Free ebook: NIS2 ready using ISO 27001 best practices
Download ebook

Learn more about the connected frameworks

11.1.1
ISO27 Full

Physical security perimeter

3.1.1
TISAX

Management of secure areas

7.1
ISO27k1 Full

Physical security perimeters

7.4
ISO27k1 Full

Physical security monitoring

CC6.4
SOC 2

Physical access control to facilities and protected information assets

DE.CM-2
NIST

The physical environment monitoring

DE.CM-2
CyFun

The physical environment is monitored to detect potential cybersecurity events.

FYY-07.6
Julkri

Turva-alue - tunkeutumisen ilmaisujärjestelmät - TL III

PR.AC-2
NIST

Physical access control

PR.AC-2
CyFun

Physical access to assets is managed and protected.

Other tasks from the same security theme

Notification process in case of loss of physical identifiers

Critical
High
Normal
Low

Staff have instructions and tools to help them report a lost physical identifier (e.g. keychain, smart card, smart sticker).

11.1.2: Physical entry controls
ISO27 Full
7.2: Physical entry
ISO27k1 Full
CC6.4: Physical access control to facilities and protected information assets
SOC 2
9.12 §: Fyysinen turvallisuus
KyberTL

Physical access control to building, offices and other premises

Critical
High
Normal
Low

Secure areas of the organization cannot be accessed unnoticed. The premises are protected by appropriate access control. Only authorized persons have access to the secure areas.

11.1.1: Physical security perimeter
ISO27 Full
11.1.2: Physical entry controls
ISO27 Full
F04: Kulkuoikeuksien hallinta
Katakri
6.6.4: Fyysisten tilojen, laitteiden ja tulosteiden turvallisuus
Self-monitoring
PR.AC-2: Physical access control
NIST

Visitor instructions and log

Critical
High
Normal
Low

Visitors shall have access to secure areas only with permission, after they are appropriately identified and their access rights shall be limited to the necessary facilities. All visits are recorded in the visitor log. In addition, staff have guidelines about safe operating in connection with visits.

11.1.2: Physical entry controls
ISO27 Full
F04: Kulkuoikeuksien hallinta
Katakri
PR.AC-2: Physical access control
NIST
FYY-04: Tiedon säilytys
Julkri
FYY-05.5: Turvallisuusalue - Vierailijat
Julkri

Guidelines for operating in processing areas for confidential information

Critical
High
Normal
Low

Organization has defined the areas for handling confidential information and the operating rules that are followed in all activities that take place in the corresponding areas.

In the rules, consideration should be given to the following points:

  • the rules and related areas are communicated only personnel for whom the information is relevant
  • unsupervised work in areas is minimized
  • areas are physically locked and checked regularly
  • prohibition of unauthorized recording devices (e.g. phones, video cameras)
  • monitoring the transportation of terminal devices
  • publishing emergency instructions in an easily accessible way
11.1.5: Working in secure areas
ISO27 Full
SEC-05: Remote access user authentication
Cyber Essentials
7.6: Working in secure areas
ISO27k1 Full
42: Turvallisuusalueiden määrittely
Sec overview
6.9: Fyysinen turvallisuus osana tietojärjestelmien käyttöympäristön turvallisuutta
Tietoturvasuunnitelma

Continuous monitoring of physical access to critical facilities

Critical
High
Normal
Low

Access to buildings containing critical systems must be constantly monitored to detect unauthorized access or suspicious activity. The following issues should be taken into account in monitoring practices:

  • touch, sound or motion detectors that trigger an intrusion alarm
  • covering exterior doors and windows using sensors
  • supervision of unstaffed and otherwise important (e.g. server or communication technology) premises
  • regular testing of alarm systems

Information related to surveillance systems should be kept confidential, as disclosure of information can facilitate undetected breaches. The monitoring systems themselves must also be properly protected, so that the recordings or system status cannot be affected without permission.

