+Članak 18. 2.

Članak 18. 2.

Politika fizičke i okolišne sigurnosti iz stavka 1. sadržava sve sljedeće:

(a) 

upućivanje na odjeljak politike o kontroli pravâ upravljanja pristupom iz članka 21. prvog stavka točke (g);

(b) 

mjere za zaštitu prostora i podatkovnih centara financijskog subjekta te područja koje je financijski subjekt odredio kao osjetljiva, a u kojima se nalazi IKT imovina i informacijska imovina, od napada, nesreća te okolišnih opasnosti i prijetnji;

(c) 

mjere za zaštitu IKT imovine unutar i izvan prostora financijskog subjekta, pri čemu se uzimaju u obzir rezultati procjene IKT rizika za relevantnu IKT imovinu;

(d) 

mjere za osiguranje dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti IKT imovine, informacijske imovine i uređaja za kontrolu fizičkog pristupa financijskog subjekta na temelju odgovarajućeg održavanja;

(e) 

mjere za očuvanje dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka, uključujući:

i. 

politiku praznog stola za papire;

ii. 

politiku praznog zaslona za prostore u kojima se obrađuju podaci.

Za potrebe točke (b) mjere za zaštitu od okolišnih opasnosti i prijetnji razmjerne su važnosti prostora, podatkovnih centara, područja određenih kao osjetljivih i ključnosti operacija ili IKT sustava koji se u njima nalaze.

Za potrebe točke (c) politika fizičke i okolišne sigurnosti iz stavka 1. sadržava mjere za odgovarajuću zaštitu IKT imovine koja se ostavlja bez nadzora.

1. Pregled

,

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani standardi

Standardi
NOREA Physical and Environmental Security
Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.