+Physical and Environmental Security
|
Physical and Environmental Security
Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.
1. Ħarsa ġenerali
1.1 Referenzi
1.2 Rekwiżiti identifikati
1.3 Regolamenti relatati
2. Rekwiżiti identifikati
3. Regolamenti relatati
Regolamenti
| Sors |
Regolamentazzjoni |
|
EULAW
|
Artikolu 21 Kontroll tal-aċċess
Artikolu 21
Bħala parti mill-kontroll tagħhom tad-drittijiet ta’ ġestjoni tal-aċċess, l-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw politika li jkun fiha dawn kollha li ġejjin:
(a)
l-assenjazzjoni tad-drittijiet ta’ aċċess għall-assi tal-ICT abbażi tal-prinċipji tal-ħtieġa ta’ tagħrif, tal-ħtieġa ta’ użu u tal-anqas privileġġ, inkluż għal aċċess mill-bogħod u ta’ emerġenza;
(b)
is-segregazzjoni tad-dmirijiet imfassla biex jipprevjenu aċċess mhux iġġustifikat għal data kritika jew biex jipprevjenu l-allokazzjoni ta’ kombinazzjonijiet ta’ drittijiet ta’ aċċess li jistgħu jintużaw biex jiġu evitati l-kontrolli;
(c)
dispożizzjoni dwar l-akkontabilità tal-utent, billi jiġi llimitat sa fejn ikun possibbli l-użu ta’ kontijiet tal-utenti ġeneriċi u kondiviżi u jiġi żgurat li l-utenti jkunu identifikabbli għall-azzjonijiet imwettqa fis-sistemi tal-ICT f’kull ħin;
(d)
dispożizzjoni dwar ir-restrizzjonijiet tal-aċċess għall-assi tal-ICT, li tistabbilixxi kontrolli u għodod biex jiġi pprevenut aċċess mhux awtorizzat;
(e)
proċeduri ta’ ġestjoni tal-kontijiet għall-għoti, għat-tibdil jew għar-revoka tad-drittijiet ta’ aċċess għall-kontijiet tal-utenti u l-kontijiet ġeneriċi, inklużi l-kontijiet tal-amministraturi ġeneriċi, u wkoll dispożizzjoni dwar dawn kollha li ġejjin:
(i)
l-assenjazzjoni tar-rwoli u tar-responsabbiltajiet għall-għoti, għar-rieżami u għar-revoka tad-drittijiet ta’ aċċess;
(ii)
l-assenjazzjoni ta’ aċċess privileġġat, ta’ emerġenza u ta’ amministratur fuq bażi ta’ ħtieġa ta’ użu jew fuq bażi ad hoc għas-sistemi kollha tal-ICT;
(iii)
l-irtirar tad-drittijiet ta’ aċċess mingħajr dewmien żejjed mat-terminazzjoni tal-impjieg jew meta l-aċċess ma jkunx għadu meħtieġ;
(iv)
aġġornament tad-drittijiet ta’ aċċess fejn ikunu meħtieġa tibdiliet u mill-anqas darba fis-sena għas-sistemi kollha tal-ICT, għajr għas-sistemi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti u mill-anqas kull 6 xhur għas-sistemi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti;
(f)
metodi ta’ awtentikazzjoni, inklużi dawn kollha li ġejjin:
(i)
l-użu ta’ metodi ta’ awtentikazzjoni proporzjonati għall-klassifikazzjoni stabbilita f’konformità mal-Artikolu 8(1) tar-Regolament (UE) 2022/2554 u għall-profil tar-riskju ġenerali tal-assi tal-ICT u filwaqt li jitqiesu prattiki ewlenin;
(ii)
l-użu ta’ metodi ta’ awtentikazzjoni b’saħħithom f’konformità ma’ prattiki u tekniki ewlenin għall-aċċess mill-bogħod għan-network tal-entità finanzjarja, għal aċċess privileġġat, għal aċċess għall-assi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew assi tal-ICT li huma aċċessibbli għall-pubbliku;
(g)
miżuri ta’ kontroll għall-aċċess fiżiku li jinkludu:
(i)
l-identifikazzjoni u r-reġistrazzjoni ta’ persuni fiżiċi li huma awtorizzati jaċċessaw il-bini, iċ-ċentri tad-data u ż-żoni ddeżinjati sensittivi identifikati mill-entità finanzjarja fejn hemm l-assi tal-ICT u tal-informazzjoni;
(ii)
l-għoti ta’ drittijiet ta’ aċċess fiżiku għal assi kritiċi tal-ICT lil persuni awtorizzati biss, f’konformità mal-prinċipji tal-ħtieġa ta’ tagħrif u tal-anqas privileġġ, u fuq bażi ad hoc;
(iii)
il-monitoraġġ tal-aċċess fiżiku għall-bini, għaċ-ċentri tad-data u għal żoni ddeżinjati sensittivi identifikati mill-entità finanzjarja fejn ikun hemm l-assi tal-ICT u tal-informazzjoni jew it-tnejn li huma;
(iv)
ir-rieżami tad-drittijiet ta’ aċċess fiżiku biex jiġi żgurat li d-drittijiet ta’ aċċess mhux meħtieġa jiġu rrevokati minnufih.
