+Physical and Environmental Security
|
Physical and Environmental Security
Implement measures to safeguard the environment (premises, data centers, and sensitive designated areas) where important assets are located from attacks, accidents and from environmental threats and hazards. The level of protection from environmental threats should be commensurate with the importance of the asset storage location and the criticality of operations. Safeguard assets both within and outside the entity's premises, ensuring the Confidentiality, Integrity, and Availability (CIA) of these assets. These measures should be determined based on the outcomes of a risk assessment. This also includes practices like maintaining a clean desk and ensuring screens are clear at processing facilities and access to critical ICT assets. Identify and record authorized personnel entering critical locations of the financial entity. Grant physical access rights to critical ICT assets based on needtoknow, least privilege principles, and ad-hoc requirements according to the access management policy. Monitor physical access to premises, data centers, and designated sensitive areas, aligned with asset classification and area criticality. Regularly review and promptly revoke unnecessary physical access rights.
1. Översikt
1.1 Referenser
1.2 Identifierade krav
1.3 Relaterade regleringar
2. Identifierade krav
3. Relaterade regleringar
Regleringar
| Källa |
Reglering |
|
EULAW
|
Artikel 21 Åtkomstkontroll
Artikel 21
Som en del av sin kontroll av rättigheter till åtkomsthantering ska finansiella entiteter utarbeta, dokumentera och genomföra en policy som innehåller allt av följande:
a)
Tilldelning av åtkomsträttigheter till IKT-tillgångar baserat på principerna om behovsenlig behörighet, behovsenlig användning och minsta möjliga behörighet, inklusive för fjärråtkomst och nödåtkomst.
b)
Åtskillnad av arbetsuppgifter för att förhindra omotiverad åtkomst till kritiska uppgifter eller för att förhindra tilldelning av kombinationer av åtkomsträttigheter som kan användas för att kringgå kontroller.
c)
En bestämmelse om användares ansvarsskyldighet, genom att i möjligaste mån begränsa användningen av generiska och delade användarkonton och säkerställa att användarna alltid kan identifieras när åtgärder utförs i IKT-systemen.
d)
En bestämmelse om begränsningar av åtkomst till IKT-tillgångar, med angivande av kontroller och verktyg för att förhindra obehörig åtkomst.
e)
Förfaranden för kontohantering för att bevilja, ändra eller återkalla åtkomsträttigheter för användarkonton och generiska konton, även generiska administratörskonton, inklusive bestämmelser om
i)
tilldelning av roller och ansvarsområden för att bevilja, granska och återkalla åtkomsträttigheter,
ii)
tilldelning av privilegierad åtkomst, nödåtkomst och administratörsåtkomst efter behov eller från fall till fall och för samtliga IKT-system,
iii)
återkallande av åtkomsträttigheter utan onödigt dröjsmål när anställningen upphör eller när åtkomsten inte längre är nödvändig,
iv)
uppdatering av åtkomsträttigheter när ändringar krävs och minst en gång per år för samtliga IKT-system, utom för IKT-system som stöder kritiska eller viktiga funktioner där uppdateringen ska ske minst var sjätte månad.
f)
Autentiseringsmetoder, inklusive
i)
användning av autentiseringsmetoder som står i proportion till den klassificering som fastställts i enlighet med artikel 8.1 i förordning (EU) 2022/2554 och till IKT-tillgångarnas allmänna riskprofil och med beaktande av ledande praxis,
ii)
användning av robusta metoder för autentisering i enlighet med ledande praxis och teknik för fjärråtkomst till den finansiella entitetens nätverk, för privilegierad åtkomst och för åtkomst till IKT-tillgångar som stöder kritiska eller viktiga funktioner eller IKT-tillgångar som är allmänt tillgängliga.
