+Authentication Methods

Authentication Methods

Use authentication methods commensurate with the classification and risk profile of ICT assets. Implement strong authentication methods, particularly for remote access, privileged access, and access to critical ICT assets.

1. Ülevaade

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud regulatsioonid

2. Tuvastatud nõuded

Nõuded

3. Seotud regulatsioonid

Regulatsioonid
EULAW Artikkel 20 1.
Finantssektori ettevõtjad töötavad pääsuhalduse õiguste reguleerimise osana välja ja dokumenteerivad identiteedihalduse põhimõtted ja menetlused, millega tagatakse finantssektori ettevõtja teabele ligi pääsevate füüsiliste isikute ja süsteemide kordumatu identifitseerimine ja autentimine, et oleks võimalik anda kasutaja pääsuõigusi kooskõlas artikliga 21, ning rakendavad neid põhimõtteid ja menetlusi.
EULAW Artikkel 20 2.

Lõikes 1 osutatud põhimõtted ja menetlused peavad hõlmama kõike järgmist:

a) 

ilma et see piiraks artikli 21 esimese lõigu punkti c kohaldamist, kordumatule kasutajakontole vastava kordumatu identiteedi määramine igale finantssektori ettevõtja või kolmandast isikust IKT-teenuste osutaja töötajale, kellel on juurdepääs finantssektori ettevõtja teabevaradele ja IKT-varadele;

b) 

identiteetide ja kontode olelusringi haldamise protsess, mis hõlmab kõigi kontode loomist, muutmist, läbivaatamist ja ajakohastamist, ajutist deaktiveerimist ja lõplikku sulgemist.

Punkti a kohaldamisel säilitavad finantssektori ettevõtjad andmed kõigi identiteetide määramiste kohta. Need andmed hoitakse alles ka pärast finantssektori ettevõtja ümberkorraldamist või lepingulise suhte lõppemist, ilma et see piiraks kohaldatavas liidu ja siseriiklikus õiguses sätestatud säilitamisnõuete kohaldamist.

Punkti b kohaldamisel võtavad finantssektori ettevõtjad identiteetide olelusringi haldamise protsessi jaoks kasutusele automatiseeritud lahendused, kui see on teostatav ja asjakohane.
EULAW Artikkel 21 Pääsu reguleerimine

Artikkel 21

Pääsu reguleerimine

Finantssektori ettevõtjad töötavad pääsuhalduse õiguste reguleerimise osana välja ja dokumenteerivad põhimõtted, mis peavad hõlmama kõike järgmist, ning rakendavad neid:

a) 

IKT-varadele juurdepääsu õiguste, sealhulgas kaugpääsu ja hädaolukorras pääsu õiguse andmine, lähtudes teadmisvajadusest, kasutusvajadusest ja minimaalõiguste printsiibist;

b) 

ülesannete lahusus, et ära hoida põhjendamatu juurdepääs kriitilise tähtsusega andmetele või sellise pääsuõiguste kombinatsiooni tekkimine, mida võidakse kasutada kontrollist kõrvalehoidmiseks;

c) 

säte kasutaja vastutuse kohta, millega piiratakse nii palju kui võimalik üldkontode ja jagatud kasutajakontode kasutamist ning tagatakse, et kasutajad on IKT-süsteemides tehtavate toimingute puhul alati tuvastatavad;

d) 

säte IKT-varadele juurdepääsu piiramise kohta, millega nähakse ette kontrollid ja vahendid loata juurdepääsu ärahoidmiseks;

e) 

kontohaldusmenetlused kasutaja- ja üldkontode, kaasa arvatud üldiste administraatorikontode pääsuõiguste andmiseks, muutmiseks või tühistamiseks, sealhulgas sätted kõige järgmise kohta:

i) 

rollide ja vastutusvaldkondade määramine pääsuõiguste andmiseks, läbivaatamiseks ja tühistamiseks,

ii) 

kõikidele IKT-süsteemidele eelis-, hädaolukorras või administraatori pääsu andmine kasutusvajaduse korral või vajaduspõhiselt,

iii) 

pääsuõiguste tühistamine põhjendamatu viivituseta, kui töösuhe lõpeb või kui pääs ei ole enam vajalik,

iv) 

pääsuõiguste ajakohastamine, kui on vaja teha muudatusi, ning kriitilise tähtsusega või olulisi funktsioone toetavate IKT-süsteemide puhul vähemalt kord kuue kuu jooksul ning kõigi muude IKT-süsteemide puhul vähemalt kord aastas;

f) 

autentimismeetodid, sealhulgas kõik järgmine:

i) 

autentimismeetodite kasutamine viisil, mis on vastavuses määruse (EL) 2022/2554 artikli 8 lõike 1 kohase liigitusega ja IKT-varade üldise riskiprofiiliga, ning võttes arvesse juhtivaid tavasid,

ii) 

tugevate autentimismeetodite kasutamine finantssektori ettevõtja võrgule kaugpääsu, eelispääsu, kriitilise tähtsusega või olulisi funktsioone toetavatele IKT-varadele juurdepääsu või üldsusele kättesaadavatele IKT-varadele juurdepääsu andmisel kooskõlas juhtivate tavade ja meetoditega;

g) 

füüsilise pääsu reguleerimise meetmed, sealhulgas

i) 

selliste füüsiliste isikute identifitseerimine ja nende toimingute logimine, kellel on õigus siseneda finantssektori ettevõtja ruumidesse ja andmekeskustesse ning finantssektori ettevõtja kindlaks määratud tundlikele aladele, kus asuvad IKT- ja teabevarad,

ii) 

kriitilise tähtsusega IKT-varade puhul füüsilise pääsu õiguse andmine üksnes volitatud isikutele kooskõlas teadmisvajaduse ja minimaalõiguste printsiibiga ning vajaduspõhiselt,

iii) 

finantssektori ettevõtja ruumidesse ja andmekeskustesse ning finantssektori ettevõtja kindlaks määratud tundlikele aladele, kus asuvad IKT- ja teabevarad, füüsilise pääsu seire,

iv) 

füüsilise pääsu õiguste läbivaatamine, et tagada tarbetute pääsuõiguste viivitamatu tühistamine.

Punkti e alapunkti i kohaldamisel määravad finantssektori ettevõtjad kindlaks säilitamistähtaja, võttes arvesse äri- ja infoturbe eesmärke, sündmuse logis registreerimise põhjust ja IKT-riski hindamise tulemusi.

Punkti e alapunkti ii kohaldamisel kasutavad finantssektori ettevõtjad IKT-süsteemidega seotud haldusülesannete täitmiseks võimaluse korral spetsiaalseid kontosid. Kui see on teostatav ja asjakohane, võtavad finantssektori ettevõtjad eelispääsu haldamiseks kasutusele automatiseeritud lahendused.

Punkti g alapunkti i kohaldamisel peavad identifitseerimine ja logimine olema vastavuses ruumide, andmekeskuste ja kindlaksmääratud tundlike alade ning seal tehtavate toimingute või asuvate IKT-süsteemide kriitilise tähtsusega.

Punkti g alapunkti iii kohaldamisel peab seire olema vastavuses määruse (EL) 2022/2554 artikli 8 lõike 1 kohase liigitusega ja juurdepääsetava ala kriitilise tähtsusega.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.