+Authentication Methods

Authentication Methods

Use authentication methods commensurate with the classification and risk profile of ICT assets. Implement strong authentication methods, particularly for remote access, privileged access, and access to critical ICT assets.

1. Přehled

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

Požadavky

3. Související regulace

Regulace
EULAW Článek 20 1.
V rámci kontroly správy přístupových práv finanční subjekty vypracují, zdokumentují a zavedou politiky a postupy správy identit, které zajistí jedinečnou identifikaci a autentizaci fyzických osob a systémů přistupujících k informacím finančních subjektů, aby bylo možné přidělovat uživatelská přístupová práva v souladu s článkem 21.
EULAW Článek 20 2.

Politiky a postupy správy identit uvedené v odstavci 1 zahrnují všechny tyto prvky:

a) 

aniž je dotčen čl. 21 první pododstavec písm. c), musí být každému zaměstnanci finančního subjektu nebo zaměstnanci poskytovatelů služeb IKT z řad třetích stran, kteří mají přístup k informačním aktivům a aktivům v oblasti IKT finančního subjektu, přidělena jedinečná identita odpovídající jedinečnému uživatelskému účtu;

b) 

proces správy životního cyklu identit a účtů, který řídí vytváření, změny, kontrolu a aktualizaci, dočasnou deaktivaci a rušení všech účtů.

Pro účely písmene a) vedou finanční subjekty záznamy o všech přidělených identitách. Tyto záznamy se uchovávají i po reorganizaci finančního subjektu nebo po ukončení smluvního vztahu, aniž jsou dotčeny požadavky na uchovávání stanovené v použitelném právu Unie a vnitrostátním právu.

Pro účely písmene b) finanční subjekty zavedou, je-li to proveditelné a vhodné, pro proces správy identit v průběhu celého životního cyklu automatizovaná řešení.
EULAW Článek 21 Řízení přístupu

Článek 21

Řízení přístupu

V rámci kontroly správy přístupových práv finanční subjekty vypracují, zdokumentují a zavedou politiku, která zahrnuje všechny následující prvky:

a) 

přidělování přístupových práv k aktivům v oblasti IKT na základě zásad „potřeba znát“ a „potřeba používat“ a zásady minimálních práv, a to i u vzdáleného a nouzového přístupu;

b) 

oddělení úkolů s cílem zabránit neoprávněnému přístupu ke kritickým údajům nebo zabránit přidělování kombinací přístupových práv, které lze využít k obcházení kontrol;

c) 

ustanovení o odpovědnosti uživatelů v tom smyslu, že se co nejvíce omezí používání obecných a sdílených uživatelských účtů a zajistí se, aby uživatelé byli vždy při provádění činností v systémech IKT identifikovatelní;

d) 

ustanovení o omezení přístupu k aktivům v oblasti IKT, které stanoví kontrolní mechanismy a nástroje k zabránění neoprávněnému přístupu;

e) 

postupy v oblasti správy účtů pro udělování, změnu nebo odebírání přístupových práv k uživatelským a obecným účtům, včetně obecných účtů správců, zahrnující všechny následující prvky:

i) 

přidělení úloh a povinností týkajících se udělování, přezkumu a odebírání přístupových práv;

ii) 

přidělování privilegovaného, nouzového a administrátorského přístupu podle potřeby nebo v režimu ad hoc u všech systémů IKT;

iii) 

odebrání přístupových práv bez zbytečného odkladu po ukončení pracovního poměru nebo v případě, že přístup již není nutný;

iv) 

aktualizace přístupových práv, pokud je nezbytné provést změny a jinak nejméně jednou ročně u všech systémů IKT, které nepodporují zásadní nebo důležité funkce, a nejméně jednou za šest měsíců u systémů IKT, které podporují zásadní nebo důležité funkce;

f) 

metody ověřování zahrnující všechny tyto prvky:

i) 

používání metod ověřování, které jsou úměrné klasifikaci stanovené v souladu s čl. 8 odst. 1 nařízení (EU) 2022/2554 a celkovému rizikovému profilu aktiv v oblasti IKT a zohledňují osvědčené postupy;

ii) 

používání metod silného ověření v souladu s osvědčenými postupy a technikami pro vzdálený přístup do sítě finančního subjektu, pro privilegovaný přístup, pro přístup k aktivům v oblasti IKT podporujícím zásadní nebo důležité funkce nebo k veřejně přístupným aktivům v oblasti IKT;

g) 

opatření pro řízení fyzického přístupu zahrnující:

i) 

identifikaci a protokolování fyzických osob, které jsou oprávněny k přístupu do prostor, datových center a určených citlivých oblastí vymezených finančním subjektem, kde se nacházejí aktiva v oblasti IKT a informační aktiva;

ii) 

udělování fyzických přístupových práv ke kritickým aktivům v oblasti IKT pouze oprávněným osobám v souladu se zásadou „potřeba znát“ a zásadou minimálních práv a v režimu ad hoc;

iii) 

monitorování fyzického přístupu do prostor, datových center a určených citlivých oblastí vymezených finančním subjektem, kde se nacházejí aktiva v oblasti IKT nebo informační aktiva nebo obojí;

iv) 

přezkum fyzických přístupových práv s cílem zajistit, aby byla nepotřebná přístupová práva neprodleně odebrána.

Pro účely písm. e) bodu i) stanoví finanční subjekty dobu uchovávání s přihlédnutím k obchodním cílům a cílům v oblasti bezpečnosti informací, důvodům pro zaznamenání události do protokolů a výsledkům posouzení rizik v oblasti IKT.

Pro účely písm. e) bodu ii) používají finanční subjekty pro provádění administrativních úkolů v systémech IKT pokud možno vyhrazené účty. Je-li to proveditelné a vhodné, zavedou finanční subjekty pro řízení privilegovaného přístupu automatizovaná řešení.

Pro účely písm. g) bodu i) musí být identifikace a protokolování úměrné významu prostor, datových center, určených citlivých oblastí a významu operací nebo systémů IKT, které se v nich nacházejí.

Pro účely písm. g) bodu iii) musí být monitorování úměrné klasifikaci stanovené v souladu s čl. 8 odst. 1 nařízení (EU) 2022/2554 a významu oblasti, do níž je poskytnut přístup.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.