Fyzická bezpečnost a bezpečnost prostředí

9.1 Zabezpečené oblasti

Cíl: Předcházet neautorizovanému přístupu do vymezených prostor, předcházet poškození

a zásahům do provozních budov a informací organizace.

Zařízení zpracovávající kritické nebo citlivé informace organizace, by měla být umístěny

v zabezpečených zónách chráněných definovaným bezpečnostním perimetrem s odpovídajícími

bezpečnostními bariérami a vstupními kontrolami. Tato zařízení by měla být fyzicky chráněna

proti neautorizovanému přístupu, poškození a narušení.

Jejich ochrana by měla odpovídat zjištěným rizikům.

9.1.1 Fyzický bezpečnostní perimetr

Opatření

Při ochraně prostor ve kterých se nachází informace nebo zařízení pro zpracování informací by

měly být používány bezpečnostní perimetry (bariéry jako například zdi, vstupní turniket na karty

nebo recepce).

Doporučení k realizaci

Následující doporučení a opatření by měla být zvážena a podle vhodnosti implementována:

a) měl by být jasně definován bezpečnostní perimetr, umístění a úroveň každého

bezpečnostního perimetru by mělo záviset na bezpečnostních požadavcích na aktiva, uvnitř

perimetru, a na výsledku hodnocení rizik;

b) perimetr budovy nebo oblasti obsahující zařízení pro zpracování informací by měl být

v řádném stavu (tj. neměla by v perimetru nebo v oblasti existovat slabá, lehce

proniknutelná místa). Obvodové zdi objektu by měly mít pevnou konstrukci a vstupní dveře

by měly být chráněny před neautorizovaným vstupem zabezpečeny kontrolními

mechanizmy např. mřížemi, alarmy, zámky apod. Dveře a okna by měla být v případě

nepřítomnosti uzavřeny. U oken, zejména pokud jsou v přízemí, by mělo být zváženo

využití externích ochranných prvků;

c) pro kontrolu fyzického přístupu do objektu nebo budovy by mělo být využíváno recepce

či jiných prostředků. Vstup by měl být umožněn pouze oprávněným osobám;

d) fyzické bariéry by měly, tam kde je to použitelné, být postaveny tak, aby chránily před

neoprávněným vstupem a kontaminací;

e) požární dveře v bezpečnostním perimetru by měly být opatřeny elektronickým

zabezpečovacím systémem (EZS) a měly by být monitorovány. Požární dveře (stejně

tak i zdi) by měly splňovat požadovanou úroveň odolnosti, dle příslušných požadavků

místních, národních a mezinárodních norem;

f) vnější dveře a dosažitelná okna by měly být chráněny vhodným detekčním systémem,

který odpovídá místním, národním a mezinárodním normám a je pravidelně testován.

Opuštěné prostory by měly být chráněny nepřetržitě, pod ochranou by měly být i další

oblasti, například počítačové a komunikační místnosti;

g) zařízení pro zpracování informací spravované organizací by měla být fyzicky oddělena od

prostředků třetích stran.

Další informace

Fyzické ochrany může být dosaženo prostřednictvím řady fyzických bariér kolem prostor

organizace a kolem prostředků zpracovávajících informace. Znásobení počtu bariér dodává

dodatečnou ochranu, selhání jedné bariéry pak neznamená okamžitou kompromitaci bezpečnosti.

Zabezpečenou oblastí může být uzamykatelná kancelář nebo několik místností uvnitř fyzického

bezpečnostního perimetru. Uvnitř bezpečnostního perimetru mohou být mezi oblastmi s rozdílnou

úrovní bezpečnosti dodatečné bariéry a perimetry zajišťující kontrolu fyzického přístupu.

V budovách kde sídlí více organizací, by měla být zvážena dodatečná opatření pro

zabezpečení fyzického přístupu.

9.1.2 Kontroly vstupu osob

Opatření

Aby bylo zajištěno, že je přístup do zabezpečených oblastí povolen pouze oprávněným

osobám, měly by být tyto oblasti chráněny vhodným systémem kontrol vstupu.

