Learn more about the connected frameworks

7.4
ISO 27001

Physical security monitoring

9.3 (MIL1)
C2M2

Implement IT and OT Asset Security as an Element of the Cybersecurity Architecture

Other tasks from the same security theme

Notification process in case of loss of physical identifiers

Critical
High
Normal
Low

Staff have instructions and tools to help them report a lost physical identifier (e.g. keychain, smart card, smart sticker).

11.1.2: Physical entry controls
ISO 27001
7.2: Physical entry
ISO 27001

Physical access control to building, offices and other premises

Critical
High
Normal
Low

Secure areas of the organization cannot be accessed unnoticed. The premises are protected by appropriate access control. Only authorized persons have access to the secure areas.

F04: Kulkuoikeuksien hallinta
11.1.2: Physical entry controls
ISO 27001
11.1.1: Physical security perimeter
ISO 27001
PR.AC-2: Physical access control
NIST CSF
DE.CM-2: The physical environment monitoring
NIST CSF

Visitor instructions and log

Critical
High
Normal
Low

Visitors shall have access to secure areas only with permission, after they are appropriately identified and their access rights shall be limited to the necessary facilities. All visits are recorded in the visitor log. In addition, staff have guidelines about safe operating in connection with visits.

11.1.2: Physical entry controls
ISO 27001
F04: Kulkuoikeuksien hallinta
PR.AC-2: Physical access control
NIST CSF
7.2: Physical entry
ISO 27001

Guidelines for operating in processing areas for confidential information

Critical
High
Normal
Low

Organization has defined the areas for handling confidential information and the operating rules that are followed in all activities that take place in the corresponding areas.

In the rules, consideration should be given to the following points:

  • the rules and related areas are communicated only personnel for whom the information is relevant
  • unsupervised work in areas is minimized
  • areas are physically locked and checked regularly
  • prohibition of unauthorized recording devices (e.g. phones, video cameras)
  • monitoring the transportation of terminal devices
  • publishing emergency instructions in an easily accessible way
11.1.5: Working in secure areas
ISO 27001
7.6: Working in secure areas
ISO 27001

Continuous monitoring of physical access to critical facilities

Critical
High
Normal
Low

Access to buildings containing critical systems must be constantly monitored to detect unauthorized access or suspicious activity. The following issues should be taken into account in monitoring practices:

  • touch, sound or motion detectors that trigger an intrusion alarm
  • covering exterior doors and windows using sensors
  • supervision of unstaffed and otherwise important (e.g. server or communication technology) premises
  • regular testing of alarm systems

Information related to surveillance systems should be kept confidential, as disclosure of information can facilitate undetected breaches. The monitoring systems themselves must also be properly protected, so that the recordings or system status cannot be affected without permission.

7.4: Physical security monitoring
ISO 27001
9.3 (MIL1): Implement IT and OT Asset Security as an Element of the Cybersecurity Architecture
C2M2

Hajasäteilyn (TEMPEST) vastatoimet (TL I)

Critical
High
Normal
Low

Turvallisuusluokan I tietojen suojaamisessa tulee huomioida turvallisuusluokan II tiedoista eroavat riskit ja suhteutettava nämä toteutettaviin turvatoimiin. Hajasäteilyä ja siltä suojautumisen periaatteita on kuvattu yksityiskohtaisemmin Kyberturvallisuuskeskuksen hajasäteilyltä suojautumisen ohjeessa.

No items found.

Hajasäteilyn (TEMPEST) vastatoimet ja riittävyyden toteaminen (TL II)

Critical
High
Normal
Low

On toteutettu turvatoimet hajasäteilyn kautta mahdollistuvien tietovuotojen estämiseksi, jotka on mitoitettu riskeihin ja tiedon turvallisuusluokkaan. Kohteen toimien riittävyys voidaan todentaa vyöhykemittauksella tai suojatun tilan mittauksella.

No items found.

Hajasäteilyn (TEMPEST) vastatoimet (TL III)

Critical
High
Normal
Low

Hajasäteily voi mahdollistaa tahattomia sähkömagneettisia tietovuotoja. Organisaatio on tunnistanut ja arvioinut hajasäteilyyn liittyvät riskit. Turvatoimet tai korvaavat menettelyt on mitoitettu riskeihin, tiedon turvallisuusluokkaan ja hyväksyttävään jäännösriskitasoon.

TEMPEST-turvatoimet on suhteutettava tiedon hyväksikäytön riskiin ja turvallisuusluokkaan. Käsiteltäessä turvallisuusluokan III tai II tietoja sähköisesti, on pidettävä huolta, että elektroniseen tiedusteluun liittyviä riskejä on pienennetty riittävästi.