Għall-finijiet tal-punt (e)(i), l-entitajiet finanzjarji għandhom jistabbilixxu l-perjodu ta’ żamma filwaqt li jqisu l-objettivi tas-sigurtà tan-negozju u tal-informazzjoni, ir-raġunijiet għar-reġistrazzjoni tal-avveniment fir-reġistri u r-riżultati tal-valutazzjoni tar-riskju tal-ICT.
Għall-finijiet tal-punt (e)(ii), l-entitajiet finanzjarji għandhom, meta possibbli, jużaw kontijiet iddedikati għat-twettiq ta’ kompiti amministrattivi fuq is-sistemi tal-ICT. Meta jkun fattibbli u xieraq, l-entitajiet finanzjarji għandhom jużaw soluzzjonijiet awtomatizzati għall-ġestjoni tal-aċċess għall-privileġġ.
Għall-finijiet tal-punt (g)(i), l-identifikazzjoni u r-reġistrazzjoni għandhom ikunu proporzjonati mal-importanza tal-bini, taċ-ċentri tad-data, taż-żoni ddeżinjati sensittivi u mal-kritikalità tal-operazzjonijiet jew tas-sistemi tal-ICT li jinsabu fihom.
Għall-finijiet tal-punt (g)(iii), il-monitoraġġ għandu jkun proporzjonat mal-klassifikazzjoni stabbilita f’konformità mal-Artikolu 8(1) tar-Regolament (UE) 2022/2554 u għall-kritikalità taż-żona aċċessata.
|
|
EULAW
|
Artikolu 18 1.
Bħala parti mis-salvagwardji biex jiġu ppreżervati d-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità tad-data, l-entitajiet finanzjarji għandhom jispeċifikaw, jiddokumentaw u jimplimentaw politika ta’ sigurtà fiżika u ambjentali. L-entitajiet finanzjarji għandhom jiddisinjaw dik il-politika fid-dawl tax-xenarju tat-theddid ċibernetiku, f’konformità mal-klassifikazzjoni stabbilita f’konformità mal-Artikolu 8(1) tar-Regolament (UE) 2022/2554, u fid-dawl tal-profil tar-riskju ġenerali tal-assi tal-ICT u tal-assi ta’ informazzjoni aċċessibbli.
|
|
EULAW
|
Artikolu 18 2.
Il-politika tas-sigurtà fiżika u ambjentali msemmija fil-paragrafu 1 għandha tinkludi dan kollu li ġej:
(a)
referenza għat-taqsima tal-politika dwar il-kontroll tad-drittijiet tal-ġestjoni tal-aċċess imsemmija fl-Artikolu 21, l-ewwel paragrfu, il-punt (g);
(b)
miżuri għall-protezzjoni mill-attakki, mill-aċċidenti u mit-theddid u l-perikli ambjentali, il-bini, iċ-ċentri tad-data tal-entità finanzjarja u ż-żoni ddeżinjati sensittivi identifikati mill-entità finanzjarja, fejn hemm l-assi tal-ICT u l-assi tal-informazzjoni;
(c)
miżuri biex jiġu żgurati l-assi tal-ICT, kemm fil-bini tal-entità finanzjarja kif ukoll barra minnu, filwaqt li jitqiesu r-riżultati tal-valutazzjoni tar-riskju tal-ICT relatata mal-assi rilevanti tal-ICT;
(d)
miżuri biex jiġu żgurati d-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità tal-assi tal-ICT, tal-assi tal-informazzjoni u tal-apparati ta’ kontroll fiżiku tal-aċċess tal-entità finanzjarja permezz tal-manutenzjoni xierqa;
(e)
miżuri biex jiġu ppreżervati d-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità tad-data, inklużi:
(i)
politika ta’ skrivanija żbarazzata għad-dokumenti;
(ii)
politika ċara ta’ skrin vojt għall-faċilitajiet tal-ipproċessar tal-informazzjoni.
Għall-finijiet tal-punt (b), il-miżuri għall-protezzjoni mit-theddid u mill-perikli ambjentali għandhom ikunu proporzjonati mal-importanza tal-bini, taċ-ċentri tad-data, taż-żoni ddeżinjati sensittivi u mal-kritikalità tal-operazzjonijiet jew tas-sistemi tal-ICT li jinsabu fihom. Għall-finijiet tal-punt (c), il-politika tas-sigurtà fiżika u ambjentali msemmija fil-paragrafu 1 għandu jkun fiha miżuri biex tiġi pprovduta protezzjoni xierqa għall-assi tal-ICT li jitħallew waħedhom.
|
- NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.
DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.
|