+Authentication Methods

Authentication Methods

Use authentication methods commensurate with the classification and risk profile of ICT assets. Implement strong authentication methods, particularly for remote access, privileged access, and access to critical ICT assets.

1. Oversigt

Titel	Standard

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav
Kilde	Krav

3. Relaterede reguleringer

Reguleringer
Kilde	Regulering
EULAW	Artikel 20 1. Som led i deres kontrol med rettigheder vedrørende adgangsforvaltning udvikler, dokumenterer og gennemfører finansielle enheder politikker og procedurer for identitetsstyring, der sikrer entydig identificering og autentificering af fysiske personer og systemer, der har adgang til de finansielle enheders oplysninger, for at muliggøre tildeling af brugeradgangsrettigheder i overensstemmelse med artikel 21.
EULAW	Artikel 20 2. De i stk. 1 omhandlede procedurer og protokoller for identitetsstyring skal indeholde alt følgende: a) uden at det berører artikel 21, litra c), første afsnit, tildeles hver enkelt medarbejder i den finansielle enhed eller medarbejdere hos tredjepartsudbydere af IKT-tjenester, der har adgang til den finansielle enheds informationsaktiver og IKT-aktiver, en unik identitet svarende til en unik brugerkonto b) en proces for livscyklusstyring af identiteter og konti, som styrer oprettelse, ændring, gennemgang og opdatering, midlertidig deaktivering og afslutning af alle konti. Med henblik på litra a) fører finansielle enheder fortegnelser over alle identitetstildelinger. Disse fortegnelser opbevares efter en omstrukturering af den finansielle enhed eller efter kontraktforholdets ophør, uden at dette berører de krav om opbevaring, der er fastsat i gældende EU-ret og national ret. Med henblik på litra b) anvender finansielle enheder, hvis det er muligt og hensigtsmæssigt, automatiserede løsninger til processen for livscyklusidentitetsstyring.
EULAW	Artikel 21 Adgangskontrol Artikel 21 Adgangskontrol Som led i deres kontrol med rettigheder vedrørende adgangsforvaltning udvikler, dokumenterer og gennemfører finansielle enheder en politik, der indeholder alt følgende: a) tildeling af adgangsrettigheder til IKT-aktiver på grundlag af need to know-princippet, need to use-princippet og least privilege-princippet, herunder fjernadgang og adgang i hastetilfælde b) adskillelse af opgaver, der er udformet med henblik på at forhindre uberettiget adgang til kritiske data eller forhindre tildeling af kombinationer af adgangsrettigheder, der kan anvendes til at omgå kontroller c) en bestemmelse om brugeransvar, idet brugen af generiske og delte brugerkonti begrænses så vidt muligt og det sikres, at brugerne til enhver tid kan identificeres med hensyn til de handlinger, der udføres i IKT-systemerne d) en bestemmelse om begrænsning af adgangen til IKT-aktiver, der fastsætter kontrolforanstaltninger og værktøjer, som skal forhindre uautoriseret adgang e) procedurer for kontoforvaltning med henblik på tildeling, ændring eller tilbagekaldelse af adgangsrettigheder for brugerkonti og generiske konti, herunder generiske administratorkonti, som omfatter bestemmelser om alt følgende: i) tildeling af roller og ansvarsområder for tildeling, gennemgang og tilbagekaldelse af adgangsrettigheder ii) tildeling af privilegeret adgang, hasteadgang og administratoradgang på need to know-basis eller ad hoc-basis for alle IKT-systemer iii) øjeblikkelig inddragelse af adgangsretten ved ansættelsesforholdets ophør, eller når adgangen ikke længere er nødvendig iv) ajourføring af adgangsrettigheder, når ændringer er nødvendige, og mindst en gang om året for alle IKT-systemer, bortset fra IKT-systemer, der understøtter kritiske eller vigtige funktioner, og mindst hver sjette måned for IKT-systemer, der understøtter kritiske eller vigtige funktioner. f) autentificeringsmetoder, herunder alle følgende: i) anvendelse af autentificeringsmetoder, der svarer til den klassificering, der er fastsat i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554, og til IKT-aktivernes overordnede risikoprofil og under hensyntagen til førende praksis ii) anvendelse af stærke autentificeringsmetoder i overensstemmelse med førende praksis og teknikker vedrørende fjernadgang til den finansielle enheds netværk, privilegeret adgang, adgang til IKT-aktiver, der understøtter kritiske eller vigtige funktioner, eller IKT-aktiver, der er offentligt tilgængelige g) foranstaltninger til fysisk adgangskontrol, herunder: i) identificering og logføring af fysiske personer, der har tilladelse til at få adgang til lokaler, datacentre og sensitive udpegede områder, som er angivet af den finansielle enhed, og hvor der ligger IKT-aktiver og informationsaktiver ii) tildeling af fysiske adgangsrettigheder til kritiske IKT-aktiver udelukkende til autoriserede personer i overensstemmelse med need to know-princippet og least privilege-princippet og på ad hoc-basis iii) overvågning af fysisk adgang til lokaler, datacentre og sensitive udpegede områder, som er angivet af den finansielle enhed, og hvor der både ligger IKT-aktiver og informationsaktiver iv) gennemgang af fysiske adgangsrettigheder for at sikre, at unødvendige adgangsrettigheder straks tilbagekaldes. Med henblik på litra e), nr. i), fastsætter finansielle enheder opbevaringsperioden, idet de tager hensyn til forretnings- og informationssikkerhedsmålene, årsagerne til registreringen af hændelsen i logfilerne og resultaterne af IKT-risikovurderingen. Med henblik på litra e), nr. ii), anvender finansielle enheder, når det er muligt, særlige konti til varetagelse af administrative opgaver vedrørende IKT-systemer. Hvis det er muligt og hensigtsmæssigt, anvender finansielle enheder automatiserede løsninger til forvaltning af privilegeret adgang. Med henblik på litra g), nr. i), skal identifikationen og logføringen stå i rimeligt forhold til betydningen af lokalerne, datacentrene, de sensitive udpegede områder og den kritiske betydning af de operationer eller IKT-systemer, der foretages og ligger deri. Med henblik på litra g), nr. iii), skal overvågningen stå i rimeligt forhold til den klassificering, der er fastlagt i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554, og den kritiske betydning af det område, hvortil der opnås adgang.

NOREA -
EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.