+Physical and Environmental Security

Physical and Environmental Security

Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.

1. Pārskats

1.1 Atsauces

1.2 Identificētās prasības

1.3 Saistītie tiesību akti

2. Identificētās prasības

Prasības

3. Saistītie tiesību akti

Tiesību akti
EULAW 21. pants Piekļuves kontrole

21. pants

Piekļuves kontrole

Kā daļu no savas piekļuves pārvaldības tiesību kontroles finanšu vienības izstrādā, dokumentē un īsteno politiku, kas ietver visus no šiem elementiem:

a) 

IKT piekļuves tiesību piešķiršana, pamatojoties uz principiem “vajadzība zināt”, “vajadzība izmantot” un mazāko tiesību principu, arī attiecībā uz attālu piekļuvi un piekļuvi ārkārtas gadījumā;

b) 

uzdevumu nošķiršana, lai novērstu nepamatotu piekļuvi kritiski svarīgiem datiem vai novērstu tādu piekļuves tiesību kombināciju piešķiršanu, ko var izmantot kontroļu apiešanai;

c) 

noteikums par lietotāja pārskatatbildību, ciktāl iespējams, ierobežojot vispārējo un dalīto lietotāja kontu izmantošanu un nodrošinot, ka lietotāji vienmēr ir identificējami attiecībā uz darbībām, kas veiktas IKT sistēmās;

d) 

noteikums par ierobežojumiem piekļuvei IKT aktīviem, izklāstot kontroles un rīkus neatļautas piekļuves novēršanai;

e) 

kontu pārvaldības procedūras, lai piešķirtu, mainītu vai atsauktu piekļuves tiesības lietotāju un vispārējiem kontiem, tajā skaitā vispārējiem administratoru kontiem, ietverot noteikumu par visu turpmāk minēto:

i) 

uzdevumu un atbildības piešķiršana par piekļuves tiesību piešķiršanu, pārskatīšanu un atsaukšanu;

ii) 

privileģētas, ārkārtas un administratora piekļuves piešķiršana, pamatojoties uz vajadzību zināt vai uz ad hoc pamata, attiecībā uz visām IKT sistēmām;

iii) 

piekļuves tiesību tūlītēja atsaukšana darba attiecību izbeigšanas gadījumā vai ja piekļuve vairs nav nepieciešama;

iv) 

piekļuves tiesību atjaunināšana, kad ir nepieciešamas izmaiņas un vismaz gadā attiecībā uz visām IKT sistēmām, izņemot IKT sistēmas, kas atbalsta kritiskas vai svarīgas funkcijas, un vismaz reizi sešos mēnešos attiecībā uz IKT sistēmām, kas atbalsta kritiskas vai svarīgas funkcijas;

f) 

autentifikācijas metodes, ietverot visus šos elementus:

i) 

autentifikācijas metožu izmantošana, kas ir samērīga ar klasifikāciju, kura noteikta saskaņā ar Regulas (ES) 2022/2554 8. panta 1. punktu, un ar IKT aktīvu vispārējo riska profilu, arī ņemot vērā paraugpraksi;

ii) 

spēcīgu autentifikācijas metožu izmantošana saskaņā ar paraugpraksi un metodēm attiecībā uz attālu piekļuvi finanšu vienības tīklam, privileģētu piekļuvi, piekļuvi IKT aktīviem, kas atbalsta kritiskas vai svarīgas funkcijas, vai IKT aktīviem, kas ir publiski pieejami;

g) 

fiziskās piekļuves kontroles pasākumi, tajā skaitā:

i) 

to fizisko personu identifikācija un reģistrēšana žurnālā, kurām ir atļauts piekļūt telpām, datu centriem un finanšu vienības par sensitīvām noteiktām vietām, kur atrodas IKT un informācijas aktīvi;

ii) 

fiziskās piekļuves kritiskiem IKT aktīviem piešķiršana tikai pilnvarotām personām saskaņā ar principu “vajadzība zināt” un mazāko tiesību principu un uz ad hoc pamata;

iii) 

uzraudzība attiecībā uz fizisko piekļuvi telpām, datu centriem un finanšu vienības par sensitīvām noteiktām vietām, kur atrodas IKT un informācijas aktīvi, vai abi;

iv) 

fiziskās piekļuves tiesību pārskatīšana, lai nodrošinātu, ka nevajadzīgas piekļuves tiesības tiek steidzīgi atsauktas.