No items found.

Training against unauthorized ingress and egress

Critical
High
Normal
Low

The organization must conduct regular exercises to test for the detection of unauthorized intrusion and for procedures to respond to unauthorized intrusion.

No items found.

Access control on datacenter perimeter

Critical
High
Normal
Low

The organization must use access control techniques on the perimeter of the data center. Access control can consist of e.g. alarm systems, surveillance equipment (e.g motion detectors, cameras) and surveillance staff.

Access control must extend to all entry and exit points to detect unauthorized entry and exit.

No items found.

Access control for secure areas

Critical
High
Normal
Low

The organization shall allow only pre-approved personnel access to security restricted areas.

All entry and exit points shall be blocked, documented and controlled by access control systems by default.

All access to security restricted areas must create log events and the organization must determine how long the logs will be retained.

No items found.

Teknisen turva-alueen suojauskäytännöt

Critical
High
Normal
Low

Suojaustason IV-II tietoja voidaan käsitellä turva-alueella. Suojaustason III-II tason tietoja tulee säilyttää turva-alueella.

Teknisillä turva-alueilla noudatetaan turva-alueiden suojauskäytäntöjä sekä seuraavia lisäkäytäntöjä:

  • Alueella on murtohälytysjärjestelmä.
  • Alue pidetään lukittuna silloin, kun se ei ole käytössä, ja vartioituna silloin, kun se on käytössä.
  • Avaimia valvotaan.
  • Alueelle tulevia henkilöitä ja aineistoja valvotaan.
  • Alue tarkastetaan säännöllisesti mahdollisten luvattomien tietoliikenneyhteyksien ja viestintävälineiden sekä muiden elektronisten laitteiden löytämiseksi.
  • Alueella ei ole luvattomia tietoliikenneyhteyksiä tai laitteita
F02: Hallinnolliset alueet, turva-alueet ja tekniset turva-alueet

Turva-alueen suojauskäytännöt

Critical
High
Normal
Low

Suojaustason IV-II tietoja voidaan käsitellä turva-alueella. Suojaustason III-II tason tietoja tulee säilyttää turva-alueella.

Turva-alueilla noudatetaan seuraavia suojauskäytäntöjä:

  • Alueella on selkeästi määritellyt ja suojatut rajat, joilla valvotaan kaikkea kulkua sisään ja ulos kulkuluvin tai henkilökohtaisesti tunnistamalla.
  • Alueelle on pääsy ilman saattajaa vain henkilöillä, joilla on asianmukainen turvallisuusselvitys ja erityinen lupa tulla alueelle tiedonsaantitarpeensa perusteella. Kaikilla muilla henkilöillä on aina oltava saattaja tai heille on tehtävä vastaavat tarkastukset.
  • Aluetta rajaavat rakenteet muodostavat kokonaisuuden, joka tarjoaa riskeihin nähden riittävän suojan asiattoman pääsyn estämiseksi.
  • Mikäli alueella säilytetään salassa pidettäviä tietoja, tulee siellä olla kyseisen tiedon säilyttämiseen hyväksytty tila tai säilytysratkaisu.
  • Mikäli alueelle ei ole asennettu murtohälytysjärjestelmää ja alueella ei ole henkilöstöä palveluksessa ympäri vuorokauden, se on tarvittaessa tarkistettava normaalin työajan päätteeksi ja satunnaisin ajankohdin sen ulkopuolella.

Jos alueelle tulo merkitsee käytännössä välitöntä pääsyä sillä oleviin salassa pidettäviin tietoihin, sovelletaan lisäksi seuraavia vaatimuksia:

  • On varmistettu, että alueella tavanomaisesti säilytettyjen tietojen korkein suojaustaso tai turvallisuusluokka on tiedon käsittelijän tiedossa.
  • Kaikilla vierailijoilla on oltava erityinen lupa tulla alueelle. Heillä on aina oltava saattaja ja asianmukainen turvallisuusselvitys, paitsi jos on tehty toimia, joilla varmistetaan, ettei henkilöllä ole pääsyä sellaisiin tietoihin, joihin tällä ei ole oikeutta.

Alueelle on laadittu turvallisuusmenettelyt, joissa on määräykset seuraavista:

  • Korkein suojaustaso- tai turvallisuusluokka, jota alueella voidaan käsitellä.
  • Sovellettavat valvonta- ja suojatoimenpiteet.
  • Henkilöt, joilla on pääsy alueelle ilman saattajaa tiedonsaantitarpeensa ja turvallisuusselvityksensä perusteella.
  • Henkilön saattamiseen liittyvät menettelyt.
  • Muut asiaan kuuluvat toimenpiteet ja menettelyt.
F02: Hallinnolliset alueet, turva-alueet ja tekniset turva-alueet

Hallinnollisen alueen suojauskäytännöt

Critical
High
Normal
Low

Suojaustason IV-II tietoja voidaan käsitellä hallinnollisella alueella, jos sivullisten pääsy tietoihin on estetty. Suojaustason IV tietoja voidaan säilyttää hallinnollisella alueella.