Doporučení k realizaci

Měla by být zvážena následující opatření:

a) datum a čas příchodu a odchodu návštěvníků by měl být zaznamenán a návštěvníci by

měly být pod stálým dohledem. Návštěvníci by měli získávat oprávnění přístupu jen ze

specifického důvodu a měli by být seznámeni s předpisy o bezpečnostních požadavcích

v oblasti a o nouzových postupech;

b) přístup do oblastí kde se zpracovávají nebo jsou uloženy citlivé informace by měl být

kontrolován a umožněn pouze oprávněným osobám. Pro autorizaci a ověření všech

přístupů by mělo být použito autentizace, například kartou a PIN. Auditní záznam

o všech přístupech by měl být bezpečně uchováván;

c) po všech zaměstnancích, smluvních a třetích stranách a návštěvnících by mělo být

požadováno používat nějakou formu viditelné identifikace V případě, že narazí na

návštěvníka bez doprovodu a jakoukoliv jinou bez viditelného označení, měli by

okamžitě kontaktovat zaměstnance ostrahy;

d) přístup do zabezpečených oblastí nebo k zařízením zpracovávajícím citlivé informace

by měl být umožněn pomocnému servisnímu personálu třetích stran pouze tehdy, když

to je nutné. Takový přístup by měl být schválen a monitorován;

a) přístupová práva do zabezpečených oblastí by měla být pravidelně přezkoumávána

a aktualizována a v případě potřeby zrušena (viz 8.3.3).

9.1.3 Zabezpečení kanceláří, místností a zařízení

Opatření

Mělo by být navrženo a aplikováno fyzické zabezpečení kanceláří, místností a zařízení.

Doporučení k realizaci

Pro zabezpečení kanceláří, místností a zařízení by měla být zvážena následující doporučení:

a) v úvahu by měly být vzaty odpovídající předpisy a normy pro bezpečnost a ochranu zdraví při

práci;

b) důležitá zařízení by měla být situována tak, aby nebyla veřejně přístupná;

c) tam kde je to použitelné, by měly budovy být nenápadné, aby co nejméně naznačovaly

jejich účel, bez nápadného vnějšího nebo vnitřního značení indikujícího přítomnost

prostředků pro zpracování informací;

d) adresáře a interní telefonní seznamy, na jejichž základě by mohlo být zjištěno umístění

prostředků pro zpracování citlivých informací, by neměly být přímo přístupné veřejnosti.

9.1.4 Ochrana před hrozbami vnějšího prostředí

Opatření

Na ochranu proti škodám způsobeným požárem, povodní, zemětřesením, výbuchem, civilními

nepokoji a jinými přírodními nebo lidmi zapříčiněnými katastrofami by měly být navrženy

a aplikovány prvky fyzické ochrany.

Doporučení k realizaci

V úvahu by měly být vzaty i další bezpečnostní hrozby z okolí, například požár v sousední budově,

vytopení vodou z jiné oblasti, výbuch na ulici.

Na ochranu proti škodám způsobeným požárem, povodní, zemětřesením, výbuchem, civilními

nepokoji a jinými přírodními nebo lidmi zapříčiněnými katastrofami by měla být zvážena

následující doporučení:

a) nebezpečné a hořlavé materiály by měly být uchovávány v dostatečné vzdálenosti od

zabezpečených oblastí. Když to není nezbytné, v těchto oblastech by neměly být

přechovávány velké zásoby provozního materiálů, například kancelářských potřeb;

b) záložní zařízení a zálohovací média by měla být umístěna v takové bezpečné

vzdálenosti, aby se zabránilo jejich případnému zničení v případě havárie v hlavních

prostorách;

c) mělo by být zajištěno a vhodně umístěno hasící zařízení.

9.1.5 Práce v zabezpečených oblastech

Opatření

Pro práci v zabezpečených oblastech by měly být navrženy a aplikovány prvky fyzické ochrany.

Doporučení k realizaci

V úvahu by měla být vzata následující opatření.

a) personál by měl mít znalosti o existenci zabezpečené oblasti a o činnostech v ní

probíhajících na základě své oprávněné potřeby;

b) v zabezpečených oblastech by neměla být povolena práce bez dohledu, jak z důvodů

bezpečnosti práce, tak proto, aby se předešlo možnosti škodlivých aktivit;

c) opuštěné zabezpečené oblasti by měly být fyzicky uzamčeny a pravidelně kontrolovány;

d) fotografické, zvukové, obrazové nebo jiné záznamové prostředky by neměly být

používány bez schválení.

