+Artículo 20 2.

Artículo 20 2.

Las políticas y procedimientos de gestión de la identidad a que se refiere el apartado 1 incluirán todos los aspectos siguientes:

a) 

sin perjuicio de lo dispuesto en el artículo 21, apartado 1, letra c), se asignará una identidad única correspondiente a una cuenta de usuario única a cada miembro del personal de la entidad financiera o del personal de los proveedores terceros de servicios de TIC que acceda a los activos de información y los activos de TIC de la entidad financiera;

b) 

un proceso de gestión de identidades y cuentas a lo largo de su ciclo de vida que gestione la creación, modificación, revisión y actualización, la desactivación temporal y la cancelación de todas las cuentas.

A efectos de la letra a), las entidades financieras llevarán un registro de todas las identidades asignadas. Dicho registro se conservará tras una reorganización de la entidad financiera o una vez finalizada la relación contractual, sin perjuicio de los requisitos de conservación establecidos en el Derecho nacional y de la Unión aplicable.

A efectos de la letra b), las entidades financieras implementarán, cuando sea factible y adecuado, soluciones automatizadas para el proceso de gestión de identidades a lo largo de su ciclo de vida.

1. Resumen

,

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

Requisitos

3. Estándares relacionados

Estándares
NOREA Authentication Methods
Use authentication methods commensurate with the classification and risk profile of ICT assets. Implement strong authentication methods, particularly for remote access, privileged access, and access to critical ICT assets.
NOREA Identity Management

Assign a unique identity to each staff member or staff of the third-party service provider accessing information and ICT assets. Implement a lifecycle management process for identities, covering creation, change, recertification, temporary deactivation, and termination of user accounts. Utilize automated solutions where applicable.
NOREA Privilige Access Management

Define access rights based on need-to-know, need-to-use, and least privilege principles, including provisions for remote and emergency access. Enforce segregation of duties to prevent unjustified access or combinations that could circumvent controls. Ensure user accountability by limiting generic and shared user accounts, enabling user identification for all ICT system actions. Implement controls and tools to restrict unauthorized access.
NOREA Account Management

Establish procedures for granting, changing, and revoking access rights, specifying roles and responsibilities. Define retention periods for access logs. Assign privileged, emergency, and administrator access on a need-to-use or ad-hoc basis, with automated solutions for privilege access management. Withdraw access rights promptly upon termination of employment or when no longer required. Conduct periodic reviews of access rights, ensuring at least annual reviews for non-critical ICT systems and semi-annual reviews for critical systems.