Fyzická bezpečnost a bezpečnost prostředí
9.1 Zabezpečené oblasti
Cíl: Předcházet neautorizovanému přístupu do vymezených prostor, předcházet poškození
a zásahům do provozních budov a informací organizace.
Zařízení zpracovávající kritické nebo citlivé informace organizace, by měla být umístěny
v zabezpečených zónách chráněných definovaným bezpečnostním perimetrem s odpovídajícími
bezpečnostními bariérami a vstupními kontrolami. Tato zařízení by měla být fyzicky chráněna
proti neautorizovanému přístupu, poškození a narušení.
Jejich ochrana by měla odpovídat zjištěným rizikům.
9.1.1 Fyzický bezpečnostní perimetr
Opatření
Při ochraně prostor ve kterých se nachází informace nebo zařízení pro zpracování informací by
měly být používány bezpečnostní perimetry (bariéry jako například zdi, vstupní turniket na karty
nebo recepce).
Doporučení k realizaci
Následující doporučení a opatření by měla být zvážena a podle vhodnosti implementována:
a) měl by být jasně definován bezpečnostní perimetr, umístění a úroveň každého
bezpečnostního perimetru by mělo záviset na bezpečnostních požadavcích na aktiva, uvnitř
perimetru, a na výsledku hodnocení rizik;
b) perimetr budovy nebo oblasti obsahující zařízení pro zpracování informací by měl být
v řádném stavu (tj. neměla by v perimetru nebo v oblasti existovat slabá, lehce
proniknutelná místa). Obvodové zdi objektu by měly mít pevnou konstrukci a vstupní dveře
by měly být chráněny před neautorizovaným vstupem zabezpečeny kontrolními
mechanizmy např. mřížemi, alarmy, zámky apod. Dveře a okna by měla být v případě
nepřítomnosti uzavřeny. U oken, zejména pokud jsou v přízemí, by mělo být zváženo
využití externích ochranných prvků;
c) pro kontrolu fyzického přístupu do objektu nebo budovy by mělo být využíváno recepce
či jiných prostředků. Vstup by měl být umožněn pouze oprávněným osobám;
d) fyzické bariéry by měly, tam kde je to použitelné, být postaveny tak, aby chránily před
neoprávněným vstupem a kontaminací;
e) požární dveře v bezpečnostním perimetru by měly být opatřeny elektronickým
zabezpečovacím systémem (EZS) a měly by být monitorovány. Požární dveře (stejně
tak i zdi) by měly splňovat požadovanou úroveň odolnosti, dle příslušných požadavků
místních, národních a mezinárodních norem;
f) vnější dveře a dosažitelná okna by měly být chráněny vhodným detekčním systémem,
který odpovídá místním, národním a mezinárodním normám a je pravidelně testován.
Opuštěné prostory by měly být chráněny nepřetržitě, pod ochranou by měly být i další
oblasti, například počítačové a komunikační místnosti;
g) zařízení pro zpracování informací spravované organizací by měla být fyzicky oddělena od
prostředků třetích stran.
Další informace
Fyzické ochrany může být dosaženo prostřednictvím řady fyzických bariér kolem prostor
organizace a kolem prostředků zpracovávajících informace. Znásobení počtu bariér dodává
dodatečnou ochranu, selhání jedné bariéry pak neznamená okamžitou kompromitaci bezpečnosti.
Zabezpečenou oblastí může být uzamykatelná kancelář nebo několik místností uvnitř fyzického
bezpečnostního perimetru. Uvnitř bezpečnostního perimetru mohou být mezi oblastmi s rozdílnou
úrovní bezpečnosti dodatečné bariéry a perimetry zajišťující kontrolu fyzického přístupu.
V budovách kde sídlí více organizací, by měla být zvážena dodatečná opatření pro
zabezpečení fyzického přístupu.
9.1.2 Kontroly vstupu osob
Opatření
Aby bylo zajištěno, že je přístup do zabezpečených oblastí povolen pouze oprávněným
osobám, měly by být tyto oblasti chráněny vhodným systémem kontrol vstupu.
