+ΚΕΦΑΛΑΙΟ II Πολιτική ανθρώπινων πόρων και έλεγχος πρόσβασης
---+Άρθρο 19 Πολιτική ανθρώπινων πόρων
---+Άρθρο 20 Διαχείριση ταυτότητας
------+Άρθρο 20 1.
------+Άρθρο 20 2.
---+Άρθρο 21 Έλεγχος πρόσβασης
|
ΚΕΦΑΛΑΙΟ II Πολιτική ανθρώπινων πόρων και έλεγχος πρόσβασης
ΚΕΦΑΛΑΙΟ II Πολιτική ανθρώπινων πόρων και έλεγχος πρόσβασης
1. Επισκόπηση
| Τίτλος |
Κανονισμός |
|
Άρθρο 19 Πολιτική ανθρώπινων πόρων
|
Άρθρο 19
Πολιτική ανθρώπινων πόρων
Στην πολιτική τους για τους ανθρώπινους πόρους ή σε άλλες σχετικές πολιτικές, οι χρηματοοικονομικές οντότητες περιλαμβάνουν όλα τα ακόλουθα στοιχεία που σχετίζονται με την ασφάλεια ΤΠΕ:
α)
τον προσδιορισμό και την ανάθεση τυχόν ειδικών αρμοδιοτήτων για την ασφάλεια ΤΠΕ·
β)
απαιτήσεις προκειμένου το προσωπικό της χρηματοοικονομικής οντότητας και των τρίτων παρόχων υπηρεσιών ΤΠΕ που χρησιμοποιούν ή έχουν πρόσβαση σε πόρους ΤΠΕ της χρηματοοικονομικής οντότητας:
i)
να ενημερώνεται για τις πολιτικές, τις διαδικασίες και τα πρωτόκολλα ασφάλειας ΤΠΕ της χρηματοοικονομικής οντότητας και να τα τηρεί·
ii)
να γνωρίζει τους διαύλους αναφοράς που εφαρμόζει η χρηματοοικονομική οντότητα για τον εντοπισμό ασυνήθιστων δραστηριοτήτων, συμπεριλαμβανομένων, κατά περίπτωση, των διαύλων αναφοράς που έχουν θεσπιστεί σύμφωνα με την οδηγία (ΕΕ) 2019/1937 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (
1
)·
iii)
να επιστρέψει στη χρηματοοικονομική οντότητα, μετά τη λήξη της απασχόλησής του, όλους τους πόρους ΤΠΕ και τους ενσώματους πληροφοριακούς πόρους που βρίσκονται στην κατοχή του και ανήκουν στη χρηματοοικονομική οντότητα.
|
|
Άρθρο 20 Διαχείριση ταυτότητας
|
|
|
Άρθρο 21 Έλεγχος πρόσβασης
|
Άρθρο 21
Στο πλαίσιο του ελέγχου της διαχείρισης δικαιωμάτων πρόσβασης, οι χρηματοοικονομικές οντότητες αναπτύσσουν, τεκμηριώνουν και εφαρμόζουν πολιτική που περιλαμβάνει όλα τα ακόλουθα:
α)
την εκχώρηση δικαιωμάτων πρόσβασης σε πόρους ΤΠΕ με βάση τις αρχές της ανάγκης γνώσης, της ανάγκης χρήσης και των ελάχιστων προνομίων, μεταξύ άλλων για την εξ αποστάσεως πρόσβαση και την πρόσβαση έκτακτης ανάγκης·
β)
τον διαχωρισμό των καθηκόντων που έχουν σχεδιαστεί για την πρόληψη της αδικαιολόγητης πρόσβασης σε κρίσιμα δεδομένα ή για την αποτροπή της κατανομής συνδυασμών δικαιωμάτων πρόσβασης που ενδέχεται να χρησιμοποιηθούν για την παράκαμψη ελέγχων·
γ)
διάταξη σχετικά με τη λογοδοσία χρήστη, περιορίζοντας στο μέτρο του δυνατού τη χρήση γενικών και κοινών λογαριασμών χρήστη και διασφαλίζοντας ότι ανά πάσα στιγμή μπορεί να εξακριβωθεί η ταυτότητα των χρηστών σε σχέση με τις ενέργειες που εκτελούνται στα συστήματα ΤΠΕ·
δ)
διάταξη σχετικά με τους περιορισμούς της πρόσβασης σε πόρους ΤΠΕ, καθορίζοντας δικλείδες ασφαλείας και εργαλεία για την πρόληψη της μη εξουσιοδοτημένης πρόσβασης·
ε)
διαδικασίες διαχείρισης λογαριασμών για τη χορήγηση, την αλλαγή ή την ανάκληση δικαιωμάτων πρόσβασης για λογαριασμούς χρήστη και γενικούς λογαριασμούς, μεταξύ άλλων γενικούς λογαριασμούς διαχειριστή, συμπεριλαμβανομένης διάταξης για όλα τα ακόλουθα:
i)
την ανάθεση ρόλων και αρμοδιοτήτων για τη χορήγηση, την επανεξέταση και την ανάκληση δικαιωμάτων πρόσβασης·
ii)
την εκχώρηση προνομιακής πρόσβασης, πρόσβασης έκτακτης ανάγκης και διαχειριστή με βάση την ανάγκη χρήσης ή ad hoc για όλα τα συστήματα ΤΠΕ·
iii)