Opatření pro práci v zabezpečených oblastech zahrnují kontroly zaměstnanců, smluvních

a třetích stran stejně tak i kontrolu veškerých jejich dalších aktivit.

9.1.6 Veřejný přístup, prostory pro nakládku a vykládku

Opatření

Prostory pro nakládku a vykládku a další místa, kudy se mohou neoprávněné osoby dostat do prostor

organizace, by měla být kontrolována a pokud možno by měla být izolována od zařízení pro zpracování

informací tak, aby se zabránilo neoprávněnému přístupu.

Doporučení k realizaci

V úvahu by měla být vzata následující opatření:

a) přístup do prostor pro nakládku a vykládku by měl být umožněn pouze osobám již

známým a oprávněnému personálu;

b) prostory pro nakládku a vykládku by měly být navrženy tak, aby materiál mohl být

vyložen, aniž by personál dodavatele měl přístup do jiných částí budovy;

c) v případě otevřených vnitřních dveří by měly být vnější dveře skladovacího prostoru

zabezpečeny;

d) došlý materiál by měl být prozkoumán vzhledem k možnému ohrožení (viz 9.2.1 d))

předtím, než bude přemístěn ze skladovacího prostoru na místo použití;

e) došlý materiál by měl být, v souladu s postupy klasifikace a řízení aktiv, při převzetí

zaevidován (viz 5.1);

f) tam kde je to možné by příchozí a odcházející zásilky měly být fyzicky odděleny.

9.2 Bezpečnost zařízení

Cíl: Předcházet ztrátě, poškození nebo kompromitaci aktiv a přerušení činnosti organizace.

Zařízení by měla být fyzicky chráněna proti bezpečnostním hrozbám a působení vnějších vlivů.

Ochrana zařízení (včetně těch, která se používají mimo hlavní lokalitu) je nezbytná jak pro snížení

rizika neautorizovaného přístupu k datům, tak k zajištění ochrany proti ztrátě nebo poškození.

Pozornost by měla být věnována také jejich umístění a likvidaci. Na ochranu proti možnému

ohrožení nebo neautorizovanému přístupu a na ochranu podpůrných prostředků, jako například

dodávky elektrické energie a struktury kabelových rozvodů, mohou být požadována zvláštní

opatření.

9.2.1 Umístění zařízení a jeho ochrana

Opatření

Zařízení by měla být umístěna a chráněna tak, aby se snížila rizika hrozeb a nebezpečí daná

prostředím a aby se omezily příležitosti pro neoprávněný přístup.

Doporučení k realizaci

V úvahu by měla být vzata následující opatření:

a) kde je to možné, zařízení by měla být umístěna tak, aby byl minimalizován nadbytečný

přístup do pracovních prostor;

b) zařízení pro zpracování a ukládání citlivých dat by měla být umístěna tak, aby bylo

sníženo riziko možného odezírání informací;

c) aktiva, která vyžadují zvláštní ochranu, by měla být izolována, aby se snížil rozsah

požadované celkové ochrany;

d) pro minimalizaci rizik potenciálních hrozeb (např. krádež, oheň, výbušniny, kouř, voda,

vibrace, prach, působení chemických látek, rušení elektrického napájení,

elektromagnetické vyzařování a vandalismus) by měla být přijata odpovídající opatření;

e) organizace by měla zvážit svá pravidla týkající se jídla, pití a kouření v blízkosti zařízení

zpracovávajících informace;

f) působení vnějšího prostředí (jako např. teplota a vlhkost), které by mohlo mít vliv na

činnost zařízení pro zpracování informací, by mělo být monitorováno;

g) ve všech budovách by měla být nasazena ochrana proti blesku a ochrannými filtry proti

blesku by měly být osazeny všechny vnější komunikační linky a elektrické vedení;

h) pro zařízení ve výrobním prostředí by mělo být zváženo používání zvláštních ochran,

jako jsou například membránové klávesnice;

i) zařízení zpracovávající citlivé informace by mělo být chráněno, aby se zabránilo úniku

citlivých informací prostřednictvím kompromitujícího (parazitního) elektromagnetického

vyzařování.

9.2.2 Podpůrná zařízení

Opatření

Zařízení by mělo být chráněno před selháním napájení a před dalšími výpadky způsobenými

selháním podpůrných služeb.