Doporučení k realizaci
Měla by být zvážena následující opatření:
a) datum a čas příchodu a odchodu návštěvníků by měl být zaznamenán a návštěvníci by
měly být pod stálým dohledem. Návštěvníci by měli získávat oprávnění přístupu jen ze
specifického důvodu a měli by být seznámeni s předpisy o bezpečnostních požadavcích
v oblasti a o nouzových postupech;
b) přístup do oblastí kde se zpracovávají nebo jsou uloženy citlivé informace by měl být
kontrolován a umožněn pouze oprávněným osobám. Pro autorizaci a ověření všech
přístupů by mělo být použito autentizace, například kartou a PIN. Auditní záznam
o všech přístupech by měl být bezpečně uchováván;
c) po všech zaměstnancích, smluvních a třetích stranách a návštěvnících by mělo být
požadováno používat nějakou formu viditelné identifikace V případě, že narazí na
návštěvníka bez doprovodu a jakoukoliv jinou bez viditelného označení, měli by
okamžitě kontaktovat zaměstnance ostrahy;
d) přístup do zabezpečených oblastí nebo k zařízením zpracovávajícím citlivé informace
by měl být umožněn pomocnému servisnímu personálu třetích stran pouze tehdy, když
to je nutné. Takový přístup by měl být schválen a monitorován;
a) přístupová práva do zabezpečených oblastí by měla být pravidelně přezkoumávána
a aktualizována a v případě potřeby zrušena (viz 8.3.3).
9.1.3 Zabezpečení kanceláří, místností a zařízení
Opatření
Mělo by být navrženo a aplikováno fyzické zabezpečení kanceláří, místností a zařízení.
Doporučení k realizaci
Pro zabezpečení kanceláří, místností a zařízení by měla být zvážena následující doporučení:
a) v úvahu by měly být vzaty odpovídající předpisy a normy pro bezpečnost a ochranu zdraví při
práci;
b) důležitá zařízení by měla být situována tak, aby nebyla veřejně přístupná;
c) tam kde je to použitelné, by měly budovy být nenápadné, aby co nejméně naznačovaly
jejich účel, bez nápadného vnějšího nebo vnitřního značení indikujícího přítomnost
prostředků pro zpracování informací;
d) adresáře a interní telefonní seznamy, na jejichž základě by mohlo být zjištěno umístění
prostředků pro zpracování citlivých informací, by neměly být přímo přístupné veřejnosti.
9.1.4 Ochrana před hrozbami vnějšího prostředí
Opatření
Na ochranu proti škodám způsobeným požárem, povodní, zemětřesením, výbuchem, civilními
nepokoji a jinými přírodními nebo lidmi zapříčiněnými katastrofami by měly být navrženy
a aplikovány prvky fyzické ochrany.
Doporučení k realizaci
V úvahu by měly být vzaty i další bezpečnostní hrozby z okolí, například požár v sousední budově,
vytopení vodou z jiné oblasti, výbuch na ulici.
Na ochranu proti škodám způsobeným požárem, povodní, zemětřesením, výbuchem, civilními
nepokoji a jinými přírodními nebo lidmi zapříčiněnými katastrofami by měla být zvážena
následující doporučení:
a) nebezpečné a hořlavé materiály by měly být uchovávány v dostatečné vzdálenosti od
zabezpečených oblastí. Když to není nezbytné, v těchto oblastech by neměly být
přechovávány velké zásoby provozního materiálů, například kancelářských potřeb;
b) záložní zařízení a zálohovací média by měla být umístěna v takové bezpečné
vzdálenosti, aby se zabránilo jejich případnému zničení v případě havárie v hlavních
prostorách;
c) mělo by být zajištěno a vhodně umístěno hasící zařízení.
9.1.5 Práce v zabezpečených oblastech
Opatření
Pro práci v zabezpečených oblastech by měly být navrženy a aplikovány prvky fyzické ochrany.
Doporučení k realizaci
V úvahu by měla být vzata následující opatření.
a) personál by měl mít znalosti o existenci zabezpečené oblasti a o činnostech v ní
probíhajících na základě své oprávněné potřeby;
b) v zabezpečených oblastech by neměla být povolena práce bez dohledu, jak z důvodů
bezpečnosti práce, tak proto, aby se předešlo možnosti škodlivých aktivit;
c) opuštěné zabezpečené oblasti by měly být fyzicky uzamčeny a pravidelně kontrolovány;
d) fotografické, zvukové, obrazové nebo jiné záznamové prostředky by neměly být
používány bez schválení.