7.4: Physical security monitoring
ISO27k1 Full
ARCHITECTURE-3: Implement IT and OT Asset Security as an Element of the Cybersecurity Architecture
C2M2: MIL1
I-17: TURVALLISUUSLUOKITELTUJEN SÄHKÖISESSÄ MUODOSSA OLEVIEN TIETOJEN KÄSITTELY FYYSISESTI SUOJATTUJEN ALUEIDEN SISÄLLÄ - FYYSINEN TURVALLISUUS
Katakri 2020
Article 9b: Prevention
DORA
PR.AC-2: Physical access to assets is managed and protected.
CyFun

Hajasäteilyn (TEMPEST) vastatoimet (TL I)

Critical
High
Normal
Low

Turvallisuusluokan I tietojen suojaamisessa tulee huomioida turvallisuusluokan II tiedoista eroavat riskit ja suhteutettava nämä toteutettaviin turvatoimiin. Hajasäteilyä ja siltä suojautumisen periaatteita on kuvattu yksityiskohtaisemmin Kyberturvallisuuskeskuksen hajasäteilyltä suojautumisen ohjeessa.

TEK-15.2: Hajasäteily (TEMPEST) ja elektroninen tiedustelu - TL I
Julkri
I-14: MONITASOINEN SUOJAAMINEN – HAJASÄTEILY (TEMPEST) JA ELEKTRONINEN TIEDUSTELU
Katakri 2020

Hajasäteilyn (TEMPEST) vastatoimet ja riittävyyden toteaminen (TL II)

Critical
High
Normal
Low

On toteutettu turvatoimet hajasäteilyn kautta mahdollistuvien tietovuotojen estämiseksi, jotka on mitoitettu riskeihin ja tiedon turvallisuusluokkaan. Kohteen toimien riittävyys voidaan todentaa vyöhykemittauksella tai suojatun tilan mittauksella.

TEK-15.1: Hajasäteily (TEMPEST) ja elektroninen tiedustelu - TL II
Julkri
I-14: MONITASOINEN SUOJAAMINEN – HAJASÄTEILY (TEMPEST) JA ELEKTRONINEN TIEDUSTELU
Katakri 2020

Hajasäteilyn (TEMPEST) vastatoimet (TL III)

Critical
High
Normal
Low

Hajasäteily voi mahdollistaa tahattomia sähkömagneettisia tietovuotoja. Organisaatio on tunnistanut ja arvioinut hajasäteilyyn liittyvät riskit. Turvatoimet tai korvaavat menettelyt on mitoitettu riskeihin, tiedon turvallisuusluokkaan ja hyväksyttävään jäännösriskitasoon.

TEMPEST-turvatoimet on suhteutettava tiedon hyväksikäytön riskiin ja turvallisuusluokkaan. Käsiteltäessä turvallisuusluokan III tai II tietoja sähköisesti, on pidettävä huolta, että elektroniseen tiedusteluun liittyviä riskejä on pienennetty riittävästi.

TEK-15: Hajasäteily (TEMPEST) ja elektroninen tiedustelu - TL III
Julkri
I-14: MONITASOINEN SUOJAAMINEN – HAJASÄTEILY (TEMPEST) JA ELEKTRONINEN TIEDUSTELU
Katakri 2020

Training against unauthorized ingress and egress

Critical
High
Normal
Low

The organization must conduct regular exercises to test for the detection of unauthorized intrusion and for procedures to respond to unauthorized intrusion.

No items found.

Access control on datacenter perimeter

Critical
High
Normal
Low

The organization must use access control techniques on the perimeter of the data center. Access control can consist of e.g. alarm systems, surveillance equipment (e.g motion detectors, cameras) and surveillance staff.

Access control must extend to all entry and exit points to detect unauthorized entry and exit.

No items found.

Access control for secure areas

Critical
High
Normal
Low

The organization shall allow only pre-approved personnel access to security restricted areas.

All entry and exit points shall be blocked, documented and controlled by access control systems by default.

All access to security restricted areas must create log events and the organization must determine how long the logs will be retained.

PR.AC-2: Physical access to assets is managed and protected.
CyFun
2.4.3: Identify physical access to switches and cables
NSM ICT-SP

Teknisen turva-alueen suojauskäytännöt

Critical
High
Normal
Low

Suojaustason IV-II tietoja voidaan käsitellä turva-alueella. Suojaustason III-II tason tietoja tulee säilyttää turva-alueella.

