Politika
Pamata elementi ir: skaidrs tvērums un mērķi, zonēta piekļuves kārtība telpām un iekārtām, lomu un atbildību sadalījums, piekļuves tiesību piešķiršanas/atsaukšanas kārtība, žurnālu un videonovērošanas izmantošana, kā arī regulārs audits un sasaite ar personas datu aizsardzības prasībām.
Politikas mērķis un tvērums
Definē, kādi dati un fiziskās vietas tiek aizsargātas (serveru telpas, komutatoru skapji, darba vietas ar sensitīviem datiem).
Nosaka, kāpēc tiek kontrolēta fiziskā piekļuve (personas datu, komercnoslēpumu, IT sistēmu pieejamības un integritātes aizsardzībai).
Lomas un atbildības
Precīzi sadala atbildību starp vadību, IT drošības atbildīgo, apsardzi, telpu saimniekiem un parastajiem darbiniekiem (kas apstiprina piekļuves, kas tās piešķir tehniski, kas uzrauga).
Nosaka prasību nozīmēt personu vai komiteju, kas uzrauga piekļuves politikas ievērošanu un sadarbojas ar datu aizsardzības speciālistu.
Piekļuves režīms un kontrole
Apraksta drošības zonējumu (publiskās, ierobežotās un kritiskās zonas) un atbilstošo piekļuves līmeni katrai zonai.
Definē autentifikācijas metodes (atslēgas, kartes, PIN, biometrija) un noteikumus to izmantošanai, tostarp divfaktoru autentifikāciju kritiskām telpām.
Apraksta piekļuves tiesību piešķiršanas, pārskatīšanas un atsaukšanas procesu (jauns darbinieks, amatu maiņa, darba attiecību izbeigšana).
Nosaka apmeklētāju un pakalpojumu sniedzēju piekļuves kārtību (reģistrācija, pavadība, pagaidu caurlaides).
Uzraudzība, žurnāli un incidenti
Prasa uzturēt piekļuves žurnālus (kurš, kad un kur ir ieņēmis vai mēģinājis ieiet), to glabāšanas termiņus un piekļuves tiesības šiem žurnāliem.
Nosaka videonovērošanas izmantošanas kārtību (kam drīkst filmēt, kur glabā ierakstus, cik ilgi, kā tie saistīti ar personas datu aizsardzību).
Apraksta incidentu identificēšanas, ziņošanas un izmeklēšanas procedūru (piem., neatļauta iekļūšana, pazudusi karte, uzlauzta durvju slēdzene).
Sasaite ar personas datu aizsardzību un audits
Nodrošina, ka fiziskās piekļuves politika atbilst datu aizsardzības likumiem un Vispārīgās datu aizsardzības regulas (GDPR) principiem – piekļuve tikai tiem, kam tā vajadzīga darba pienākumu veikšanai, un tikai tik ilgi, cik nepieciešams.
Nosaka regulāru politikas un piekļuves tiesību auditu (piem., reizi gadā vai pēc būtiskām izmaiņām infrastruktūrā) un politikas atjaunināšanu atbilstoši normatīvo aktu vai risku izmaiņām.