Opatření pro práci v zabezpečených oblastech zahrnují kontroly zaměstnanců, smluvních
a třetích stran stejně tak i kontrolu veškerých jejich dalších aktivit.
9.1.6 Veřejný přístup, prostory pro nakládku a vykládku
Opatření
Prostory pro nakládku a vykládku a další místa, kudy se mohou neoprávněné osoby dostat do prostor
organizace, by měla být kontrolována a pokud možno by měla být izolována od zařízení pro zpracování
informací tak, aby se zabránilo neoprávněnému přístupu.
Doporučení k realizaci
V úvahu by měla být vzata následující opatření:
a) přístup do prostor pro nakládku a vykládku by měl být umožněn pouze osobám již
známým a oprávněnému personálu;
b) prostory pro nakládku a vykládku by měly být navrženy tak, aby materiál mohl být
vyložen, aniž by personál dodavatele měl přístup do jiných částí budovy;
c) v případě otevřených vnitřních dveří by měly být vnější dveře skladovacího prostoru
zabezpečeny;
d) došlý materiál by měl být prozkoumán vzhledem k možnému ohrožení (viz 9.2.1 d))
předtím, než bude přemístěn ze skladovacího prostoru na místo použití;
e) došlý materiál by měl být, v souladu s postupy klasifikace a řízení aktiv, při převzetí
zaevidován (viz 5.1);
f) tam kde je to možné by příchozí a odcházející zásilky měly být fyzicky odděleny.
9.2 Bezpečnost zařízení
Cíl: Předcházet ztrátě, poškození nebo kompromitaci aktiv a přerušení činnosti organizace.
Zařízení by měla být fyzicky chráněna proti bezpečnostním hrozbám a působení vnějších vlivů.
Ochrana zařízení (včetně těch, která se používají mimo hlavní lokalitu) je nezbytná jak pro snížení
rizika neautorizovaného přístupu k datům, tak k zajištění ochrany proti ztrátě nebo poškození.
Pozornost by měla být věnována také jejich umístění a likvidaci. Na ochranu proti možnému
ohrožení nebo neautorizovanému přístupu a na ochranu podpůrných prostředků, jako například
dodávky elektrické energie a struktury kabelových rozvodů, mohou být požadována zvláštní
opatření.
9.2.1 Umístění zařízení a jeho ochrana
Opatření
Zařízení by měla být umístěna a chráněna tak, aby se snížila rizika hrozeb a nebezpečí daná
prostředím a aby se omezily příležitosti pro neoprávněný přístup.
Doporučení k realizaci
V úvahu by měla být vzata následující opatření:
a) kde je to možné, zařízení by měla být umístěna tak, aby byl minimalizován nadbytečný
přístup do pracovních prostor;
b) zařízení pro zpracování a ukládání citlivých dat by měla být umístěna tak, aby bylo
sníženo riziko možného odezírání informací;
c) aktiva, která vyžadují zvláštní ochranu, by měla být izolována, aby se snížil rozsah
požadované celkové ochrany;
d) pro minimalizaci rizik potenciálních hrozeb (např. krádež, oheň, výbušniny, kouř, voda,
vibrace, prach, působení chemických látek, rušení elektrického napájení,
elektromagnetické vyzařování a vandalismus) by měla být přijata odpovídající opatření;
e) organizace by měla zvážit svá pravidla týkající se jídla, pití a kouření v blízkosti zařízení
zpracovávajících informace;
f) působení vnějšího prostředí (jako např. teplota a vlhkost), které by mohlo mít vliv na
činnost zařízení pro zpracování informací, by mělo být monitorováno;
g) ve všech budovách by měla být nasazena ochrana proti blesku a ochrannými filtry proti
blesku by měly být osazeny všechny vnější komunikační linky a elektrické vedení;
h) pro zařízení ve výrobním prostředí by mělo být zváženo používání zvláštních ochran,
jako jsou například membránové klávesnice;
i) zařízení zpracovávající citlivé informace by mělo být chráněno, aby se zabránilo úniku
citlivých informací prostřednictvím kompromitujícího (parazitního) elektromagnetického
vyzařování.
9.2.2 Podpůrná zařízení
Opatření
Zařízení by mělo být chráněno před selháním napájení a před dalšími výpadky způsobenými
selháním podpůrných služeb.