Šā punkta e) apakšpunkta i) punkta nolūkos finanšu vienības nosaka glabāšanas periodu, ņemot vērā darbības un informācijas drošības mērķus, iemeslus, kādēļ notikums tiek reģistrēts žurnālos, un IKT riska novērtējuma rezultātus.

Šā punkta e) apakšpunkta ii) punkta nolūkos finanšu vienības, ja iespējams, izmanto speciālus kontus administratīvu uzdevumu veikšanai IKT sistēmās. Ja tas ir iespējams un atbilstoši, finanšu vienības ievieš automatizētus risinājumus privileģētas piekļuves pārvaldībai.

Šā punkta g) apakšpunkta i) punkta nolūkos identifikācija un reģistrēšana žurnālos ir samērīga ar telpu, datu centru, par sensitīvām noteikto vietu svarīgumu un tajās notiekošo darbību vai esošo IKT sistēmu kritiskumu.

Šā punkta g) apakšpunkta iii) punkta nolūkos uzraudzība ir samērīga ar klasifikāciju, kas noteikta saskaņā ar Regulas (ES) 2022/2554 8. panta 1. punktu, un vietas, kurai piekļūst, kritiskumu.
EULAW 18. pants 1.
Kā daļu no aizsardzības pasākumiem, ko veic, lai saglabātu datu pieejamību, autentiskumu, integritāti un konfidencialitāti, finanšu vienības precīzi nosaka, dokumentē un īsteno fiziskās un vides drošības politiku. Finanšu vienības izstrādā minēto politiku, ņemot vērā kiberdraudu vidi, saskaņā ar klasifikāciju, kas noteikta saskaņā ar Regulas (ES) 2022/2554 8. panta 1. punktu, un ņemot vērā IKT aktīvu un piekļūstamu informācijas aktīvu vispārējo riska profilu.
EULAW 18. pants 2.

Šā panta 1. punktā minētā fiziskās un vides drošības politika ietver visu turpmāk minēto:

a) 

atsauce uz politikas iedaļu par piekļuves pārvaldības tiesību kontroli, kas minēta 21. panta pirmās daļas g) punktā;

b) 

pasākumi, lai pret uzbrukumiem, negadījumiem un vides draudiem un apdraudējumiem aizsargātu finanšu vienības telpas, datu centrus un vietas, ko finanšu vienība noteikusi par sensitīvām un kur atrodas IKT aktīvi un informācijas aktīvi;

c) 

pasākumi, lai aizsargātu IKT aktīvus gan finanšu vienības telpās, gan ārpus tām, ņemot vērā IKT riska novērtējuma rezultātus saistībā ar attiecīgajiem IKT aktīviem;

d) 

pasākumi, lai nodrošinātu finanšu vienības IKT aktīvu, informācijas aktīvu un fiziskās piekļuves kontroles ierīču pieejamību, autentiskumu, integritāti un konfidencialitāti, veicot atbilstošu uzturēšanu;

e) 

pasākumi, lai saglabātu datu pieejamību, autentiskumu, integritāti un konfidencialitāti, tajā skaitā:

i) 

“tīra galda” politika attiecībā uz dokumentiem;

ii) 

“tīra ekrāna” politika attiecībā uz informācijas apstrādes ierīcēm.

Šā punkta b) apakšpunkta nolūkos pasākumi aizsardzībai pret vides draudiem un apdraudējumiem ir samērīgi ar telpu, datu centru, par sensitīvām noteikto vietu svarīgumu un tajās notiekošo darbību vai esošo IKT sistēmu kritiskumu.

Šā punkta c) apakšpunkta nolūkos 1. punktā minētā fiziskās un vides drošības politika ietver pasākumus, lai pienācīgi aizsargātu bez uzraudzības esošus IKT aktīvus.