+Physical and Environmental Security

Physical and Environmental Security

Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Réglementations associées

2. Exigences identifiées

Exigences

3. Réglementations associées

Réglementations
EULAW Article 21 Contrôle d’accès

Article 21

Contrôle d’accès

Dans le cadre de leur contrôle des droits de gestion des accès, les entités financières élaborent, documentent et mettent en œuvre une politique qui comporte l’ensemble des éléments suivants:

a) 

l’attribution de droits d’accès aux actifs de TIC selon les principes du besoin d’en connaître, du besoin d’en disposer et du moindre privilège, y compris pour l’accès à distance et l’accès d’urgence;

b) 

une séparation des tâches visant à empêcher un accès injustifié à des données critiques ou à empêcher l’attribution de combinaisons de droits d’accès susceptibles d’être utilisées pour contourner les contrôles;

c) 

des dispositions sur la responsabilité des utilisateurs, en limitant, dans la mesure du possible, l’utilisation de comptes utilisateurs génériques ou partagés et en veillant à ce que les utilisateurs soient à tout moment identifiables pour les actions effectuées dans les systèmes de TIC;

d) 

des dispositions sur les restrictions d’accès aux actifs de TIC, prévoyant des contrôles et des outils pour empêcher tout accès non autorisé;

e) 

des procédures de gestion de comptes permettant d’accorder, de modifier ou de révoquer des droits d’accès pour les comptes d’utilisateurs et les comptes génériques, y compris les comptes génériques d’administrateur, comportant des dispositions relatives à tous les éléments suivants:

i) 

l’attribution des rôles et des responsabilités pour l’octroi, le réexamen et la révocation des droits d’accès;

ii) 

l’attribution d’accès privilégiés, d’urgence et d’administrateur uniquement sur la base du besoin d’en disposer ou au cas par cas pour tous les systèmes de TIC;

iii) 

le retrait des droits d’accès sans retard injustifié à la fin de l’emploi ou lorsque l’accès n’est plus nécessaire;

iv) 

la mise à jour des droits d’accès lorsque des modifications sont nécessaires et au moins une fois par an pour tous les systèmes de TIC autres que les systèmes de TIC qui soutiennent des fonctions critiques ou importantes et au moins tous les six mois pour les systèmes de TIC qui soutiennent des fonctions critiques ou importantes;

f) 

des méthodes d’authentification, comprenant l’ensemble des éléments suivants:

i) 

l’utilisation de méthodes d’authentification proportionnées à la classification établie conformément à l’article 8, paragraphe 1, du règlement (UE) 2022/2554 et au profil de risque global des actifs de TIC et tenant compte des pratiques de pointe;

ii) 

l’utilisation de méthodes d’authentification forte conformément aux pratiques et techniques de pointe pour l’accès à distance au réseau de l’entité financière, pour les accès privilégiés, pour l’accès aux actifs de TIC soutenant des fonctions critiques ou importantes ou aux actifs de TIC accessibles au public;

g) 

des mesures de contrôle de l’accès physique comprenant:

i) 

l’identification et la journalisation des personnes physiques autorisées à accéder aux locaux, aux centres de données et aux zones sensibles désignées par l’entité financière où sont situés les actifs de TIC et les actifs informationnels;

ii) 

l’octroi de droits d’accès physique aux actifs de TIC critiques uniquement aux personnes autorisées, conformément aux principes du besoin d’en connaître et du moindre privilège, et au cas par cas;

iii) 

le suivi de l’accès physique aux locaux, aux centres de données et aux zones sensibles désignées par l’entité financière où sont situés les actifs de TIC, les actifs informationnels ou les deux types d’actifs;

iv) 

le réexamen des droits d’accès physique afin de veiller à ce que les droits d’accès inutiles soient rapidement révoqués.

Aux fins du point e) i), les entités financières définissent la durée de conservation en prenant en considération les objectifs en matière de sécurité des activités et de l’information, les raisons de l’enregistrement de l’événement dans les journaux et les résultats de l’évaluation du risque lié aux TIC.

Aux fins du point e) ii), les entités financières utilisent, dans la mesure du possible, des comptes spécifiques pour l’exécution de tâches administratives relatives aux systèmes de TIC. Lorsque cela est possible et approprié, les entités financières déploient des solutions automatisées pour la gestion des accès privilégiés.

Aux fins du point g) i), l’identification et la journalisation sont proportionnées à l’importance des locaux, des centres de données et des zones sensibles désignées et à la criticité des opérations ou des systèmes de TIC qui y sont situés.

Aux fins du point g) iii), le suivi est proportionné à la classification établie conformément à l’article 8, paragraphe 1, du règlement (UE) 2022/2554 et à la criticité de la zone accessible.
EULAW Article 18 1.
Dans le cadre des garanties visant à préserver la disponibilité, l’authenticité, l’intégrité et la confidentialité des données, les entités financières précisent, documentent et mettent en œuvre une politique de sécurité physique et environnementale. Les entités financières conçoivent cette politique à la lumière de l’éventail des cybermenaces, conformément à la classification établie en application de l’article 8, paragraphe 1, du règlement (UE) 2022/2554, et à la lumière du profil de risque global des actifs de TIC et des actifs informationnels accessibles.
EULAW Article 18 2.

La politique de sécurité physique et environnementale visée au paragraphe 1 comporte l’ensemble des éléments suivants:

a) 

une référence à la section de la politique relative au contrôle des droits de gestion des accès visé à l’article 21, premier alinéa, point g);

b) 

des mesures de protection des locaux, des centres de données de l’entité financière et des zones sensibles désignées par l’entité financière, où se trouvent les actifs de TIC et les actifs informationnels, contre les attaques, les accidents et les menaces et dangers environnementaux;

c) 

des mesures visant à sécuriser les actifs de TIC, tant à l’intérieur qu’à l’extérieur des locaux de l’entité financière, en tenant compte des résultats de l’évaluation du risque lié aux TIC portant sur les actifs de TIC concernés;

d) 

des mesures visant à garantir la disponibilité, l’authenticité, l’intégrité et la confidentialité des actifs de TIC, des actifs informationnels et des dispositifs de contrôle de l’accès physique de l’entité financière grâce à une maintenance appropriée;

e) 

des mesures visant à préserver la disponibilité, l’authenticité, l’intégrité et la confidentialité des données, notamment:

i) 

une politique du bureau propre pour les documents;

ii) 

une politique de l’écran vide pour les installations de traitement de l’information.

Aux fins du point b), les mesures de protection contre les menaces et dangers environnementaux sont proportionnées à l’importance des locaux, des centres de données, des zones sensibles désignées et à la criticité des opérations ou des systèmes de TIC qui y sont situés.

Aux fins du point c), la politique de sécurité physique et environnementale visée au paragraphe 1 comporte des mesures visant à assurer une protection appropriée des actifs de TIC laissés sans surveillance.