+Physical and Environmental Security

Physical and Environmental Security

Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 21 Kontrola prístupu

Článok 21

Kontrola prístupu

Finančné subjekty v rámci svojej kontroly práv na riadenie prístupu vypracujú, zdokumentujú a vykonávajú politiku, ktorá obsahuje všetky tieto prvky:

a) 

prideľovanie prístupových práv k aktívam IKT na základe zásady potreby poznať (need-to-know), zásady potreby používať (need-to-use) a zásady minimálneho privilégia (least privilege principle), a to aj v prípade vzdialeného a núdzového prístupu;

b) 

segregácia povinností určených na zabránenie neoprávnenému prístupu ku kritickým údajom alebo na zabránenie prideľovaniu kombinácií prístupových práv, ktoré sa môžu použiť na obchádzanie kontrol;

c) 

ustanovenie o zodpovednosti používateľa tým, že sa v čo najväčšej možnej miere obmedzí používanie generických a spoločných používateľských účtov a zabezpečí sa, aby boli používatelia vždy identifikovateľní, pokiaľ ide o činnosti, ktoré v IKT systémoch vykonávajú;

d) 

ustanovenie o obmedzeniach prístupu k IKT aktívam, v ktorom sa stanovujú kontroly a nástroje na zabránenie neoprávnenému prístupu;

e) 

postupy riadenia účtov na účely udeľovania, zmeny alebo odoberania prístupových práv k používateľským a generickým účtom vrátane generických správcovských účtov, vrátane ustanovení o všetkých týchto prvkoch:

i) 

prideľovanie úloh a zodpovedností za udeľovanie, preskúmavanie a odoberanie prístupových práv;

ii) 

prideľovanie privilegovaného, núdzového a správcovského prístupu na základe potreby používať (need-to-use) alebo na ad hoc základe pre všetky IKT systémy;

iii) 

odobratie prístupových práv bez zbytočného odkladu po skončení pracovného pomeru, alebo ak prístup už nie je potrebný;

iv) 

aktualizácia prístupových práv, ak sú potrebné zmeny, a to aspoň raz ročne v prípade všetkých IKT systémov iných ako IKT systémy podporujúce kritické alebo dôležité funkcie a aspoň každých 6 mesiacov v prípade IKT systémov podporujúcich kritické alebo dôležité funkcie;

f) 

metódy autentifikácie vrátane všetkých týchto prvkov:

i) 

používanie metód autentifikácie zodpovedajúcich klasifikácii stanovenej v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554 a celkovému rizikovému profilu IKT aktív a s prihliadnutím na popredné postupy;

ii) 

používanie silných metód autentifikácie v súlade s poprednými postupmi a technikami v prípade vzdialeného prístupu do siete finančného subjektu, privilegovaného prístupu, prístupu k IKT aktívam podporujúcim kritické alebo dôležité funkcie alebo IKT aktívam, ktoré sú verejne prístupné;

g) 

opatrenia na kontrolu fyzického prístupu vrátane týchto prvkov:

i) 

identifikácia a vedenie záznamov o fyzických osobách, ktoré majú povolenie na prístup do priestorov, do dátových centier a citlivých určených oblastí identifikovaných finančným subjektom, v ktorých majú sídlo IKT a informačné aktíva;

ii) 

udeľovanie fyzických prístupových práv ku kritickým IKT aktívam len oprávneným osobám v súlade so zásadou potreba poznať (need-to-know) a zásadou minimálneho privilégia a na ad hoc základe;

iii) 

monitorovanie fyzického prístupu do priestorov, do dátových centier a citlivých určených oblastí identifikovaných finančným subjektom, v ktorých majú sídlo IKT a informačné aktíva alebo oboje;

iv) 

preskúmanie fyzických prístupových práv na zabezpečenie urýchleného odobratia nepotrebných prístupových práv.

Na účely písmena e) bodu i) finančné subjekty stanovia obdobie uchovávania, pričom zohľadnia obchodné ciele a ciele v oblasti informačnej bezpečnosti, dôvody zaznamenania udalosti do záznamových protokolov a výsledky posudzovania IKT rizika.

Na účely písmena e) bodu ii) finančné subjekty podľa možnosti používajú na plnenie administratívnych úloh týkajúcich sa IKT systémov osobitné účty. Ak je to uskutočniteľné a vhodné, finančné subjekty zavedú na riadenie privilegovaného prístupu automatizované riešenia.

Na účely písmena g) bodu i) zodpovedá identifikácia a vedenie záznamov významu priestorov, dátových centier, citlivých určených oblastí a kritickosti operácií alebo IKT systémov, ktoré sa v nich nachádzajú.

Na účely písmena g) bodu iii) zodpovedá monitorovanie klasifikácii stanovenej v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554 a kritickosti oblasti, do ktorej sa pristupuje.
EULAW Článok 18 1.
Ako súčasť záruk na zachovanie dostupnosti, pravosti, integrity a dôvernosti údajov finančné subjekty stanovia, zdokumentujú a vykonávajú politiku fyzickej a environmentálnej bezpečnosti. Finančné subjekty navrhujú uvedenú politiku vzhľadom na panorámu kybernetických hrozieb v súlade s klasifikáciou stanovenou podľa článku 8 ods. 1 nariadenia (EÚ) 2022/2554 a so zreteľom na celkový rizikový profil IKT aktív a dostupných informačných aktív.
EULAW Článok 18 2.

Politika fyzickej a environmentálnej bezpečnosti uvedená v odseku 1 obsahuje všetky tieto prvky:

a) 

odkaz na oddiel politiky v oblasti kontroly práv na riadenie prístupu uvedenú v článku 21 prvého pododseku 1 písm. g);

b) 

opatrenia na ochranu priestorov, dátových centier finančného subjektu, ako aj citlivých určených oblastí identifikovaných finančným subjektom, v ktorých sa nachádzajú IKT aktíva a informačné aktíva, pred útokmi, nehodami a environmentálnymi hrozbami a nebezpečenstvami;

c) 

opatrenia na zabezpečenie IKT aktív v priestoroch finančného subjektu aj mimo neho, pričom sa zohľadňujú výsledky posudzovania IKT rizika súvisiaceho s príslušnými IKT aktívami;

d) 

opatrenia na zabezpečenie dostupnosti, pravosti, integrity a dôvernosti IKT aktív, informačných aktív a zariadení na kontrolu fyzického prístupu finančného subjektu prostredníctvom primeranej údržby;

e) 

opatrenia na zachovanie dostupnosti, pravosti, integrity a dôvernosti údajov vrátane týchto prvkov:

i) 

jednoznačná administratívna politika pre dokumenty v papierovej forme;

ii) 

politika čistej obrazovky pre zariadenia na spracúvanie informácií.

Na účely písmena b) zodpovedajú opatrenia na ochranu pred environmentálnymi hrozbami a nebezpečenstvami významu priestorov, dátových centier, citlivých určených oblastí a kritickosti operácií alebo IKT systémov, ktoré sa v nich nachádzajú.

Na účely písmena c) politika fyzickej a environmentálnej bezpečnosti uvedená v odseku 1 obsahuje opatrenia na zabezpečenie primeranej ochrany aktív IKT nachádzajúcich sa bez dozoru.