Hallinnollisilla alueilla noudatetaan seuraavia suojauskäytäntöjä:

  • Alueella on selkeästi määritellyt näkyvät rajat, joilla henkilöt ja mahdollisuuksien mukaan ajoneuvot voidaan tarkastaa.
  • Alueelle on pääsy ilman saattajaa vain henkilöillä, joilla on lupa tulla alueelle. Kaikilla muilla henkilöillä on aina oltava saattaja tai heille on tehtävä vastaavat tarkastukset.
  • Mikäli alueella säilytetään salassa pidettäviä tietoja, alueella on kyseisen tiedon säilyttämiseen hyväksytty tila tai säilytysratkaisu.
  • Mikäli alueella käsitellään salassa pidettäviä tietoja, sivullisten pääsy tietoihin on estetty.
F02: Hallinnolliset alueet, turva-alueet ja tekniset turva-alueet

Salassapidettävien tietojen käsittelyyn tarkoitettujen alueiden määrittely ja suojauksen varmistaminen

Critical
High
Normal
Low

Organisaatio on määritellyt eritasoiset tietojen fyysiseksi suojaamiseksi tarvittavat alueet (hallinnollinen alue, turva-alue ja tekninen turva-alue), joissa käsitellään salassa pidettäviä tietoja. Vastuuhenkilö varmistaa, että alueilla noudatetaan suojaustason mukaisia suojauskäytäntöjä.

Alueella voidaan tarkoittaa mm. huonetta, laitetilaa, varastoa, arkistotilaa, niiden muodostamaa kokonaisuutta tai muuta rakennuksen osaa. Rakennuksissa sekä toimitiloissa voi olla useita eri turvallisuusvyöhykkeisiin kuuluvia alueita.

Suojaustason IV-II tietoja voidaan käsitellä turva-alueella. Suojaustason IV-II tietoja voidaan käsitellä myös hallinnollisella alueella, jos sivullisten pääsy tietoihin on estetty. Suojaustason IV tietoja voidaan säilyttää hallinnollisella alueella. Suojaustason III-II tason tietoja tulee säilyttää turva-alueella.

F02: Hallinnolliset alueet, turva-alueet ja tekniset turva-alueet

Avainten hallintajärjestelmä

Critical
High
Normal
Low

Avainten hallintajärjestelmällä on vastuuhenkilö ja menettelytavat avainten hallintaan on ohjeistettu ja dokumentoitu.

Järjestelmän menettelyt voivat olla mm.:

  • Vastuuhenkilöllä on luettelo jaetuista ja hallussaan olevista avaimista
  • Avaimen luovutusperuste kirjataan dokumenttiin
  • Avaimet voidaan luovuttaa vain kulkuoikeuden omaavalle henkilölle
  • Henkilöstössä tapahtuvat muutokset välittyvät tarvittaessa avainten hallintaoikeuteen
  • Avainten hallintaoikeus katselmoidaan säännöllisesti
F05: Avainten ja numeroyhdistelmien hallinta

Avaustunnisteiden hallintakäytännöt

Critical
High
Normal
Low

Avaustunnisteet annetaan mahdollisimman harvoille henkilöille ja henkilöt osaavat numeroyhdistelmät ulkoa.

F05: Avainten ja numeroyhdistelmien hallinta

Numeroyhdistelmien vaihtamiskäytännöt

Critical
High
Normal
Low

Organisaatio on määritellyt toimintatavat numeroyhdistelmien vaihtamiseksi, joilla pyritään hallitsemaan riskiä numeroyhdistelmien väärinkäytöstä.

Numeroyhdistelmät vaihdetaan mm.:

  • uuden turvallisen säilytyspaikan vastaanoton yhteydessä
  • aina kun avaustunnisteen tunteva henkilö vaihtaa tehtäviä tai poistuu organisaation palveluksesta
  • aina kun tiedot ovat vaarantuneet tai kun niiden epäillään vaarantuneen
  • kun jokin lukoista on huollettu tai korjattu ja vähintään 12 kuukauden välein
No items found.

Turvallisuusjärjestelmien sekä -laitteiden turvallisuus ja testaus

Critical
High
Normal
Low

Tietojen fyysiseen suojaamiseen tarkoitetut turvallisuusjärjestelmät ja laitteet ovat hyväksyttyjen teknisten standardien tai vähimmäisvaatimusten mukaisia. Järjestelmiä ja laitteita testataan säännöllisesti ja ne pidetään käyttökuntoisina.