Teknisillä turva-alueilla noudatetaan turva-alueiden suojauskäytäntöjä sekä seuraavia lisäkäytäntöjä:

  • Alueella on murtohälytysjärjestelmä.
  • Alue pidetään lukittuna silloin, kun se ei ole käytössä, ja vartioituna silloin, kun se on käytössä.
  • Avaimia valvotaan.
  • Alueelle tulevia henkilöitä ja aineistoja valvotaan.
  • Alue tarkastetaan säännöllisesti mahdollisten luvattomien tietoliikenneyhteyksien ja viestintävälineiden sekä muiden elektronisten laitteiden löytämiseksi.
  • Alueella ei ole luvattomia tietoliikenneyhteyksiä tai laitteita

Kaikki aluelle vietävät laitteet on tarkastettava ennen niiden käyttöä alueella, joilla pidetään EU SECRET/NATO SECRET -turvallisuusluokan tietoihin liittyviä kokouksia.

Suojelupoliisi tai Pääesikunta päättää teknisesti suojattuun turva-alueeseen liittyvästä uhka-arvioinnista, riskien hallintatoimenpiteistä ja mahdollisesti tilapäisen teknisesti suojatun turva-alueen turvallisuusjärjestelyjen hyväksynnästä.

F02: Hallinnolliset alueet, turva-alueet ja tekniset turva-alueet
Katakri
F-07: TEKNISESTI SUOJATTU TURVA-ALUE
Katakri 2020
3.2: Toimitilaturvallisuus
TiHL: Tietoturva

Turva-alueen suojauskäytännöt

Critical
High
Normal
Low

Suojaustason IV-II tietoja voidaan käsitellä turva-alueella. Suojaustason III-II tason tietoja tulee säilyttää turva-alueella.

Turva-alueilla noudatetaan seuraavia suojauskäytäntöjä:

  • Alueella on selkeästi määritellyt ja suojatut rajat, joilla valvotaan kaikkea kulkua sisään ja ulos kulkuluvin tai henkilökohtaisesti tunnistamalla.
  • Alueelle on pääsy ilman saattajaa vain henkilöillä, joilla on asianmukainen turvallisuusselvitys ja erityinen lupa tulla alueelle tiedonsaantitarpeensa perusteella. Kaikilla muilla henkilöillä on aina oltava saattaja tai heille on tehtävä vastaavat tarkastukset.
  • Aluetta rajaavat rakenteet muodostavat kokonaisuuden, joka tarjoaa riskeihin nähden riittävän suojan asiattoman pääsyn estämiseksi.
  • Mikäli alueella säilytetään salassa pidettäviä tietoja, tulee siellä olla kyseisen tiedon säilyttämiseen hyväksytty tila tai säilytysratkaisu.
  • Mikäli alueelle ei ole asennettu murtohälytysjärjestelmää ja alueella ei ole henkilöstöä palveluksessa ympäri vuorokauden, se on tarvittaessa tarkistettava normaalin työajan päätteeksi ja satunnaisin ajankohdin sen ulkopuolella.

Jos alueelle tulo merkitsee käytännössä välitöntä pääsyä sillä oleviin salassa pidettäviin tietoihin, sovelletaan lisäksi seuraavia vaatimuksia:

  • On varmistettu, että alueella tavanomaisesti säilytettyjen tietojen korkein suojaustaso tai turvallisuusluokka on tiedon käsittelijän tiedossa.
  • Kaikilla vierailijoilla on oltava erityinen lupa tulla alueelle. Heillä on aina oltava saattaja ja asianmukainen turvallisuusselvitys, paitsi jos on tehty toimia, joilla varmistetaan, ettei henkilöllä ole pääsyä sellaisiin tietoihin, joihin tällä ei ole oikeutta.