Doporučení k realizaci
Veškeré podpůrné služby, jako elektřina, dodávky vody, kanalizace, topení/ventilace
a klimatizace by měly být přiměřené systému, který podporují. Pro snížení rizika špatného
fungování nebo selhání by měly být podpůrné služby pravidelně kontrolovány a vhodným
způsobem testovány. Mělo by být zajištěno vhodné elektrické napájení odpovídající
specifikacím výrobce.
Pro elektrická zařízení zajišťující kritické operace organizace je doporučeno použití záložních
zdrojů UPS13, umožňující korektní ukončení nebo pokračování v práci. Do plánů obnovy
funkčnosti by měly být zapracovány činnosti prováděné v případě selhání UPS. UPS by měla být
pravidelně kontrolována zda má odpovídající kapacitu a testována v souladu s doporučeními
výrobce. Při nutnosti zpracovávání informací v případě déletrvajících výpadků proudu by mělo
být zváženo použití záložního generátoru. Pro zajištění déletrvající činnosti generátoru by mělo
být k dispozici odpovídající množství paliva. UPS a generátor by měly být pravidelně
kontrolovány, aby se zajistilo, že mají dostatečnou kapacitu a měly by být také pravidelně
testovány podle návodu výrobce. Mělo by být zváženo použití více zdrojů dodávek energie
a nebo, v případě rozsáhlých lokalit, oddělené elektrické rozvodny.
V místnostech se zařízením v blízkosti nouzových východů, by měly být instalovány bezpečnostní
(nouzové) vypínače pro rychlé vypnutí napájení v případě nebezpečí. Pro případ výpadku
hlavního napájení by mělo být zajištěno nouzové osvětlení.
Dodávky vody by měly být stabilní a dostatečné pro zajištění klimatizace, pro zvlhčovače
vzduchu a pro automatické hasící systémy (pokud jsou používány). Selhání dodávek vody
může zapříčinit poškození zařízení nebo znemožní spuštění automatických hasících systémů .
Měla by být zvážena možnost použití poplašných zařízení detekujících selhání podpůrných
služeb.
Telekomunikační zařízení by mělo být k poskytovateli služby připojeno nejméně dvěma různými
cestami, aby se zabránilo selhání hlasových služeb v případě, že dojde k výpadku na jedné
z cest. Hlasové služby by měly odpovídat legislativním požadavkům krizové komunikace.
Další informace
Mezi možnosti jak dosáhnout kontinuity napájení patří znásobení přívodů dodávek energie, aby
zařízení nebylo závislé na jednom zdroji.
9.2.3 Bezpečnost kabelových rozvodů
Opatření
Silové a telekomunikační kabelové rozvody, které jsou určeny pro přenos dat a podporu
informačních služeb, by měly být chráněny před poškozením či odposlechem.
Doporučení k realizaci
Měla by být zvážena následující doporučení:
a) napájecí a telekomunikační linky připojené k prostředkům IT by měly tam, kde je to
možné, vést pod zemí nebo by měly být chráněny jiným vhodným způsobem;
b) síťové kabelové rozvody by měly být chráněny před neoprávněným odposlechem nebo
poškozením, například vedením v kolektoru anebo tím, že nebudou vedeny přes
veřejné prostory;
c) napájecí kabely by měly být odděleny od komunikačních rozvodů, aby se zabránilo
interferenci;
d) kabely a zařízení by měly být zřetelně označeny, aby se zabránilo možnosti záměny
v případech provádění oprav poškozených kabelů;
e) pro snížení pravděpodobnosti vzniku chyb by měly být udržován seznam propojení;
f) u citlivých a kritických systémů by měla být další opatření:
1. instalace pancéřového potrubí a zamčených místností nebo skříní v kontrolních
a ukončovacích místech;
2. použití alternativního směrování nebo alternativních přenosových cest
poskytujících přiměřenou bezpečnost;
3. použití optických kabelů;
4. použití stínění kabelů na ochranu před elektromagnetickým vyzařováním;
5. zavedení technických kontrol a fyzických přezkoumání s následným odpojením
neschválených zařízení připojených do rozvodů;
6. řízení přístupu k propojovacím panelům a k rozvodnám kabelů.
9.2.4 Údržba zařízení
Opatření
Zařízení by mělo být správně udržováno pro zajištění jeho stálé dostupnosti a integrity.