Doporučení k realizaci

Veškeré podpůrné služby, jako elektřina, dodávky vody, kanalizace, topení/ventilace

a klimatizace by měly být přiměřené systému, který podporují. Pro snížení rizika špatného

fungování nebo selhání by měly být podpůrné služby pravidelně kontrolovány a vhodným

způsobem testovány. Mělo by být zajištěno vhodné elektrické napájení odpovídající

specifikacím výrobce.

Pro elektrická zařízení zajišťující kritické operace organizace je doporučeno použití záložních

zdrojů UPS13, umožňující korektní ukončení nebo pokračování v práci. Do plánů obnovy

funkčnosti by měly být zapracovány činnosti prováděné v případě selhání UPS. UPS by měla být

pravidelně kontrolována zda má odpovídající kapacitu a testována v souladu s doporučeními

výrobce. Při nutnosti zpracovávání informací v případě déletrvajících výpadků proudu by mělo

být zváženo použití záložního generátoru. Pro zajištění déletrvající činnosti generátoru by mělo

být k dispozici odpovídající množství paliva. UPS a generátor by měly být pravidelně

kontrolovány, aby se zajistilo, že mají dostatečnou kapacitu a měly by být také pravidelně

testovány podle návodu výrobce. Mělo by být zváženo použití více zdrojů dodávek energie

a nebo, v případě rozsáhlých lokalit, oddělené elektrické rozvodny.

V místnostech se zařízením v blízkosti nouzových východů, by měly být instalovány bezpečnostní

(nouzové) vypínače pro rychlé vypnutí napájení v případě nebezpečí. Pro případ výpadku

hlavního napájení by mělo být zajištěno nouzové osvětlení.

Dodávky vody by měly být stabilní a dostatečné pro zajištění klimatizace, pro zvlhčovače

vzduchu a pro automatické hasící systémy (pokud jsou používány). Selhání dodávek vody

může zapříčinit poškození zařízení nebo znemožní spuštění automatických hasících systémů .

Měla by být zvážena možnost použití poplašných zařízení detekujících selhání podpůrných

služeb.

Telekomunikační zařízení by mělo být k poskytovateli služby připojeno nejméně dvěma různými

cestami, aby se zabránilo selhání hlasových služeb v případě, že dojde k výpadku na jedné

z cest. Hlasové služby by měly odpovídat legislativním požadavkům krizové komunikace.

Další informace

Mezi možnosti jak dosáhnout kontinuity napájení patří znásobení přívodů dodávek energie, aby

zařízení nebylo závislé na jednom zdroji.

9.2.3 Bezpečnost kabelových rozvodů

Opatření

Silové a telekomunikační kabelové rozvody, které jsou určeny pro přenos dat a podporu

informačních služeb, by měly být chráněny před poškozením či odposlechem.

Doporučení k realizaci

Měla by být zvážena následující doporučení:

a) napájecí a telekomunikační linky připojené k prostředkům IT by měly tam, kde je to

možné, vést pod zemí nebo by měly být chráněny jiným vhodným způsobem;

b) síťové kabelové rozvody by měly být chráněny před neoprávněným odposlechem nebo

poškozením, například vedením v kolektoru anebo tím, že nebudou vedeny přes

veřejné prostory;

c) napájecí kabely by měly být odděleny od komunikačních rozvodů, aby se zabránilo

interferenci;

d) kabely a zařízení by měly být zřetelně označeny, aby se zabránilo možnosti záměny

v případech provádění oprav poškozených kabelů;

e) pro snížení pravděpodobnosti vzniku chyb by měly být udržován seznam propojení;

f) u citlivých a kritických systémů by měla být další opatření:

1. instalace pancéřového potrubí a zamčených místností nebo skříní v kontrolních

a ukončovacích místech;

2. použití alternativního směrování nebo alternativních přenosových cest

poskytujících přiměřenou bezpečnost;

3. použití optických kabelů;

4. použití stínění kabelů na ochranu před elektromagnetickým vyzařováním;

5. zavedení technických kontrol a fyzických přezkoumání s následným odpojením

neschválených zařízení připojených do rozvodů;

6. řízení přístupu k propojovacím panelům a k rozvodnám kabelů.

9.2.4 Údržba zařízení

Opatření

Zařízení by mělo být správně udržováno pro zajištění jeho stálé dostupnosti a integrity.