Alueelle on laadittu turvallisuusmenettelyt, joissa on määräykset seuraavista:

  • Korkein suojaustaso- tai turvallisuusluokka, jota alueella voidaan käsitellä.
  • Sovellettavat valvonta- ja suojatoimenpiteet.
  • Henkilöt, joilla on pääsy alueelle ilman saattajaa tiedonsaantitarpeensa ja turvallisuusselvityksensä perusteella.
  • Henkilön saattamiseen liittyvät menettelyt.
  • Muut asiaan kuuluvat toimenpiteet ja menettelyt.
F02: Hallinnolliset alueet, turva-alueet ja tekniset turva-alueet
Katakri

Hallinnollisen alueen suojauskäytännöt

Critical
High
Normal
Low

Suojaustason IV-II tietoja voidaan käsitellä hallinnollisella alueella, jos sivullisten pääsy tietoihin on estetty. Suojaustason IV tietoja voidaan säilyttää hallinnollisella alueella.

Hallinnollisilla alueilla noudatetaan seuraavia suojauskäytäntöjä:

  • Alueella on selkeästi määritellyt näkyvät rajat, joilla henkilöt ja mahdollisuuksien mukaan ajoneuvot voidaan tarkastaa.
  • Alueelle on pääsy ilman saattajaa vain henkilöillä, joilla on lupa tulla alueelle. Kaikilla muilla henkilöillä on aina oltava saattaja tai heille on tehtävä vastaavat tarkastukset.
  • Mikäli alueella säilytetään salassa pidettäviä tietoja, alueella on kyseisen tiedon säilyttämiseen hyväksytty tila tai säilytysratkaisu.
  • Mikäli alueella käsitellään salassa pidettäviä tietoja, sivullisten pääsy tietoihin on estetty.
F02: Hallinnolliset alueet, turva-alueet ja tekniset turva-alueet
Katakri

Salassapidettävien tietojen käsittelyyn tarkoitettujen alueiden määrittely ja suojauksen varmistaminen

Critical
High
Normal
Low

Organisaatio on määritellyt eritasoiset tietojen fyysiseksi suojaamiseksi tarvittavat alueet (hallinnollinen alue, turva-alue ja tekninen turva-alue), joissa käsitellään salassa pidettäviä tietoja. Vastuuhenkilö varmistaa, että alueilla noudatetaan suojaustason mukaisia suojauskäytäntöjä.

Alueella voidaan tarkoittaa mm. huonetta, laitetilaa, varastoa, arkistotilaa, niiden muodostamaa kokonaisuutta tai muuta rakennuksen osaa. Rakennuksissa sekä toimitiloissa voi olla useita eri turvallisuusvyöhykkeisiin kuuluvia alueita.

Suojaustason IV-II tietoja voidaan käsitellä turva-alueella. Suojaustason IV-II tietoja voidaan käsitellä myös hallinnollisella alueella, jos sivullisten pääsy tietoihin on estetty. Suojaustason IV tietoja voidaan säilyttää hallinnollisella alueella. Suojaustason III-II tason tietoja tulee säilyttää turva-alueella.

F02: Hallinnolliset alueet, turva-alueet ja tekniset turva-alueet
Katakri
FYY-05: Turvallisuusalue
Julkri
FYY-06: Hallinnollinen alue
Julkri
FYY-07: Turva-alue - TL III
Julkri
42: Turvallisuusalueiden määrittely
Sec overview

Avainten hallintajärjestelmä

Critical
High
Normal
Low

Avainten hallintajärjestelmällä on vastuuhenkilö ja menettelytavat avainten hallintaan on ohjeistettu ja dokumentoitu.

Järjestelmän menettelyt voivat olla mm.:

  • Vastuuhenkilöllä on luettelo jaetuista ja hallussaan olevista avaimista
  • Avaimen luovutusperuste kirjataan dokumenttiin
  • Avaimet voidaan luovuttaa vain kulkuoikeuden omaavalle henkilölle
  • Henkilöstössä tapahtuvat muutokset välittyvät tarvittaessa avainten hallintaoikeuteen
  • Avainten hallintaoikeus katselmoidaan säännöllisesti
F05: Avainten ja numeroyhdistelmien hallinta
Katakri

Avaustunnisteiden hallintakäytännöt

Critical
High
Normal
Low

Avaustunnisteet annetaan mahdollisimman harvoille henkilöille ja henkilöt osaavat numeroyhdistelmät ulkoa.

