+Artikel 18 2.

Artikel 18 2.

Het in lid 1 bedoelde beleid voor fysieke beveiliging en milieubeveiliging bevat alle volgende elementen:

a) 

een verwijzing naar het in artikel 21, eerste alinea, punt g), bedoelde beleid voor controle op het beheer van toegangsrechten;

b) 

maatregelen om de bedrijfslocaties, datacentra van de financiële entiteit en van door de financiële entiteit afgebakende gevoelige zones waar ICT-assets en informatieassets zijn ondergebracht, te beschermen tegen aanvallen, ongevallen en milieudreigingen en -gevaren;

c) 

maatregelen om ICT-assets — zowel binnen als buiten de bedrijfslocaties van de financiële entiteit — te beveiligen, rekening houdende met de uitkomsten van de ICT-risicobeoordeling voor de betrokken ICT-assets;

d) 

maatregelen die de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van ICT-assets, informatieassets en apparatuur voor fysieke toegangscontrole van de financiële entiteit moeten verzekeren via adequaat onderhoud;

e) 

maatregelen om de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van de gegevens veilig te stellen, met inbegrip van:

i) 

een clear-deskbeleid voor papier;

ii) 

een clear-screenbeleid voor faciliteiten voor informatieverwerking.

Voor de toepassing van punt b) staan de maatregelen ter bescherming tegen milieudreigingen en -gevaren in verhouding tot het belang van de bedrijfslocaties, datacentra, afgebakende gevoelige zones en het kritieke karakter van de operaties of ICT-systemen die daarin zijn ondergebracht.

Voor de toepassing van punt c) bevat het in lid 1 bedoelde beleid voor fysieke beveiliging en milieubeveiliging maatregelen die adequate bescherming bieden voor ICT-assets zonder toezicht.

1. Overzicht

,

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde standaarden

Standaarden
NOREA Physical and Environmental Security
Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.