+Physical and Environmental Security

Physical and Environmental Security

Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.

1. Pregled

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani predpisi

2. Ugotovljene zahteve

Zahteve

3. Povezani predpisi

Predpisi
EULAW Člen 21 Nadzor dostopa

Člen 21

Nadzor dostopa

Finančni subjekti v okviru svojega nadzora pravic upravljanja dostopa razvijejo, dokumentirajo in izvajajo politiko, ki vsebuje vse naslednje:

(a) 

dodelitev pravic dostopa do sredstev IKT na podlagi načel potrebe po seznanitvi, potrebe po uporabi in delovanja ob najmanjših privilegijih, vključno za oddaljeni dostop in dostop v sili;

(b) 

ločevanje nalog, zasnovano za preprečevanje neupravičenega dostopa do kritičnih podatkov ali preprečevanje dodelitve kombinacij pravic dostopa, ki se lahko uporabijo za izogibanje kontrolam;

(c) 

določbo o sledljivosti aktivnosti uporabniškega računa, tako da se čim bolj omeji uporaba generičnih in skupnih uporabniških računov ter zagotovi, da je uporabnike vedno mogoče prepoznati za dejanja, ki se izvajajo v sistemih IKT;

(d) 

določbo o omejitvah dostopa do sredstev IKT, ki določa kontrole in orodja za preprečevanje nepooblaščenega dostopa;

(e) 

postopke za upravljanje računov za podelitev, spremembo ali preklic pravic dostopa za uporabniške in generične račune, tudi za generične skrbniške račune, vključno z določbami o vsem naslednjem:

(i) 

dodelitvi vlog in odgovornosti za podeljevanje, pregled in preklic pravic dostopa;

(ii) 

dodelitvi prednostnega, nujnega in skrbniškega dostopa na podlagi potrebe po uporabi ali na priložnostni podlagi za vse sisteme IKT;

(iii) 

odvzemu pravic dostopa brez nepotrebnega odlašanja ob prenehanju delovnega razmerja ali ko dostop ni več potreben;

(iv) 

posodobitvi pravic dostopa, kadar so potrebne spremembe in vsaj enkrat letno za vse sisteme IKT, razen sistemov IKT, ki podpirajo kritične ali pomembne funkcije, in vsaj vsakih šest mesecev za sisteme IKT, ki podpirajo kritične ali pomembne funkcije;

(f) 

metode avtentikacije, vključno z vsem naslednjim:

(i) 

uporabo metod avtentikacije, ki so sorazmerne z razvrstitvijo, določeno v skladu s členom 8(1) Uredbe (EU) 2022/2554, in splošnim profilom tveganja sredstev IKT ter ob upoštevanju vodilnih praks;

(ii) 

uporabo metod močne avtentikacije za oddaljeni dostop do omrežja finančnega subjekta, za prednostni dostop, za dostop do sredstev IKT, ki podpirajo kritične ali pomembne funkcije, ali sredstev IKT, ki so javno dostopna, v skladu z vodilnimi praksami in tehnikami;

(g) 

ukrepe za nadzor fizičnega dostopa, ki vključujejo:

(i) 

identifikacijo in evidentiranje fizičnih oseb, ki so pooblaščene za dostop do prostorov, podatkovnih centrov in občutljivih namenskih območij, ki jih določi finančni subjekt, kjer so nameščena sredstva IKT in informacijska sredstva;

(ii) 

podelitev pravic fizičnega dostopa do ključnih sredstev IKT samo pooblaščenim osebam v skladu z načelom potrebe po seznanitvi in načelom delovanja ob najmanjših privilegijih ter na priložnostni podlagi;

(iii) 

spremljanje fizičnega dostopa do prostorov, podatkovnih centrov in občutljivih namenskih območij, ki jih določi finančni subjekt, kjer so nameščena sredstva IKT in informacijska sredstva ali oboje;

(iv) 

pregled pravic fizičnega dostopa, da se zagotovi takojšen preklic nepotrebnih pravic dostopa.

Za namene točke (e)(i) finančni subjekti določijo obdobje hrambe, pri čemer upoštevajo poslovne cilje in cilje glede informacijske varnosti, razloge za zabeleženje dogodka v dnevnike in rezultate ocene tveganja na področju IKT.

Za namene točke (e)(ii) finančni subjekti, kadar je to mogoče, uporabljajo namenske račune za izvajanje skrbniških nalog v zvezi s sistemi IKT. Kadar je to izvedljivo in primerno, finančni subjekti uvedejo avtomatizirane rešitve za upravljanje prednostnega dostopa.

Za namene točke (g)(i) sta identifikacija in evidentiranje sorazmerna s pomembnostjo prostorov, podatkovnih centrov in občutljivih namenskih območij ter kritičnostjo operacij ali sistemov IKT, ki se nahajajo v njih.

Za namene točke (g)(iii) je spremljanje sorazmerno z razvrstitvijo, določeno v skladu s členom 8(1) Uredbe (EU) 2022/2554, in kritičnostjo območja, do katerega se dostopa.
EULAW Člen 18 1.
Finančni subjekti v okviru zaščitnih ukrepov za ohranitev razpoložljivosti, avtentičnosti, celovitosti in zaupnosti podatkov določijo, dokumentirajo in izvajajo politiko fizične varnosti in varnosti okolja. Finančni subjekti to politiko oblikujejo glede na okolje kibernetskih groženj v skladu z razvrstitvijo, določeno v skladu s členom 8(1) Uredbe (EU) 2022/2554, ter ob upoštevanju splošnega profila tveganja sredstev IKT in dostopnih informacijskih sredstev.
EULAW Člen 18 2.

Politika fizične varnosti in varnosti okolja iz odstavka 1 vključuje vse naslednje:

(a) 

sklic na oddelek politike o nadzoru pravic upravljanja dostopa iz člena 21, prvi odstavek, točka (g);

(b) 

ukrepe za zaščito prostorov, podatkovnih centrov finančnega subjekta ter občutljivih namenskih območij, ki jih določi finančni subjekt, kjer so nameščena sredstva IKT in informacijska sredstva, pred napadi, nesrečami ter okoljskimi grožnjami in nevarnostmi;

(c) 

ukrepe za zavarovanje sredstev IKT v prostorih finančnega subjekta in zunaj njih ob upoštevanju rezultatov ocene tveganja na področju IKT v zvezi z zadevnimi sredstvi IKT;

(d) 

ukrepe za zagotovitev razpoložljivosti, avtentičnosti, celovitosti in zaupnosti sredstev IKT, informacijskih sredstev in naprav za nadzor fizičnega dostopa finančnega subjekta z ustreznim vzdrževanjem;

(e) 

ukrepe za ohranitev razpoložljivosti, avtentičnosti, celovitosti in zaupnosti podatkov, vključno s:

(i) 

politiko prazne mize za dokumente;

(ii) 

politiko praznega zaslona za prostore, kjer se obdelujejo informacije.

Za namene točke (b) so ukrepi za zaščito pred okoljskimi grožnjami in nevarnostmi sorazmerni s pomembnostjo prostorov, podatkovnih centrov in občutljivih namenskih območij ter kritičnostjo operacij ali sistemov IKT, ki se nahajajo v njih.

Za namene točke (c) politika fizične varnosti in varnosti okolja iz odstavka 1 vsebuje ukrepe za zagotovitev ustrezne zaščite nenadzorovanih sredstev IKT.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.