Doporučení k realizaci
V úvahu by měla být vzata následující opatření:
a) zařízení by měla být udržována a provozována v souladu s doporučeními dodavatele;
b) opravy a servis zařízení by měl provádět pouze oprávněný personál;
c) o všech závadách nebo podezřelých chybách by měly být pořízeny záznamy, stejně
tak o preventivních prohlídkách a opravách;
d) jak v případech údržby zařízení v rámci objektu, tak při jeho odeslání mimo objekt by
měla být dodržena odpovídající opatření. V případech, kdy údržbu zařízení neprovádí
prověřený personál, by z něj měly být odstraněny veškeré citlivé informace;
e) měly by být splněny všechny pojistné podmínky.
9.2.5 Bezpečnost zařízení mimo prostory organizace
Opatření
Zařízení používané mimo prostory organizace by mělo být zabezpečeno s přihlédnutím k různým
rizikům vyplývajících z jejich použití mimo organizaci.
Doporučení k realizaci
Použití zařízení pro zpracování informací, bez ohledu na jejich vlastníka, mimo budovy
organizace by mělo podléhat schválení vedením organizace.
Při práci mimo prostory organizace by měla být zvážena následující doporučení:
a) při cestách mimo organizaci by zařízení a média ve veřejných prostorách neměla být
ponechána bez dozoru. Přenosný počítač by měl být přepravován jako příruční
zavazadlo a v rámci možností ukrýván;
b) měly by se dodržovat pokyny výrobce týkající se ochrany zařízení, například zajištění
ochrany proti působení silného magnetického pole;
c) pro práci doma by měla být určena vhodná opatření na základě hodnocení rizik, například
uzamykatelné skříňky, pravidlo prázdného stolu, kontrola přístupu k počítači
a zabezpečení spojení s kanceláří (viz také ISO/IEC 18028 Network Security);
d) zařízení používané mimo prostory organizace by mělo být pojištěno.
Bezpečnostní rizika, jako například poškození, krádež a odposlech, se mohou v různých
lokalitách značně lišit a to by mělo být zváženo při výběru těch nejvhodnějších bezpečnostních
opatření.
Další informace
Zařízení pro zpracování informací zahrnují všechny druhy osobních počítačů, organizérů,
mobilních telefonů, čipových karet, dokumentů a ostatních zařízení, používaných pro práci
doma nebo vynášených mimo normální pracovní umístění.
Více informací o dalších hlediscích ochrany přenosných zařízení lze najít v 11.7.1.
9.2.6 Bezpečná likvidace nebo opakované použití zařízení
Opatření
Všechna zařízení obsahující paměťová média by měla být kontrolována tak, aby bylo možné
zajistit, že před jejich likvidací nebo opakovaným použitím budou citlivá data a licencované
programové vybavení odstraněna nebo přepsána.
Doporučení k realizaci
U zařízení obsahujících citlivé informace by mělo být preferováno fyzické zničení nebo
bezpečné smazání/přepsání dat za použití postupů znemožňujících jejich obnovu a to ještě
před použitím běžné funkce mazání nebo formátování.
Další informace
Rozhodování o zničení, opravení nebo vyřazení poškozených zařízení obsahujících citlivá data by
mělo být založeno na hodnocení rizik.
Informace organizace mohou být prozrazeny při nedbalé likvidaci nebo opakovaném použití
zařízení (viz také 10.7.2).
9.2.7 Přemístění majetku
Opatření
Zařízení, informace nebo programové vybavení by bez schválení nemělo být přemisťováno.
Doporučení k realizaci
Měla by být zvážena následující doporučení:
a) zařízení, informace nebo programové vybavení by neměly být přemisťovány bez
předchozího schválení;
b) měli by být určeni zaměstnanci, případně pracovníci smluvních a třetích stran, kteří
mohou udílet povolení k přemístění aktiv organizace;
c) přemístění vybavení by mělo být časově omezeno a jeho včasné navrácení
kontrolováno;
d) tam kde je to požadováno měly by být pořízeny záznamy o přemístění vybavení a jeho
navrácení.
Další informace
Pro zjištění neschváleného přenášení majetku, nepovoleného vnášení nahrávacích zařízení,
zbraní, atd., by měly být prováděny namátkové kontroly. Namátkové kontroly by měly být
prováděny v souladu s odpovídajícími zákony a předpisy. Zaměstnanci by si měli být vědomi,
že takové kontroly probíhají.