+KAPITOLA II Politika v oblasti lidských zdrojů a řízení přístupu
---+Článek 19 Politika v oblasti lidských zdrojů
---+Článek 20 Správa identit
------+Článek 20 1.
------+Článek 20 2.
---+Článek 21 Řízení přístupu

KAPITOLA II Politika v oblasti lidských zdrojů a řízení přístupu

KAPITOLA II Politika v oblasti lidských zdrojů a řízení přístupu

1. Přehled

,
Článek 19 Politika v oblasti lidských zdrojů

Článek 19

Politika v oblasti lidských zdrojů

Finanční subjekty zahrnou do své politiky v oblasti lidských zdrojů nebo jiných příslušných politik všechny následující prvky související s bezpečností IKT:

a) 

určení a přidělení konkrétních povinností v oblasti bezpečnosti IKT;

b) 

požadavky na zaměstnance finančního subjektu a poskytovatele služeb IKT z řad třetích stran, kteří používají aktiva v oblasti IKT finančního subjektu nebo k nim mají přístup:

i) 

aby byli informováni o bezpečnostních zásadách, postupech a protokolech finančního subjektu souvisejících s IKT a dodržovali je;

ii) 

aby znali kanály pro podávání zpráv, které finanční subjekt zavedl pro detekci neobvyklého chování, včetně případných kanálů pro podávání zpráv zřízených v souladu se směrnicí Evropského parlamentu a Rady (EU) 2019/1937 ( 1 );

iii) 

v případě zaměstnanců, aby po ukončení pracovního poměru vrátili finančnímu subjektu veškerá aktiva v oblasti IKT a hmotná informační aktiva, která mají v držení a která patří finančnímu subjektu.
Článek 20 Správa identit -
Článek 21 Řízení přístupu

Článek 21

Řízení přístupu

V rámci kontroly správy přístupových práv finanční subjekty vypracují, zdokumentují a zavedou politiku, která zahrnuje všechny následující prvky:

a) 

přidělování přístupových práv k aktivům v oblasti IKT na základě zásad „potřeba znát“ a „potřeba používat“ a zásady minimálních práv, a to i u vzdáleného a nouzového přístupu;

b) 

oddělení úkolů s cílem zabránit neoprávněnému přístupu ke kritickým údajům nebo zabránit přidělování kombinací přístupových práv, které lze využít k obcházení kontrol;

c) 

ustanovení o odpovědnosti uživatelů v tom smyslu, že se co nejvíce omezí používání obecných a sdílených uživatelských účtů a zajistí se, aby uživatelé byli vždy při provádění činností v systémech IKT identifikovatelní;

d) 

ustanovení o omezení přístupu k aktivům v oblasti IKT, které stanoví kontrolní mechanismy a nástroje k zabránění neoprávněnému přístupu;

e) 

postupy v oblasti správy účtů pro udělování, změnu nebo odebírání přístupových práv k uživatelským a obecným účtům, včetně obecných účtů správců, zahrnující všechny následující prvky:

i) 

přidělení úloh a povinností týkajících se udělování, přezkumu a odebírání přístupových práv;

ii) 

přidělování privilegovaného, nouzového a administrátorského přístupu podle potřeby nebo v režimu ad hoc u všech systémů IKT;

iii) 

odebrání přístupových práv bez zbytečného odkladu po ukončení pracovního poměru nebo v případě, že přístup již není nutný;

iv) 

aktualizace přístupových práv, pokud je nezbytné provést změny a jinak nejméně jednou ročně u všech systémů IKT, které nepodporují zásadní nebo důležité funkce, a nejméně jednou za šest měsíců u systémů IKT, které podporují zásadní nebo důležité funkce;

f) 

metody ověřování zahrnující všechny tyto prvky:

i) 

používání metod ověřování, které jsou úměrné klasifikaci stanovené v souladu s čl. 8 odst. 1 nařízení (EU) 2022/2554 a celkovému rizikovému profilu aktiv v oblasti IKT a zohledňují osvědčené postupy;

ii) 

používání metod silného ověření v souladu s osvědčenými postupy a technikami pro vzdálený přístup do sítě finančního subjektu, pro privilegovaný přístup, pro přístup k aktivům v oblasti IKT podporujícím zásadní nebo důležité funkce nebo k veřejně přístupným aktivům v oblasti IKT;

g) 

opatření pro řízení fyzického přístupu zahrnující:

i) 

identifikaci a protokolování fyzických osob, které jsou oprávněny k přístupu do prostor, datových center a určených citlivých oblastí vymezených finančním subjektem, kde se nacházejí aktiva v oblasti IKT a informační aktiva;

ii) 

udělování fyzických přístupových práv ke kritickým aktivům v oblasti IKT pouze oprávněným osobám v souladu se zásadou „potřeba znát“ a zásadou minimálních práv a v režimu ad hoc;

iii) 

monitorování fyzického přístupu do prostor, datových center a určených citlivých oblastí vymezených finančním subjektem, kde se nacházejí aktiva v oblasti IKT nebo informační aktiva nebo obojí;

iv) 

přezkum fyzických přístupových práv s cílem zajistit, aby byla nepotřebná přístupová práva neprodleně odebrána.

Pro účely písm. e) bodu i) stanoví finanční subjekty dobu uchovávání s přihlédnutím k obchodním cílům a cílům v oblasti bezpečnosti informací, důvodům pro zaznamenání události do protokolů a výsledkům posouzení rizik v oblasti IKT.

Pro účely písm. e) bodu ii) používají finanční subjekty pro provádění administrativních úkolů v systémech IKT pokud možno vyhrazené účty. Je-li to proveditelné a vhodné, zavedou finanční subjekty pro řízení privilegovaného přístupu automatizovaná řešení.

Pro účely písm. g) bodu i) musí být identifikace a protokolování úměrné významu prostor, datových center, určených citlivých oblastí a významu operací nebo systémů IKT, které se v nich nacházejí.

Pro účely písm. g) bodu iii) musí být monitorování úměrné klasifikaci stanovené v souladu s čl. 8 odst. 1 nařízení (EU) 2022/2554 a významu oblasti, do níž je poskytnut přístup.

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

Požadavky

3. Související standardy

Standardy