+Physical and Environmental Security

Physical and Environmental Security

Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.

1. Áttekintés

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabályozások

2. Azonosított követelmények

Követelmények

3. Kapcsolódó szabályozások

Szabályozások
EULAW 21. cikk Hozzáférés-ellenőrzés

21. cikk

Hozzáférés-ellenőrzés

A hozzáférés-kezelési jogosultságok ellenőrzésének részeként a pénzügyi szervezetek a következők mindegyikét tartalmazó szabályzatot dolgoznak ki, dokumentálnak és hajtanak végre:

a) 

az IKT-eszközökhöz való hozzáférési jogosultságok kiosztása a szükséges ismeret elve, a szükséges használat elve és a legkisebb jogosultság elve alapján, beleértve a távoli és vészhelyzeti hozzáférést is;

b) 

a feladatok elkülönítése, amelynek célja a kritikus adatokhoz való indokolatlan hozzáférés megakadályozása és a hozzáférési jogosultságok olyan kombinációi kiosztásának megakadályozása, amelyek felhasználhatók az ellenőrzések megkerülésére;

c) 

a felhasználói elszámoltathatóságról szóló rendelkezés, amely a lehető legnagyobb mértékben korlátozza az általános és közös felhasználói fiókok használatát, és biztosítja, hogy a felhasználók mindenkor azonosíthatók legyenek az IKT-rendszerekben végzett tevékenységek tekintetében;

d) 

az IKT-eszközökhöz való hozzáférés korlátozására vonatkozó rendelkezés, amely meghatározza a jogosulatlan hozzáférés megakadályozását célzó ellenőrzéseket és eszközöket;

e) 

a felhasználói és általános fiókokhoz, köztük az általános rendszergazdai fiókokhoz való hozzáférési jogosultságok megadására, módosítására vagy visszavonására vonatkozó fiókkezelési eljárások, beleértve a következők mindegyikére vonatkozó rendelkezést:

i. 

a hozzáférési jogosultságok megadásával, felülvizsgálatával és visszavonásával kapcsolatos szerep- és felelősségi körök kijelölése

ii. 

a kiemelt, vészhelyzeti és rendszergazdai hozzáférés kiosztása a szükséges használat elve alapján vagy eseti alapon minden IKT-rendszer esetében;

iii. 

a hozzáférési jogosultságok indokolatlan késedelem nélküli visszavonása a munkaviszony megszűnésekor, vagy ha a hozzáférésre már nincs szükség;

iv. 

a hozzáférési jogosultságok aktualizálása, amennyiben módosításra van szükség, illetve a kritikus vagy fontos funkciókat támogató IKT-rendszerektől eltérő valamennyi IKT-rendszer esetében legalább évente egyszer, a kritikus vagy fontos funkciókat támogató IKT-rendszerek esetében pedig legalább hathavonta.

f) 

hitelesítési módszerek, beleértve a következők mindegyikét:

i. 

az (EU) 2022/2554 rendelet 8. cikkének (1) bekezdésével összhangban megállapított osztályozással és az IKT-eszközök általános kockázati profiljával arányos hitelesítési módszerek alkalmazása, figyelembe véve a vezető gyakorlatokat;

ii. 

a vezető gyakorlatokkal és technikákkal összhangban erős hitelesítési módszerek alkalmazása a pénzügyi szervezet hálózatához való távoli hozzáféréshez, a kiemelt hozzáféréshez, a kritikus vagy fontos funkciókat támogató IKT-eszközökhöz vagy a nyilvánosan hozzáférhető IKT-eszközökhöz való hozzáféréshez;

g) 

fizikai hozzáférés-ellenőrzési intézkedések, beleértve a következőket:

i. 

azon természetes személyek azonosítása és naplózása, akik beléphetnek a pénzügyi szervezet IKT-eszközöknek és információs vagyonelemeknek helyet adó telephelyeire és adatközpontjaiba, valamint az IKT-eszközöknek és információs vagyonelemeknek helyet adó, a pénzügyi szervezet által kijelölt érzékeny területekre;

ii. 

a kritikus IKT-eszközökhöz való fizikai hozzáférési jogosultságok biztosítása kizárólag az arra jogosult személyek számára, a szükséges ismeret és a legkisebb jogosultság elvével összhangban, és eseti alapon;

iii. 

a pénzügyi szervezet IKT-eszközöknek és információs vagyonelemeknek helyet adó telephelyeihez és adatközpontjaihoz, valamint az IKT-eszközöknek és információs vagyonelemeknek helyet adó, a pénzügyi szervezet által kijelölt érzékeny területekhez való fizikai hozzáférés nyomon követése;

iv. 

a fizikai hozzáférési jogosultságok felülvizsgálata a szükségtelen hozzáférési jogosultságok haladéktalan visszavonásának biztosítása érdekében.

Az e) pont i. alpontjának alkalmazásában a pénzügyi szervezetek a megőrzési idő meghatározásakor figyelembe veszik az üzleti és információbiztonsági célkitűzéseket, az esemény naplókban való rögzítésének okait és az IKT-kockázatértékelés eredményeit.

Az e) pont ii. alpontjának alkalmazásában a pénzügyi szervezetek lehetőség szerint külön fiókokat használnak az IKT-rendszerekkel kapcsolatos rendszergazdai feladatok ellátásához. Amennyiben megvalósítható és helyénvaló, a pénzügyi szervezetek automatizált megoldásokat alkalmaznak a kiemelt hozzáférések kezelésére.

A g) pont i. alpontjának alkalmazásában a személyazonosításnak és a naplózásnak arányban kell állnia a telephelyek, adatközpontok és kijelölt érzékeny területek fontosságával, valamint az ott végzett műveletek vagy ott található IKT-rendszerek kritikusságával.

A g) pont iii. alpontjának alkalmazásában a nyomon követésnek arányban kell állnia az (EU) 2022/2554 rendelet 8. cikkének (1) bekezdésével összhangban megállapított osztályozással és a hozzáféréssel érintett terület kritikusságával.
EULAW Article 18 1.
As part of the safeguards to preserve the availability, authenticity, integrity, and confidentiality of data, financial entities shall specify, document, and implement a physical and environmental security policy. Financial entities shall design that policy i light of the cyber threat landscape, in accordance with the classification established in accordance with Article 8(1) of Regulation (EU) 2022/2554, and in light of the overall risk profile of ICT assets and accessible information assets.
EULAW Article 18 2.

The physical and environmental security policy referred to in paragraph 1 shall contain all of the following:

(a) 

a reference to the section of the policy on control of access management rights referred to in Article 21, first paragraph, point (g);

(b) 

measures to protect from attacks, accidents, and environmental threats and hazards, the premises, data centres of the financial entity, and sensitive designated areas identified by the financial entity, where ICT assets and information assets reside;

(c) 

measures to secure ICT assets, both within and outside the premises of the financial entity, taking into account the results of the ICT risk assessment related to the relevant ICT assets;

(d) 

measures to ensure the availability, authenticity, integrity, and confidentiality of ICT assets, information assets, and physical access control devices of the financial entity through the appropriate maintenance;

(e) 

measures to preserve the availability, authenticity, integrity, and confidentiality of the data, including:

(i) 

a clear desk policy for papers;

(ii) 

a clear screen policy for information processing facilities.

For the purposes of point (b), the measures to protect from environmental threats and hazards shall be commensurate with the importance of the premises, data centres, sensitive designated areas, and the criticality of the operations or ICT systems located therein.

For the purposes of point (c), the physical and environmental security policy referred to in paragraph 1 shall contain measures to provide appropriate protection to unattended ICT assets.