+ГЛАВА II Политика в областта на човешките ресурси и контрол на достъпа
---+Член 19 Политика в областта на човешките ресурси
---+Член 20 Управление на самоличността
------+Член 20 1.
------+Член 20 2.
---+Член 21 Контрол на достъпа

ГЛАВА II Политика в областта на човешките ресурси и контрол на достъпа

ГЛАВА II Политика в областта на човешките ресурси и контрол на достъпа

1. Преглед

,
Член 19 Политика в областта на човешките ресурси

Член 19

Политика в областта на човешките ресурси

Финансовите субекти включват в своята политика в областта на човешките ресурси или други съответни политики всички изброени по-долу елементи, свързани със сигурността на ИКТ:

а) 

идентифицирането и разпределянето на всякакви специфични отговорности във връзка със сигурността на ИКТ;

б) 

изисквания по отношение на служителите на финансовия субект и на други трети страни доставчици на услуги в областта на ИКТ, използващи или имащи достъп до активите на ИКТ на финансовия субект относно следното:

i) 

да бъдат информирани за политиките, процедурите и протоколите за сигурност на ИКТ на финансовия субект и да се придържат към тях;

ii) 

да бъдат запознати с въведените от финансовия субект канали за докладване за откриване на необичайно поведение, включително, когато е приложимо, каналите за докладване, установени в съответствие с Директива (ЕС) 2019/1937 на Европейския парламент и на Съвета ( 1 );

iii) 

при прекратяване на трудовото правоотношение служителите да върнат на финансовия субект всички активи на ИКТ и материални информационни активи, с които разполагат и които принадлежат на финансовия субект.
Член 20 Управление на самоличността -
Член 21 Контрол на достъпа

Член 21

Контрол на достъпа

Като част от своите права за управление на контрола на достъпа финансовите субекти разработват, документират и прилагат политика, която съдържа всички изброени по-долу елементи:

а) 

предоставянето на права на достъп до активи на ИКТ въз основа на принципите „необходимост да се знае“, „необходимост да се използва“ и „функциониране с най-малка привилегия“, включително при отдалечен достъп и достъп при извънредни ситуации;

б) 

разделянето на функциите, което има за цел да се предотврати необоснован достъп до критични данни или да се предотврати разпределянето на комбинации от права за достъп, които може да бъдат използвани за заобикаляне на механизмите за контрол;

в) 

разпоредба относно отчетността на ползвателите, като използването на общи и споделени потребителски профили се ограничава до възможната степен и се гарантира, че самоличността на ползвателите може да бъде установена по всяко време във връзка с извършвани в системите на ИКТ действия;

г) 

разпоредба относно ограниченията на достъпа до активи на ИКТ, с която се определят механизми за контрол и инструменти за предотвратяване на непозволен достъп;

д) 

процедури за управление на профили за предоставяне, промяна или отнемане на права на достъп за потребителски и общи профили, в това число общи профили на администратори, включително предоставяне на всички изброени по-долу елементи:

i) 

разпределяне на роли и отговорности за предоставяне, преглед и отнемане на права на достъп;

ii) 

предоставяне на привилегирован и администраторски достъп и достъп при извънредни ситуации въз основа на принципа „необходимост да се знае“ или на ad-hoc основа за всички системи на ИКТ;

iii) 

отнемане на правата за достъп без неоправдано забавяне при прекратяване на трудовото правоотношение, или когато достъпът вече не е необходим;

iv) 

актуализиране на правата за достъп, когато са необходими промени, и най-малко веднъж годишно за всички системи на ИКТ, различни от системи на ИКТ, поддържащи критични или важни функции, и поне на всеки 6 месеца за системи на ИКТ, поддържащи критични или важни функции;

е) 

методи за удостоверяване на автентичността, включително всички изброени по-долу елементи:

i) 

използването на методи за удостоверяване на автентичността, съизмерими с установената в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554 класификация и с цялостния рисков профил на активите на ИКТ, и като се вземат предвид водещите практики;

ii) 

използването на сигурни методи за удостоверяване на автентичността в съответствие с водещите практики и техники за отдалечен достъп до мрежата на финансовия субект, за привилегирован достъп, за достъп до активи на ИКТ, поддържащи критични или важни функции или до публично достъпни активи на ИКТ;

ж) 

мерки за контрол на физическия достъп, включително:

i) 

идентифицирането и регистрирането на физически лица, които са упълномощени за достъп до помещения, центрове за данни и зони, определени от финансовия субект като чувствителни, където се намират активи на ИКТ и информационни активи;

ii) 

предоставянето на права на физически достъп до активи на ИКТ само на упълномощени лица в съответствие с принципите „необходимост да се знае“ и функциониране с най-малка привилегия, както и на ad hoc основа;

iii) 

наблюдението на физическия достъп до помещения, центрове за данни и зони, определени от финансовия субект като чувствителни, където се намират активи на ИКТ и информационни активи или и двете;

iv) 

преглед на правата на физически достъп с цел да се гарантира незабавната отмяна на ненужните права за достъп.

За целите на буква д), точка i) финансовите субекти определят срока на съхранение, като вземат предвид целите за стопанска сигурност и сигурност на информацията, причините за записване на събитието в регистрационните файлове и резултатите от оценката на риска в областта на ИКТ.

За целите на буква д), точка ii) финансовите субекти използват, когато това е възможно, специални профили за изпълнение на административни задачи на системи на ИКТ. Когато е осъществимо и подходящо, финансовите субекти внедряват автоматизирани решения за управление на привилегирования достъп.

За целите на буква ж), точка i) идентифицирането и регистрирането са съизмерими със значението на помещенията, центровете за данни и зоните, определени като чувствителни, както и с критичната значимост на операциите или системите на ИКТ, разположени в тях.

За целите на буква ж), точка iii) наблюдението е съизмеримо с установената в съответствие с член 8, параграф 1 от Регламент (ЕС) 2022/2554 класификация и с критичната значимост на зоната, до която се осъществява достъп.

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

Изисквания

3. Свързани стандарти

Стандарти