F05: Avainten ja numeroyhdistelmien hallinta
Katakri
FYY-05.4: Turvallisuusalue - Pääsyoikeuksien ja avaintenhallinnan menettelyt
Julkri
F-05.2: PÄÄSYOIKEUKSIEN MYÖNTÄMINEN
Katakri 2020

Numeroyhdistelmien vaihtamiskäytännöt

Critical
High
Normal
Low

Organisaatio on määritellyt toimintatavat numeroyhdistelmien vaihtamiseksi, joilla pyritään hallitsemaan riskiä numeroyhdistelmien väärinkäytöstä.

Numeroyhdistelmät vaihdetaan mm.:

  • uuden turvallisen säilytyspaikan vastaanoton yhteydessä
  • aina kun avaustunnisteen tunteva henkilö vaihtaa tehtäviä tai poistuu organisaation palveluksesta
  • aina kun tiedot ovat vaarantuneet tai kun niiden epäillään vaarantuneen
  • kun jokin lukoista on huollettu tai korjattu ja vähintään 12 kuukauden välein
No items found.

Turvallisuusjärjestelmien sekä -laitteiden turvallisuus ja testaus

Critical
High
Normal
Low

Tietojen fyysiseen suojaamiseen tarkoitetut turvallisuusjärjestelmät ja laitteet ovat hyväksyttyjen teknisten standardien tai vähimmäisvaatimusten mukaisia. Järjestelmiä ja laitteita testataan säännöllisesti ja ne pidetään käyttökuntoisina.

Turvallisuusjärjestelmiä ja -laitteita voivat olla mm.:

  • turvakaapit
  • kassakaapit
  • kulunvalvontajärjestelmät
  • murtohälytyshälytysjärjestelmät
  • valvontajärjestelmät
  • lukot
  • ovet ja aukot
  • paperisilppurit
F03: Tietojen fyysiseen suojaukseen tarkoitetut turvallisuusjärjestelmät ja laitteet
Katakri
FYY-02: Fyysisten turvatoimien valinta (monitasoinen suojaus)
Julkri

Monitasoisen suojauksen periaate

Critical
High
Normal
Low

Organisaatio suunnittelee fyysiset turvatoimet monitasoisen suojaamisen periaatetta noudattaen. Monitasoisella suojaamisella tarkoitetaan sitä, että toteutetaan joukko toisiaan täydentäviä turvatoimia.

Esimerkiksi rakennuksen ulkoseinät ja kuori voivat muodostaa ensimmäisen turvallisuustason. Kulunvalvonta muodostaa seuraavan kerroksen ja korkeamman suojaustason tietoa käsitellään ainoastaan rakennuksen sisemmissä osissa, jotta tunkeutuminen tiloihin on estetty. Turvallisuustekniset ratkaisut (säilytysyksiköt, hälytysjärjestelmät, kameravalvonta, valaistus, jne.) täydentävät rakenteellisia ratkaisuja. Suunnittelussa otetaan huomioon ikkunat, ovet ja muut aukot.

F01: Fyysiset turvatoimet
Katakri
FYY-02: Fyysisten turvatoimien valinta (monitasoinen suojaus)
Julkri
FYY-07: Turva-alue - TL III
Julkri
ACCESS-3: Control Physical Access
C2M2: MIL1
F-03: FYYSISTEN TURVATOIMIEN VALINTA (MONITASOINEN SUOJAUS)
Katakri 2020

Using keys and other IDs that produce electronic movement log

Critical
High
Normal
Low

It is not possible to move around the premises without tags that record the person's movements in an electronic logbook.

11.1.2: Physical entry controls
ISO27 Full
FYY-07.2: Turva-alue - kulunvalvonta - TL III
Julkri
7.2: Physical entry
ISO27k1 Full
CC6.4: Physical access control to facilities and protected information assets
SOC 2

Strong authentication for processing or storage areas of highly confidential information

Critical
High
Normal
Low

Access to areas where confidential information is handled or stored should be restricted to authorized individuals through appropriate access control, e.g. using a two-step authentication mechanism such as an access card and a passcode.

