+Physical and Environmental Security

Physical and Environmental Security

Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani propisi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani propisi

Propisi
EULAW Članak 21. Kontrola pristupa

Članak 21.

Kontrola pristupa

Financijski subjekti u sklopu svoje kontrole pravâ upravljanja pristupom izrađuju, dokumentiraju i provode politiku koja sadržava sve sljedeće:

(a) 

dodjelu prava pristupa IKT imovini na temelju načela nužne informiranosti, nužne upotrebe i najmanjih povlastica, među ostalim za daljinski i hitni pristup;

(b) 

razdvajanje dužnosti kako bi se spriječio neopravdani pristup ključnim podacima ili kako bi se spriječila dodjela kombiniranih prava pristupa kojima se mogu zaobići kontrole;

(c) 

odredbu o odgovornosti korisnika, što uključuje maksimalno ograničavanje upotrebe generičkih i dijeljenih korisničkih računa i omogućivanje u svakom trenutku utvrđivanja identiteta korisnika koji u IKT sustavima izvršavaju pojedine aktivnosti;

(d) 

odredbu o ograničenjima pristupa IKT imovini, što uključuje utvrđivanje kontrola i alata za sprečavanje neovlaštenog pristupa;

(e) 

postupke za upravljanje računima kojima se dodjeljuju, mijenjaju ili opozivaju prava pristupa za korisničke i generičke račune, među ostalim generičke administratorske račune, što uključuje odredbu o svemu sljedećem:

i. 

dodjeli uloga i odgovornosti za dodjelu, preispitivanje i opoziv pravâ pristupa;

ii. 

dodjeli povlaštenog, hitnog i administratorskog pristupa na osnovi nužne informiranosti ili na ad hoc osnovi za sve IKT sustave;

iii. 

povlačenju pravâ pristupa bez nepotrebne odgode po prestanku radnog odnosa ili kad pristup više nije nužan;

iv. 

ažuriranju pravâ pristupa ako su potrebne promjene i barem jedanput godišnje za sve IKT sustave, osim IKT sustava kojima se podupiru ključne ili važne funkcije i barem svakih šest mjeseci za IKT sustave kojima se podupiru ključne ili važne funkcije;

(f) 

metode autentifikacije, što uključuje sve sljedeće:

i. 

primjenu metoda autentifikacije koje su razmjerne klasifikaciji utvrđenoj u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554 i ukupnom profilu rizičnosti IKT imovine te uzimajući u obzir vodeće prakse;

ii. 

upotrebu pouzdanih metoda autentifikacije u skladu s vodećim praksama i tehnikama za daljinski pristup mreži financijskog subjekta, za povlašteni pristup, za pristup IKT imovini kojom se podupiru ključne ili važne funkcije ili javno dostupnoj IKT imovini;

(g) 

mjere za kontrolu fizičkog pristupa, što uključuje:

i. 

utvrđivanje identiteta i evidentiranje fizičkih osoba koje su ovlaštene za pristup prostorima, podatkovnim centrima i područjima koje je financijski subjekt odredio kao osjetljiva, a u kojima se nalazi IKT imovina i informacijska imovina;

ii. 

dodjelu pravâ fizičkog pristupa ključnoj IKT imovini isključivo ovlaštenim osobama, u skladu s načelima nužne informiranosti i najmanjih povlastica te na ad hoc osnovi;

iii. 

praćenje fizičkog pristupa prostorima, podatkovnim centrima i područjima koje je financijski subjekt odredio kao osjetljiva, a u kojima se nalaze IKT imovina i informacijska imovina;

iv. 

preispitivanje pravâ fizičkog pristupa kako bi se pravodobno opozvala prava pristupa koja nisu nužna.

Za potrebe točke (e) podtočke i. financijski subjekti utvrđuju razdoblje čuvanja, pri čemu uzimaju u obzir ciljeve u području poslovanja i informacijske sigurnosti, razloge evidentiranja događaja u evidenciji i rezultate procjene IKT rizika.

Za potrebe točke (e) podtočke ii. financijski subjekti, ako je moguće, upotrebljavaju zasebne račune za obavljanje administrativnih zadaća u IKT sustavima. Ako je izvedivo i primjereno, financijski subjekti uvode automatizirana rješenja za upravljanje povlaštenim pristupom.

Za potrebe točke (g) podtočke i. utvrđivanje identiteta i evidentiranje razmjerni su važnosti prostora, podatkovnih centara, područja određenih kao osjetljivih i ključnosti operacija ili IKT sustava koji se u njima nalaze.

Za potrebe točke (g) podtočke iii. praćenje je razmjerno klasifikaciji utvrđenoj u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554 i ključnosti područja kojem se pristupa.
EULAW Članak 18. 1.
Financijski subjekti u sklopu zaštitnih mjera za očuvanje dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka utvrđuju, dokumentiraju i provode politiku fizičke i okolišne sigurnosti. Financijski subjekti tu politiku izrađuju s obzirom na prirodu kiberprijetnji, u skladu s klasifikacijom iz članka 8. stavka 1. Uredbe (EU) 2022/2554 i na temelju ukupnog profila rizičnosti IKT imovine i dostupne informacijske imovine.
EULAW Članak 18. 2.

Politika fizičke i okolišne sigurnosti iz stavka 1. sadržava sve sljedeće:

(a) 

upućivanje na odjeljak politike o kontroli pravâ upravljanja pristupom iz članka 21. prvog stavka točke (g);

(b) 

mjere za zaštitu prostora i podatkovnih centara financijskog subjekta te područja koje je financijski subjekt odredio kao osjetljiva, a u kojima se nalazi IKT imovina i informacijska imovina, od napada, nesreća te okolišnih opasnosti i prijetnji;

(c) 

mjere za zaštitu IKT imovine unutar i izvan prostora financijskog subjekta, pri čemu se uzimaju u obzir rezultati procjene IKT rizika za relevantnu IKT imovinu;

(d) 

mjere za osiguranje dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti IKT imovine, informacijske imovine i uređaja za kontrolu fizičkog pristupa financijskog subjekta na temelju odgovarajućeg održavanja;

(e) 

mjere za očuvanje dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka, uključujući:

i. 

politiku praznog stola za papire;

ii. 

politiku praznog zaslona za prostore u kojima se obrađuju podaci.

Za potrebe točke (b) mjere za zaštitu od okolišnih opasnosti i prijetnji razmjerne su važnosti prostora, podatkovnih centara, područja određenih kao osjetljivih i ključnosti operacija ili IKT sustava koji se u njima nalaze.

Za potrebe točke (c) politika fizičke i okolišne sigurnosti iz stavka 1. sadržava mjere za odgovarajuću zaštitu IKT imovine koja se ostavlja bez nadzora.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.