+Authentication Methods

Authentication Methods

Use authentication methods commensurate with the classification and risk profile of ICT assets. Implement strong authentication methods, particularly for remote access, privileged access, and access to critical ICT assets.

1. Преглед

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани регулации

2. Идентифицирани изисквания

Изисквания

3. Свързани регулации

Регулации
EULAW Член 20 1.
Като част от своите права за управление на контрола на достъп финансовите субекти разработват, документират и прилагат политики и процедури за управление на самоличността, които гарантират уникалната идентификация и удостоверяване на физическите лица и системите, които имат достъп до информацията на финансовите субекти, за да се даде възможност за прехвърляне на правата на достъп на ползвателите в съответствие с член 21.
EULAW Член 20 2.

Посочените в параграф 1 политики и процедури за управление на самоличността съдържат всички изброени по-долу елементи:

а) 

без да се засяга член 21, първа алинея, буква в), на всеки служител на финансовия субект или служители на трети страни доставчици на услуги в областта на ИКТ, които имат достъп до информационните активи и активите на ИКТ на финансовия субект, се предоставя уникална самоличност, съответстваща на уникален потребителски профил;

б) 

процес на управление на жизнения цикъл за самоличности и профили, управляващ създаването, промяната, прегледа и актуализирането, временното деактивиране и прекратяването на всички профили.

За целите на буква а) финансовите субекти поддържат записи за всички предоставяния на самоличност. Тези записи се съхраняват след реорганизация на финансовия субект или след края на договорните отношения, без да се засягат изискванията за съхранение, определени в приложимото право на Съюза и национално право.

За целите на буква б) финансовите субекти внедряват, когато това е осъществимо и целесъобразно, автоматизирани решения за процеса на управление на самоличността през жизнения цикъл.
EULAW Член 21 Контрол на достъпа

Член 21

Контрол на достъпа

Като част от своите права за управление на контрола на достъпа финансовите субекти разработват, документират и прилагат политика, която съдържа всички изброени по-долу елементи:

а) 

предоставянето на права на достъп до активи на ИКТ въз основа на принципите „необходимост да се знае“, „необходимост да се използва“ и „функциониране с най-малка привилегия“, включително при отдалечен достъп и достъп при извънредни ситуации;

б) 

разделянето на функциите, което има за цел да се предотврати необоснован достъп до критични данни или да се предотврати разпределянето на комбинации от права за достъп, които може да бъдат използвани за заобикаляне на механизмите за контрол;

в) 

разпоредба относно отчетността на ползвателите, като използването на общи и споделени потребителски профили се ограничава до възможната степен и се гарантира, че самоличността на ползвателите може да бъде установена по всяко време във връзка с извършвани в системите на ИКТ действия;

г) 

разпоредба относно ограниченията на достъпа до активи на ИКТ, с която се определят механизми за контрол и инструменти за предотвратяване на непозволен достъп;

д) 

процедури за управление на профили за предоставяне, промяна или отнемане на права на достъп за потребителски и общи профили, в това число общи профили на администратори, включително предоставяне на всички изброени по-долу елементи:

i) 

разпределяне на роли и отговорности за предоставяне, преглед и отнемане на права на достъп;

ii) 

предоставяне на привилегирован и администраторски достъп и достъп при извънредни ситуации въз основа на принципа „необходимост да се знае“ или на ad-hoc основа за всички системи на ИКТ;

iii) 

отнемане на правата за достъп без неоправдано забавяне при прекратяване на трудовото правоотношение, или когато достъпът вече не е необходим;

iv) 

актуализиране на правата за достъп, когато са необходими промени, и най-малко веднъж годишно за всички системи на ИКТ, различни от системи на ИКТ, поддържащи критични или важни функции, и поне на всеки 6 месеца за системи на ИКТ, поддържащи критични или важни функции;

е) 

методи за удостоверяване на автентичността, включително всички изброени по-долу елементи:

i) 

използването на методи за удостоверяване на автентичността, съизмерими с установената в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554 класификация и с цялостния рисков профил на активите на ИКТ, и като се вземат предвид водещите практики;

ii) 

използването на сигурни методи за удостоверяване на автентичността в съответствие с водещите практики и техники за отдалечен достъп до мрежата на финансовия субект, за привилегирован достъп, за достъп до активи на ИКТ, поддържащи критични или важни функции или до публично достъпни активи на ИКТ;

ж) 

мерки за контрол на физическия достъп, включително:

i) 

идентифицирането и регистрирането на физически лица, които са упълномощени за достъп до помещения, центрове за данни и зони, определени от финансовия субект като чувствителни, където се намират активи на ИКТ и информационни активи;

ii) 

предоставянето на права на физически достъп до активи на ИКТ само на упълномощени лица в съответствие с принципите „необходимост да се знае“ и функциониране с най-малка привилегия, както и на ad hoc основа;

iii) 

наблюдението на физическия достъп до помещения, центрове за данни и зони, определени от финансовия субект като чувствителни, където се намират активи на ИКТ и информационни активи или и двете;

iv) 

преглед на правата на физически достъп с цел да се гарантира незабавната отмяна на ненужните права за достъп.

За целите на буква д), точка i) финансовите субекти определят срока на съхранение, като вземат предвид целите за стопанска сигурност и сигурност на информацията, причините за записване на събитието в регистрационните файлове и резултатите от оценката на риска в областта на ИКТ.

За целите на буква д), точка ii) финансовите субекти използват, когато това е възможно, специални профили за изпълнение на административни задачи на системи на ИКТ. Когато е осъществимо и подходящо, финансовите субекти внедряват автоматизирани решения за управление на привилегирования достъп.

За целите на буква ж), точка i) идентифицирането и регистрирането са съизмерими със значението на помещенията, центровете за данни и зоните, определени като чувствителни, както и с критичната значимост на операциите или системите на ИКТ, разположени в тях.

За целите на буква ж), точка iii) наблюдението е съизмеримо с установената в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554 класификация и с критичната значимост на зоната, до която се осъществява достъп.