την ανάκληση δικαιωμάτων πρόσβασης χωρίς αδικαιολόγητη καθυστέρηση μετά τη λήξη της απασχόλησης ή όταν η πρόσβαση δεν είναι πλέον απαραίτητη·
iv)
την επικαιροποίηση δικαιωμάτων πρόσβασης όταν απαιτούνται αλλαγές και τουλάχιστον μία φορά ετησίως για όλα τα συστήματα ΤΠΕ, εκτός από τα συστήματα ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες και τουλάχιστον κάθε 6 μήνες για συστήματα ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες·
στ)
μεθόδους επαλήθευσης ταυτότητας, συμπεριλαμβανομένων όλων των ακόλουθων στοιχείων:
i)
της χρήσης μεθόδων επαλήθευσης ταυτότητας ανάλογων με την ταξινόμηση που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554 και με το συνολικό προφίλ κινδύνου των πόρων ΤΠΕ και με συνεκτίμηση κορυφαίων πρακτικών·
ii)
της χρήσης μεθόδων ισχυρής αυθεντικοποίησης σύμφωνα με κορυφαίες πρακτικές και τεχνικές για την εξ αποστάσεως πρόσβαση στο δίκτυο της χρηματοοικονομικής οντότητας, για προνομιακή πρόσβαση, για πρόσβαση στους πόρους ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες ή πόρους ΤΠΕ που είναι προσβάσιμοι από το κοινό·
ζ)
μέτρα για δικλείδες ασφαλείας φυσικής πρόσβασης που περιλαμβάνουν:
i)
την ταυτοποίηση και καταγραφή των φυσικών προσώπων που είναι εξουσιοδοτημένα να έχουν πρόσβαση σε εγκαταστάσεις, κέντρα δεδομένων και ευαίσθητους οριοθετημένους χώρους που προσδιορίζει η χρηματοοικονομική οντότητα, όπου βρίσκονται πόροι ΤΠΕ και πληροφοριακοί πόροι·
ii)
τη χορήγηση δικαιωμάτων φυσικής πρόσβασης σε κρίσιμους πόρους ΤΠΕ μόνο σε εξουσιοδοτημένα πρόσωπα, σύμφωνα με τις αρχές της ανάγκης γνώσης και των ελάχιστων προνομίων, και σε ad hoc βάση·
iii)
την παρακολούθηση της φυσικής πρόσβασης σε εγκαταστάσεις, κέντρα δεδομένων και ευαίσθητους οριοθετημένους χώρους που προσδιορίζει η χρηματοοικονομική οντότητα, όπου βρίσκονται πόροι ΤΠΕ και πληροφοριακοί πόροι·
iv)
την επανεξέταση των δικαιωμάτων φυσικής πρόσβασης προκειμένου να διασφαλιστεί η άμεση ανάκληση περιττών δικαιωμάτων πρόσβασης.
Για τους σκοπούς του στοιχείου ε) σημείο i), οι χρηματοοικονομικές οντότητες καθορίζουν την περίοδο διατήρησης, λαμβάνοντας υπόψη τους επιχειρηματικούς στόχους και τους στόχους ασφάλειας των πληροφοριών, τους λόγους καταχώρισης του συμβάντος στα αρχεία καταγραφής και τα αποτελέσματα της αξιολόγησης κινδύνων ΤΠΕ.
Για τους σκοπούς του στοιχείου ε) σημείο ii), οι χρηματοοικονομικές οντότητες χρησιμοποιούν, όπου είναι δυνατόν, ειδικούς λογαριασμούς για την εκτέλεση διοικητικών καθηκόντων στα συστήματα ΤΠΕ. Όπου είναι εφικτό και σκόπιμο, οι χρηματοοικονομικές οντότητες εφαρμόζουν αυτοματοποιημένες λύσεις για τη διαχείριση προνομιακής πρόσβασης.
Για τους σκοπούς του στοιχείου ζ) σημείο i), η ταυτοποίηση και η καταγραφή είναι ανάλογες προς τη σημασία των εγκαταστάσεων, των κέντρων δεδομένων, των ευαίσθητων οριοθετημένων χώρων και με την κρισιμότητα των λειτουργιών ή των συστημάτων ΤΠΕ που βρίσκονται εκεί.
Για τους σκοπούς του στοιχείου ζ) σημείο iii), η παρακολούθηση είναι ανάλογη με την ταξινόμηση που καθορίζεται σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ) 2022/2554 και την κρισιμότητα του χώρου στον οποίο πραγματοποιείται πρόσβαση.
|
,
1.1 Παραπομπές
1.2 Εντοπισμένες απαιτήσεις
1.3 Σχετικά πρότυπα
2. Εντοπισμένες απαιτήσεις
3. Σχετικά πρότυπα
|