalvontalaitteiden käytettävyys, aitous, eheys ja luottamuksellisuus asianmukaisen ylläpidon avulla;

e) 

toimenpiteet, joilla säilytetään tietojen saatavuus, aitous, eheys ja luottamuksellisuus, mukaan lukien

i) 

puhtaan työpöydän käytäntö papereille;

ii) 

puhtaan näytön käytäntö tietojenkäsittelylaitteille.

Sovellettaessa b alakohtaa ympäristöuhkilta ja -vaaroilta suojautumistoimenpiteiden on oltava oikeassa suhteessa tilojen, datakeskusten ja nimettyjen arkaluonteisten alueiden merkitykseen sekä niissä sijaitsevien toimintojen tai TVT-järjestelmien kriittisyyteen.

Kun sovelletaan c alakohtaa, 1 kohdassa tarkoitettuihin fyysisen turvallisuuden ja ympäristön turvallisuuden toimintaperiaatteisiin on sisällyttävä toimenpiteitä, joilla suojataan valvomaton TVT-omaisuus asianmukaisesti.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.