+Physical and Environmental Security

Physical and Environmental Security

Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde regelingen

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde regelingen

Regelingen
EULAW Artikel 21 Toegangscontrole

Artikel 21

Toegangscontrole

Als onderdeel van hun controle op het beheer van toegangsrechten ontwikkelen, documenteren en implementeren financiële entiteiten een beleid dat alle volgende elementen bevat:

a) 

de toekenning van toegangsrechten tot ICT-assets op basis van need-to-know-, need-to-use- en least-privilege-principes, ook voor remote access en emergency access;

b) 

de functiescheiding die is ingericht om ongerechtvaardigde toegang tot kritieke data te voorkomen of om de toewijzing te voorkomen van combinaties van toegangsrechten die kunnen worden gebruikt om controles te omzeilen;

c) 

een bepaling betreffende de verantwoordingsplicht van gebruikers, door in de mate van het mogelijke het gebruik van generieke en gedeelde gebruikersaccounts te beperken en ervoor te zorgen dat gebruikers te allen tijde identificeerbaar zijn voor de acties die in de ICT-systemen worden uitgevoerd;

d) 

een bepaling inzake beperkingen van toegang tot ICT-assets, met vermelding van beheersmaatregelen en tools die ongeautoriseerde toegang moeten voorkomen;

e) 

procedures voor accountbeheer om toegangsrechten voor gebruikersaccounts en generieke accounts, daaronder begrepen generieke administrator accounts, toe te kennen, te wijzigen of in te trekken, met inbegrip van bepalingen over alle volgende elementen:

i) 

toewijzing van rollen en verantwoordelijkheden voor het toekennen, herzien en intrekken van toegangsrechten;

ii) 

toekenning van privileged, emergency- en administrator toegang op need-to-use- of op ad-hocbasis voor alle ICT-systemen;

iii) 

onmiddellijke intrekking van toegangsrechten bij beëindiging van het dienstverband of wanneer toegang niet langer noodzakelijk is;

iv) 

update van toegangsrechten wanneer wijzigingen noodzakelijk zijn en ten minste eenmaal per jaar voor alle ICT-systemen niet zijnde ICT-systemen die kritieke of belangrijke functies ondersteunen, en ten minste om de zes maanden voor ICT-systemen die kritieke of belangrijke functies ondersteunen;

f) 

authenticatiemethoden, die alle volgende elementen bevatten:

i) 

het gebruik van authenticatiemethoden die in verhouding staan tot de overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554 vastgestelde classificatie en het algemene risicoprofiel van de ICT-assets en rekening houdende met maatgevende praktijken;

ii) 

het gebruik van sterke authenticatiemethoden in overeenstemming met maatgevende praktijken en technieken voor remote access tot het netwerk van de financiële entiteit, voor privileged access, voor toegang tot ICT-assets die kritieke of belangrijke functies ondersteunen of ICT-assets die publiek toegankelijk zijn;

g) 

maatregelen voor fysieke toegangscontrole, met inbegrip van:

i) 

de identificatie en logging van natuurlijke personen met geautoriseerde toegang tot bedrijfslocaties, datacentra en door de financiële entiteit afgebakende gevoelige zones waar ICT- en informatieassets zijn ondergebracht;

ii) 

het toekennen van fysieke toegangsrechten tot kritieke ICT-assets aan uitsluitend geautoriseerde personen, in overeenstemming met de need-to-know- en least privilege-principes, en op ad-hocbasis;

iii) 

de monitoring van fysieke toegang tot bedrijfslocaties, datacentra en door de financiële entiteit afgebakende gevoelige zones waar ICT-assets, informatieassets of beide soorten assets zijn ondergebracht;

iv) 

de herziening van fysieke toegangsrechten om ervoor te zorgen dat niet-noodzakelijke toegangsrechten prompt worden ingetrokken.

Voor de toepassing van punt e), i), stellen financiële entiteiten de retentieperiode vast, rekening houdende met de doelstellingen inzake bedrijfs- en informatiebeveiliging, de redenen voor het vastleggen van het event in de logs, en de uitkomsten van de ICT-risicobeoordeling.

Voor de toepassing van punt e), ii), maken financiële entiteiten, voor zover mogelijk, gebruik van specifieke accounts voor het uitvoeren van administratieve taken op ICT-systemen. Waar doenbaar en passend rollen financiële entiteiten geautomatiseerde oplossingen uit voor hun Privileged Access Management (PAM).

Voor de toepassing van punt g), i), staan de identificatie en logging in verhouding tot het belang van de bedrijfslocaties, datacentra, afgebakende gevoelige zones en het kritieke karakter van de operaties of ICT-systemen die daarin zijn ondergebracht.

Voor de toepassing van punt g), iii), staat de monitoring in verhouding tot de overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554 vastgestelde classificatie en het kritieke karakter van de zone waartoe personen toegang hebben.
EULAW Artikel 18 1.
Als onderdeel van de beschermingsmaatregelen die de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens moeten veiligstellen, specificeren, documenteren en implementeren financiële entiteiten een beleid voor fysieke beveiliging en milieubeveiliging. Financiële entiteiten richten dat beleid in het licht van het landschap van cyberdreigingen in, in overeenstemming met de overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554 vastgestelde classificatie en het algemene risicoprofiel van ICT-assets en toegankelijke informatieassets.
EULAW Artikel 18 2.

Het in lid 1 bedoelde beleid voor fysieke beveiliging en milieubeveiliging bevat alle volgende elementen:

a) 

een verwijzing naar het in artikel 21, eerste alinea, punt g), bedoelde beleid voor controle op het beheer van toegangsrechten;

b) 

maatregelen om de bedrijfslocaties, datacentra van de financiële entiteit en van door de financiële entiteit afgebakende gevoelige zones waar ICT-assets en informatieassets zijn ondergebracht, te beschermen tegen aanvallen, ongevallen en milieudreigingen en -gevaren;

c) 

maatregelen om ICT-assets — zowel binnen als buiten de bedrijfslocaties van de financiële entiteit — te beveiligen, rekening houdende met de uitkomsten van de ICT-risicobeoordeling voor de betrokken ICT-assets;

d) 

maatregelen die de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van ICT-assets, informatieassets en apparatuur voor fysieke toegangscontrole van de financiële entiteit moeten verzekeren via adequaat onderhoud;

e) 

maatregelen om de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van de gegevens veilig te stellen, met inbegrip van:

i) 

een clear-deskbeleid voor papier;

ii) 

een clear-screenbeleid voor faciliteiten voor informatieverwerking.

Voor de toepassing van punt b) staan de maatregelen ter bescherming tegen milieudreigingen en -gevaren in verhouding tot het belang van de bedrijfslocaties, datacentra, afgebakende gevoelige zones en het kritieke karakter van de operaties of ICT-systemen die daarin zijn ondergebracht.

Voor de toepassing van punt c) bevat het in lid 1 bedoelde beleid voor fysieke beveiliging en milieubeveiliging maatregelen die adequate bescherming bieden voor ICT-assets zonder toezicht.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.