11.1.1: Physical security perimeter
ISO27 Full
11.1.3: Securing offices, rooms and facilities
ISO27 Full
PR.AC-2: Physical access control
NIST
DE.CM-2: The physical environment monitoring
NIST
FYY-03: Tiedon käsittely
Julkri

Using visible IDs

Critical
High
Normal
Low

People can't move around the organization's premises without a visible identifier.

11.1.2: Physical entry controls
ISO27 Full
11.1.6: Delivery and loading areas
ISO27 Full
7.2: Physical entry
ISO27k1 Full
CC6.4: Physical access control to facilities and protected information assets
SOC 2
3.1.1: Management of secure areas
TISAX

Preventing unauthorized viewing personal data

Critical
High
Normal
Low

Irrespective of the form in which the information is presented, personal data or other confidential information shall be processed in such a way that the information isn't disclosed for outsiders.

11.1.3: Securing offices, rooms and facilities
ISO27 Full
F06: Salakatselulta suojautuminen
Katakri
6.6.4: Fyysisten tilojen, laitteiden ja tulosteiden turvallisuus
Self-monitoring
FYY-05.2: Turvallisuusalue - Salaa katselun estäminen
Julkri
7.3: Securing offices, rooms and facilities
ISO27k1 Full

Preventing eavesdropping

Critical
High
Normal
Low

Conversations concerning personal data or other confidential information shall not be conveyed to adjacent premises to those who do not have the right to information.

11.1.3: Securing offices, rooms and facilities
ISO27 Full
F07: Salakuuntelulta suojautuminen
Katakri
6.6.4: Fyysisten tilojen, laitteiden ja tulosteiden turvallisuus
Self-monitoring
FYY-05.1: Turvallisuusalue - Äänieristys
Julkri
7.3: Securing offices, rooms and facilities
ISO27k1 Full

Security services in real estates

Critical
High
Normal
Low

Organisation's premises and the operating environments of the equipment are actively protected by security.

11.1.1: Physical security perimeter
ISO27 Full
PR.AC-2: Physical access control
NIST
DE.CM-2: The physical environment monitoring
NIST
FYY-07.6: Turva-alue - tunkeutumisen ilmaisujärjestelmät - TL III
Julkri
7.1: Physical security perimeters
ISO27k1 Full

Physical security objectives

Critical
High
Normal
Low

Fyysisten turvatoimien yksi tavoite on estää luvaton pääsy turvallisuusluokiteltuun tietoon. Tämä toteutetaan:

  • varmistamalla TL-tiedon asianmukainen käsittely ja säilytys
  • mahdollistamalla TL-tietoihin pääsy vain tiedonsaantitarpeen ja turvallisuuselvitysten perusteella
  • luvattoimien toimien ehkäisyllä, estämisellä ja havaitsemisella
  • estämällä tunkeutuminen tai viivyttämällä sitä
F-01: Fyysisten turvatoimien tavoite
Katakri 2020

Management of supporting assets

Critical
High
Normal
Low

The organisation must determine and fulfill the requirements for managing supporting assets to ensure their proper handling throughout their lifecycle.

The procedures for the handling of supporting assets, which may include aspects such as:

  • transport
  • storage
  • repair
  • return
  • disposal

These procedures should be clearly defined to ensure that all supporting assets are managed in a manner that maintains their integrity and security.

No items found.

Limited access and monitoring of support staff

Critical
High
Normal
Low

External support staff, such as maintenance or cleaning staff, will only be granted access to the necessary security areas and confidential data processing services they need. Access rights for external support staff are reviewed regularly.

11.1.2: Physical entry controls
ISO27 Full
F04: Kulkuoikeuksien hallinta
Katakri
FYY-03: Tiedon käsittely
Julkri
7.2: Physical entry
ISO27k1 Full
CC6.4: Physical access control to facilities and protected information assets
SOC 2

Camera surveillance in real estates

Critical
High
Normal
Low

Security personnel use camera surveillance to verify unauthorized access, sabotage, or other alarms at the organization's premises.

11.1.1: Physical security perimeter
ISO27 Full
PR.AC-2: Physical access control
NIST
DE.CM-2: The physical environment monitoring
NIST
7.1: Physical security perimeters
ISO27k1 Full
7.4: Physical security monitoring
ISO27k1 Full