+KAPITEL II Politik for menneskelige ressourcer og adgangskontrol
---+Artikel 19 Politik for menneskelige ressourcer
---+Artikel 20 Identitetsstyring
------+Artikel 20 1.
------+Artikel 20 2.
---+Artikel 21 Adgangskontrol
|
KAPITEL II Politik for menneskelige ressourcer og adgangskontrol
KAPITEL II Politik for menneskelige ressourcer og adgangskontrol
1. Oversigt
| Titel |
Regulering |
|
Artikel 19 Politik for menneskelige ressourcer
|
Artikel 19
Politik for menneskelige ressourcer
Finansielle enheder inkluderer i deres politik for menneskelige ressourcer eller andre relevante politikker alle følgende IKT-sikkerhedsrelaterede elementer:
a)
angivelse og tildeling af eventuelle specifikke IKT-sikkerhedsopgaver
b)
krav til personalet i den finansielle enhed og hos tredjepartsudbydere af IKT-tjenester, der anvender eller har adgang til den finansielle enheds IKT-aktiver, om:
i)
at være bekendt med og overholde den finansielle enheds IKT-sikkerhedspolitikker, -procedurer og -protokoller
ii)
at være bekendt med de indberetningskanaler, som den finansielle enhed har indført for at detektere anormal adfærd, herunder, hvis det er relevant, de indberetningskanaler, der er indført i overensstemmelse med Europa-Parlamentets og Rådets direktiv (EU) 2019/1937 (
1
)
iii)
ved ansættelsesforholdets ophør at tilbagelevere alle IKT-aktiver og materielle informationsaktiver, som de er i besiddelse af, og som tilhører den finansielle enhed, til den finansielle enhed.
|
|
Artikel 20 Identitetsstyring
|
-
|
|
Artikel 21 Adgangskontrol
|
Artikel 21
Som led i deres kontrol med rettigheder vedrørende adgangsforvaltning udvikler, dokumenterer og gennemfører finansielle enheder en politik, der indeholder alt følgende:
a)
tildeling af adgangsrettigheder til IKT-aktiver på grundlag af need to know-princippet, need to use-princippet og least privilege-princippet, herunder fjernadgang og adgang i hastetilfælde
b)
adskillelse af opgaver, der er udformet med henblik på at forhindre uberettiget adgang til kritiske data eller forhindre tildeling af kombinationer af adgangsrettigheder, der kan anvendes til at omgå kontroller
c)
en bestemmelse om brugeransvar, idet brugen af generiske og delte brugerkonti begrænses så vidt muligt og det sikres, at brugerne til enhver tid kan identificeres med hensyn til de handlinger, der udføres i IKT-systemerne
d)
en bestemmelse om begrænsning af adgangen til IKT-aktiver, der fastsætter kontrolforanstaltninger og værktøjer, som skal forhindre uautoriseret adgang
e)
procedurer for kontoforvaltning med henblik på tildeling, ændring eller tilbagekaldelse af adgangsrettigheder for brugerkonti og generiske konti, herunder generiske administratorkonti, som omfatter bestemmelser om alt følgende:
i)
tildeling af roller og ansvarsområder for tildeling, gennemgang og tilbagekaldelse af adgangsrettigheder
ii)
tildeling af privilegeret adgang, hasteadgang og administratoradgang på need to know-basis eller ad hoc-basis for alle IKT-systemer
iii)
øjeblikkelig inddragelse af adgangsretten ved ansættelsesforholdets ophør, eller når adgangen ikke længere er nødvendig
iv)
ajourføring af adgangsrettigheder, når ændringer er nødvendige, og mindst en gang om året for alle IKT-systemer, bortset fra IKT-systemer, der understøtter kritiske eller vigtige funktioner, og mindst hver sjette måned for IKT-systemer, der understøtter kritiske eller vigtige funktioner.
f)
autentificeringsmetoder, herunder alle følgende:
i)
anvendelse af autentificeringsmetoder, der svarer til den klassificering, der er fastsat i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554, og til IKT-aktivernes overordnede risikoprofil og under hensyntagen til førende praksis
ii)
anvendelse af stærke autentificeringsmetoder i overensstemmelse med førende praksis og teknikker vedrørende fjernadgang til den finansielle enheds netværk, privilegeret adgang, adgang til IKT-aktiver, der understøtter kritiske eller vigtige funktioner, eller IKT-aktiver, der er offentligt tilgængelige
g)
foranstaltninger til fysisk adgangskontrol, herunder:
i)
identificering og logføring af fysiske personer, der har tilladelse til at få adgang til lokaler, datacentre og sensitive udpegede områder, som er angivet af den finansielle enhed, og hvor der ligger IKT-aktiver og informationsaktiver
ii)
tildeling af fysiske adgangsrettigheder til kritiske IKT-aktiver udelukkende til autoriserede personer i overensstemmelse med need to know-princippet og least privilege-princippet og på ad hoc-basis
iii)
overvågning af fysisk adgang til lokaler, datacentre og sensitive udpegede områder, som er angivet af den finansielle enhed, og hvor der både ligger IKT-aktiver og informationsaktiver
iv)
gennemgang af fysiske adgangsrettigheder for at sikre, at unødvendige adgangsrettigheder straks tilbagekaldes.
Med henblik på litra e), nr. i), fastsætter finansielle enheder opbevaringsperioden, idet de tager hensyn til forretnings- og informationssikkerhedsmålene, årsagerne til registreringen af hændelsen i logfilerne og resultaterne af IKT-risikovurderingen.
Med henblik på litra e), nr. ii), anvender finansielle enheder, når det er muligt, særlige konti til varetagelse af administrative opgaver vedrørende IKT-systemer. Hvis det er muligt og hensigtsmæssigt, anvender finansielle enheder automatiserede løsninger til forvaltning af privilegeret adgang.
Med henblik på litra g), nr. i), skal identifikationen og logføringen stå i rimeligt forhold til betydningen af lokalerne, datacentrene, de sensitive udpegede områder og den kritiske betydning af de operationer eller IKT-systemer, der foretages og ligger deri.
Med henblik på litra g), nr. iii), skal overvågningen stå i rimeligt forhold til den klassificering, der er fastlagt i overensstemmelse med artikel 8, stk. 1, i forordning (EU) 2022/2554, og den kritiske betydning af det område, hvortil der opnås adgang.
|
,
1.1 Referencer
1.2 Identificerede krav
1.3 Relaterede standarder
2. Identificerede krav
3. Relaterede standarder
|