Doporučení k realizaci

V úvahu by měla být vzata následující opatření:

a) zařízení by měla být udržována a provozována v souladu s doporučeními dodavatele;

b) opravy a servis zařízení by měl provádět pouze oprávněný personál;

c) o všech závadách nebo podezřelých chybách by měly být pořízeny záznamy, stejně

tak o preventivních prohlídkách a opravách;

d) jak v případech údržby zařízení v rámci objektu, tak při jeho odeslání mimo objekt by

měla být dodržena odpovídající opatření. V případech, kdy údržbu zařízení neprovádí

prověřený personál, by z něj měly být odstraněny veškeré citlivé informace;

e) měly by být splněny všechny pojistné podmínky.

9.2.5 Bezpečnost zařízení mimo prostory organizace

Opatření

Zařízení používané mimo prostory organizace by mělo být zabezpečeno s přihlédnutím k různým

rizikům vyplývajících z jejich použití mimo organizaci.

Doporučení k realizaci

Použití zařízení pro zpracování informací, bez ohledu na jejich vlastníka, mimo budovy

organizace by mělo podléhat schválení vedením organizace.

Při práci mimo prostory organizace by měla být zvážena následující doporučení:

a) při cestách mimo organizaci by zařízení a média ve veřejných prostorách neměla být

ponechána bez dozoru. Přenosný počítač by měl být přepravován jako příruční

zavazadlo a v rámci možností ukrýván;

b) měly by se dodržovat pokyny výrobce týkající se ochrany zařízení, například zajištění

ochrany proti působení silného magnetického pole;

c) pro práci doma by měla být určena vhodná opatření na základě hodnocení rizik, například

uzamykatelné skříňky, pravidlo prázdného stolu, kontrola přístupu k počítači

a zabezpečení spojení s kanceláří (viz také ISO/IEC 18028 Network Security);

d) zařízení používané mimo prostory organizace by mělo být pojištěno.

Bezpečnostní rizika, jako například poškození, krádež a odposlech, se mohou v různých

lokalitách značně lišit a to by mělo být zváženo při výběru těch nejvhodnějších bezpečnostních

opatření.

Další informace

Zařízení pro zpracování informací zahrnují všechny druhy osobních počítačů, organizérů,

mobilních telefonů, čipových karet, dokumentů a ostatních zařízení, používaných pro práci

doma nebo vynášených mimo normální pracovní umístění.

Více informací o dalších hlediscích ochrany přenosných zařízení lze najít v 11.7.1.

9.2.6 Bezpečná likvidace nebo opakované použití zařízení

Opatření

Všechna zařízení obsahující paměťová média by měla být kontrolována tak, aby bylo možné

zajistit, že před jejich likvidací nebo opakovaným použitím budou citlivá data a licencované

programové vybavení odstraněna nebo přepsána.

Doporučení k realizaci

U zařízení obsahujících citlivé informace by mělo být preferováno fyzické zničení nebo

bezpečné smazání/přepsání dat za použití postupů znemožňujících jejich obnovu a to ještě

před použitím běžné funkce mazání nebo formátování.

Další informace

Rozhodování o zničení, opravení nebo vyřazení poškozených zařízení obsahujících citlivá data by

mělo být založeno na hodnocení rizik.

Informace organizace mohou být prozrazeny při nedbalé likvidaci nebo opakovaném použití

zařízení (viz také 10.7.2).

9.2.7 Přemístění majetku

Opatření

Zařízení, informace nebo programové vybavení by bez schválení nemělo být přemisťováno.

Doporučení k realizaci

Měla by být zvážena následující doporučení:

a) zařízení, informace nebo programové vybavení by neměly být přemisťovány bez

předchozího schválení;

b) měli by být určeni zaměstnanci, případně pracovníci smluvních a třetích stran, kteří

mohou udílet povolení k přemístění aktiv organizace;

c) přemístění vybavení by mělo být časově omezeno a jeho včasné navrácení

kontrolováno;

d) tam kde je to požadováno měly by být pořízeny záznamy o přemístění vybavení a jeho

navrácení.

Další informace

Pro zjištění neschváleného přenášení majetku, nepovoleného vnášení nahrávacích zařízení,

zbraní, atd., by měly být prováděny namátkové kontroly. Namátkové kontroly by měly být

prováděny v souladu s odpovídajícími zákony a předpisy. Zaměstnanci by si měli být vědomi,

že takové kontroly probíhají.