+Physical and Environmental Security

Physical and Environmental Security

Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Regolamentazioni correlate

2. Requisiti identificati

Requisiti

3. Regolamentazioni correlate

Regolamentazioni
EULAW Articolo 21 Controllo degli accessi

Articolo 21

Controllo degli accessi

Nell’ambito del controllo dei diritti di gestione degli accessi, le entità finanziarie elaborano, documentano e attuano una politica che contiene tutti gli elementi seguenti:

a) 

l’assegnazione dei diritti di accesso alle risorse TIC in base ai principi della necessità di sapere, della necessità di usare e del privilegio minimo, anche per l’accesso remoto e di emergenza;

b) 

una separazione dei compiti, concepita per impedire l’accesso ingiustificato ai dati critici o per impedire l’assegnazione di combinazioni di diritti di accesso che potrebbero essere utilizzati per eludere i controlli;

c) 

una disposizione sulla responsabilità degli utenti, limitando per quanto possibile l’uso di account utente generici e condivisi e garantendo che gli utenti siano in ogni momento identificabili per le azioni eseguite nei sistemi di TIC;

d) 

una disposizione sulle restrizioni di accesso alle risorse TIC, che definisca i controlli e gli strumenti per prevenire l’accesso non autorizzato;

e) 

procedure di gestione degli account per concedere, modificare o revocare i diritti di accesso per gli account utente e generici, compresi gli account amministratore generici, che comprendano disposizioni relative a tutti gli aspetti seguenti:

i) 

l’assegnazione di ruoli e responsabilità per la concessione, il riesame e la revoca dei diritti di accesso;

ii) 

l’assegnazione di accessi privilegiati, di emergenza e di amministratore in base alla necessità di utilizzo o ad hoc per tutti i sistemi di TIC;

iii) 

la revoca dei diritti di accesso senza indebito ritardo al termine del rapporto di lavoro o quando l’accesso non è più necessario;

iv) 

l’aggiornamento dei diritti di accesso quando sono necessarie modifiche e almeno una volta all’anno per tutti i sistemi di TIC diversi da quelli che supportano funzioni essenziali o importanti e almeno ogni sei mesi per i sistemi di TIC che supportano funzioni essenziali o importanti;

f) 

i metodi di autenticazione, che comprendano tutti gli aspetti seguenti:

i) 

l’uso di metodi di autenticazione commisurati alla classificazione effettuata in conformità dell’articolo 8, paragrafo 1, del regolamento (UE) 2022/2554 e al profilo di rischio complessivo delle risorse TIC, tenendo conto delle pratiche più avanzate;

ii) 

l’uso di metodi di autentificazione robusti, conformemente alle pratiche e alle tecniche più avanzate, per l’accesso remoto alla rete dell’entità finanziaria, per l’accesso privilegiato, per l’accesso alle risorse TIC che supportano funzioni essenziali o importanti o per le risorse TIC accessibili al pubblico;

g) 

le misure di controllo degli accessi fisici, tra cui:

i) 

l’identificazione e il logging delle persone fisiche autorizzate ad accedere ai locali, ai centri di elaborazione dati, alle aree designate come sensibili dall’entità finanziaria in cui risiedono le risorse TIC e i patrimoni informativi;

ii) 

la concessione dei diritti di accesso fisico alle risorse TIC critiche solo alle persone autorizzate, secondo i principi della necessità di sapere e del privilegio minimo, e su base ad hoc;

iii) 

il monitoraggio dell’accesso fisico ai locali, ai centri di elaborazione dati e alle aree designate come sensibili dall’entità finanziaria in cui risiedono le risorse TIC, i patrimoni informativi o entrambi;

iv) 

il riesame dei diritti di accesso fisico per garantire la revoca tempestiva dei diritti di accesso non necessari.

Ai fini della lettera e), punto i), le entità finanziarie stabiliscono il periodo di conservazione, tenendo conto degli obiettivi aziendali e di sicurezza delle informazioni, dei motivi della registrazione dell’evento nei log e dei risultati della valutazione dei rischi informatici.

Ai fini della lettera e), punto ii), le entità finanziarie utilizzano, ove possibile, account dedicati per lo svolgimento di compiti amministrativi sui sistemi di TIC. Ove possibile e opportuno, le entità finanziarie adottano soluzioni automatizzate per la gestione degli accessi privilegiati.

Ai fini della lettera g), punto i), l’identificazione e il logging sono commisurati all’importanza dei locali, dei centri di elaborazione dati, delle aree designate come sensibili e alla criticità delle operazioni o dei sistemi di TIC ivi ubicati.

Ai fini della lettera g), punto iii), il monitoraggio è commisurato alla classificazione effettuata conformemente all’articolo 8, paragrafo 1, del regolamento (UE) 2022/2554 e alla criticità dell’area cui si accede.
EULAW Articolo 18 1.
Nell’ambito delle salvaguardie volte a preservare la disponibilità, l’autenticità, l’integrità e la riservatezza dei dati, le entità finanziarie specificano, documentano e attuano una politica in materia di sicurezza fisica e ambientale. Le entità finanziarie elaborano tale politica alla luce del panorama delle minacce informatiche, conformemente alla classificazione effettuata ai sensi dell’articolo 8, paragrafo 1, del regolamento (UE) 2022/2554, e alla luce del profilo di rischio complessivo delle risorse TIC e dei patrimoni informativi accessibili.
EULAW Articolo 18 2.

La politica in materia di sicurezza fisica e ambientale di cui al paragrafo 1 contiene tutti gli elementi seguenti:

a) 

un riferimento alla sezione della politica sul controllo dei diritti di gestione degli accessi di cui all’articolo 21, primo comma, lettera g);

b) 

le misure per proteggere da attacchi, incidenti e minacce e pericoli ambientali i locali, i centri di elaborazione dati dell’entità finanziaria e le aree designate come sensibili dall’entità finanziaria, dove risiedono le risorse TIC e i patrimoni informativi;

c) 

le misure volte a garantire la sicurezza delle risorse TIC, sia all’interno che all’esterno dei locali dell’entità finanziaria, tenendo conto dei risultati della valutazione dei rischi informatici relativi alle risorse TIC pertinenti;

d) 

le misure volte a garantire la disponibilità, l’autenticità, l’integrità e la riservatezza delle risorse TIC, dei patrimoni informativi e dei dispositivi di controllo degli accessi fisici dell’entità finanziaria attraverso un’adeguata manutenzione;

e) 

le misure per preservare la disponibilità, l’autenticità, l’integrità e la riservatezza dei dati, tra cui:

i) 

una politica «clear desk» per i documenti cartacei;

ii) 

una politica «clear screen» per le strutture di elaborazione delle informazioni.

Ai fini della lettera b), le misure di protezione dalle minacce e dai pericoli ambientali sono commisurate all’importanza dei locali, dei centri di elaborazione dati, delle aree designate come sensibili e alla criticità delle operazioni o dei sistemi di TIC ivi ubicati.

Ai fini della lettera c), la politica in materia di sicurezza fisica e ambientale di cui al paragrafo 1 contiene misure per fornire una protezione adeguata alle risorse TIC non presidiate.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.