g)
Åtgärder för fysisk åtkomstkontroll, inklusive
i)
identifiering och loggning av fysiska personer som är behöriga att få tillträde till lokaler, datacentraler och känsliga angivna områden som identifierats av den finansiella entiteten där IKT-tillgångar och informationstillgångar finns,
ii)
beviljande av fysiska åtkomsträttigheter till kritiska IKT-tillgångar endast för behöriga personer, i enlighet med principerna om behovsenlig behörighet och minsta möjliga behörighet, och från fall till fall,
iii)
övervakning av fysiskt tillträde till lokaler, datacentraler och känsliga angivna områden som identifierats av den finansiella entiteten där IKT-tillgångar och informationstillgångar eller bådadera finns,
iv)
granskning av fysiska åtkomsträttigheter för att säkerställa att onödiga åtkomsträttigheter omedelbart återkallas.
Vid tillämpning av led e i ska finansiella entiteter fastställa lagringstiden med beaktande av verksamhets- och informationssäkerhetsmålen, skälen till att händelsen registreras i loggarna och resultaten av IKT-riskbedömningen.
Vid tillämpning av led e ii ska finansiella entiteter, när så är möjligt, använda särskilda konton för att utföra administrativa uppgifter på IKT-system. När så är möjligt och lämpligt ska finansiella entiteter införa automatiserade lösningar för hantering av privilegierad åtkomst.
Vid tillämpning av led g i ska identifieringen och loggningen stå i proportion till hur viktiga lokalerna, datacentralerna och de känsliga angivna områdena är och hur kritiska de verksamheter eller IKT-system som finns där är.
Vid tillämpning av led g iii ska övervakningen stå i proportion till den klassificering som fastställts i enlighet med artikel 8.1 i förordning (EU) 2022/2554 och hur kritiskt det område är till vilket åtkomst ges.
|
|
EULAW
|
Artikel 18 1.
Som en del av skyddsåtgärderna för att bevara uppgifternas tillgänglighet, äkthet, integritet och konfidentialitet ska finansiella entiteter specificera, dokumentera och genomföra en policy för fysisk säkerhet och miljösäkerhet. Finansiella entiteter ska utforma denna policy mot bakgrund av cyberhotbilden, i enlighet med den klassificering som fastställts i enlighet med artikel 8.1 i förordning (EU) 2022/2554 och mot bakgrund av den allmänna riskprofilen för IKT-tillgångar och tillgängliga informationstillgångar.
|
|
EULAW
|
Artikel 18 2.
Den policy för fysisk säkerhet och miljösäkerhet som avses i punkt 1 ska innehålla allt av följande:
a)
En hänvisning till avsnittet i policyn om kontroll av rättigheter till åtkomsthantering som avses i artikel 21 första stycket g.
b)
Åtgärder för att skydda den finansiella entitetens lokaler, datacentraler och känsliga angivna områden som identifierats av den finansiella entiteten, där IKT-tillgångar och informationstillgångar finns, mot angrepp, olyckor samt miljöhot och miljöfaror.
c)
Åtgärder för att säkra IKT-tillgångar, både inom och utanför den finansiella entitetens lokaler, med beaktande av resultaten av IKT-riskbedömningen för de relevanta IKT-tillgångarna.
d)
Åtgärder för att säkerställa tillgänglighet, äkthet, integritet och konfidentialitet för den finansiella entitetens IKT-tillgångar, informationstillgångar och enheter för fysisk åtkomstkontroll genom lämpligt underhåll.
e)
Åtgärder för att bevara uppgifternas tillgänglighet, äkthet, integritet och konfidentialitet, inklusive
i)
en policy om ett renstädat skrivbord för dokument,
ii)
en policy om en tom bildskärm för anläggningar för informationsbehandling.
Vid tillämpning av led b ska åtgärderna för skydd mot miljöhot och miljöfaror stå i proportion till hur viktiga lokalerna, datacentralerna och de känsliga angivna områdena är och hur kritiska de verksamheter eller IKT-system som finns där är. Vid tillämpning av led c ska den policy för fysisk säkerhet och miljösäkerhet som avses i punkt 1 innehålla åtgärder för att tillhandahålla lämpligt skydd för obevakade IKT-tillgångar.
|
|