Turvallisuusjärjestelmiä ja -laitteita voivat olla mm.:

  • turvakaapit
  • kassakaapit
  • kulunvalvontajärjestelmät
  • murtohälytyshälytysjärjestelmät
  • valvontajärjestelmät
  • lukot
  • ovet ja aukot
  • paperisilppurit
F03: Tietojen fyysiseen suojaukseen tarkoitetut turvallisuusjärjestelmät ja laitteet

Monitasoisen suojauksen periaate

Critical
High
Normal
Low

Organisaatio suunnittelee fyysiset turvatoimet monitasoisen suojaamisen periaatetta noudattaen. Monitasoisella suojaamisella tarkoitetaan sitä, että toteutetaan joukko toisiaan täydentäviä turvatoimia.

Esimerkiksi rakennuksen ulkoseinät ja kuori voivat muodostaa ensimmäisen turvallisuustason. Kulunvalvonta muodostaa seuraavan kerroksen ja korkeamman suojaustason tietoa käsitellään ainoastaan rakennuksen sisemmissä osissa, jotta tunkeutuminen tiloihin on estetty. Turvallisuustekniset ratkaisut (säilytysyksiköt, hälytysjärjestelmät, kameravalvonta, valaistus, jne.) täydentävät rakenteellisia ratkaisuja. Suunnittelussa otetaan huomioon ikkunat, ovet ja muut aukot.

F01: Fyysiset turvatoimet
4.3 (MIL1): Control Physical Access
C2M2

Using keys and other IDs that produce electronic movement log

Critical
High
Normal
Low

It is not possible to move around the premises without tags that record the person's movements in an electronic logbook.

11.1.2: Physical entry controls
ISO 27001
7.2: Physical entry
ISO 27001

Strong authentication for processing or storage areas of highly confidential information

Critical
High
Normal
Low

Access to areas where confidential information is handled or stored should be restricted to authorized individuals through appropriate access control, e.g. using a two-step authentication mechanism such as an access card and a passcode.

11.1.1: Physical security perimeter
ISO 27001
11.1.3: Securing offices, rooms and facilities
ISO 27001
PR.AC-2: Physical access control
NIST CSF
DE.CM-2: The physical environment monitoring
NIST CSF
7.1: Physical security perimeters
ISO 27001

Using visible IDs

Critical
High
Normal
Low

People can't move around the organization's premises without a visible identifier.

11.1.2: Physical entry controls
ISO 27001
11.1.6: Delivery and loading areas
ISO 27001
7.2: Physical entry
ISO 27001

Preventing unauthorized viewing personal data

Critical
High
Normal
Low

Irrespective of the form in which the information is presented, personal data or other confidential information shall be processed in such a way that the information isn't disclosed for outsiders.

11.1.3: Securing offices, rooms and facilities
ISO 27001
F06: Salakatselulta suojautuminen
7.3: Securing offices, rooms and facilities
ISO 27001

Preventing eavesdropping

Critical
High
Normal
Low

Conversations concerning personal data or other confidential information shall not be conveyed to adjacent premises to those who do not have the right to information.

11.1.3: Securing offices, rooms and facilities
ISO 27001
F07: Salakuuntelulta suojautuminen
7.3: Securing offices, rooms and facilities
ISO 27001

Security services in real estates

Critical
High
Normal
Low

Organisation's premises and the operating environments of the equipment are actively protected by security.

11.1.1: Physical security perimeter
ISO 27001
PR.AC-2: Physical access control
NIST CSF
DE.CM-2: The physical environment monitoring
NIST CSF
7.1: Physical security perimeters
ISO 27001
7.4: Physical security monitoring
ISO 27001

Limited access and monitoring of support staff

Critical
High
Normal
Low

External support staff, such as maintenance or cleaning staff, will only be granted access to the necessary security areas and confidential data processing services they need. Access rights for external support staff are reviewed regularly.

11.1.2: Physical entry controls
ISO 27001
F04: Kulkuoikeuksien hallinta
7.2: Physical entry
ISO 27001

Camera surveillance in real estates

Critical
High
Normal
Low

Security personnel use camera surveillance to verify unauthorized access, sabotage, or other alarms at the organization's premises.

11.1.1: Physical security perimeter
ISO 27001
PR.AC-2: Physical access control
NIST CSF
DE.CM-2: The physical environment monitoring
NIST CSF
7.1: Physical security perimeters
ISO 27001
7.4: Physical security monitoring
ISO 27001