+II LUKU Henkilöstöpolitiikka ja pääsynvalvonta
---+19 artikla Henkilöstöpolitiikka
---+20 artikla Henkilöllisyyden hallinta
------+20 artikla 1.
------+20 artikla 2.
---+21 artikla Pääsynvalvonta

II LUKU Henkilöstöpolitiikka ja pääsynvalvonta

II LUKU Henkilöstöpolitiikka ja pääsynvalvonta

1. Yleiskatsaus

,
19 artikla Henkilöstöpolitiikka

19 artikla

Henkilöstöpolitiikka

Finanssiyhteisöjen on sisällytettävä henkilöstöpolitiikkaansa tai muihin asiaankuuluviin toimintapolitiikkoihinsa kaikki seuraavat TVT-turvallisuuteen liittyvät seikat:

a) 

TVT-turvallisuuteen liittyvien erityisten vastuiden määrittäminen ja osoittaminen;

b) 

finanssiyhteisön TVT-omaisuutta käyttävän tai siihen pääsyoikeudet omaavan finanssiyhteisön ja TVT-palveluntarjoajana olevien kolmansien osapuolten henkilöstöä koskevat vaatimukset

i) 

olla tietoisia finanssiyhteisön TVT-turvallisuutta koskevista toimintaperiaatteista, menettelyistä ja protokollista ja noudattaa niitä;

ii) 

olla tietoisia ilmoituskanavista, jotka finanssiyhteisö on ottanut käyttöön poikkeavan käyttäytymisen havaitsemista varten, mukaan lukien soveltuvin osin Euroopan parlamentin ja neuvoston direktiivin (EU) 2019/1937 ( 1 ) mukaisesti perustetut ilmoituskanavat;

iii) 

palauttaa finanssiyhteisölle työsuhteen päättyessä kaikki heidän hallussaan oleva, finanssiyhteisölle kuuluva TVT-omaisuus ja aineellinen tieto-omaisuus.
20 artikla Henkilöllisyyden hallinta -
21 artikla Pääsynvalvonta

21 artikla

Pääsynvalvonta

Finanssiyhteisöjen on osana pääsynhallintaoikeuksien valvontaa laadittava, dokumentoitava ja otettava käyttöön toimintaperiaatteet, jotka sisältävät kaikki seuraavat:

a) 

käyttöoikeuksien myöntäminen TVT-omaisuuteen tiedonsaantitarpeen, käyttötarpeen ja vähäisimpien oikeuksien periaatteiden mukaisesti, mukaan lukien etäkäyttöoikeudet ja hätätilanteen käyttöoikeudet;

b) 

tehtävien eriyttäminen, jonka tarkoituksena on estää perusteeton pääsy kriittisiin tietoihin tai estää sellaisten käyttöoikeuksien yhdistelmien myöntäminen, joita voidaan käyttää valvonnan kiertämiseen;

c) 

käyttäjien vastuuvelvollisuutta koskeva määräys, jossa rajoitetaan mahdollisuuksien mukaan yleisten ja yhteiskäyttöisten käyttäjätilien käyttöä ja varmistetaan, että käyttäjät voidaan aina tunnistaa TVT-järjestelmissä tapahtuvan toiminnan osalta;

d) 

TVT-omaisuuteen pääsyn rajoittamista koskeva määräys, jossa vahvistetaan valvontatoimet ja välineet luvattoman käytön estämiseksi;

e) 

tilinhallintamenettelyt käyttäjätilien ja yleisten tilien, mukaan lukien yleisten pääkäyttäjätilien, käyttöoikeuksien myöntämiseksi, muuttamiseksi tai peruuttamiseksi, mukaan lukien määräykset kaikista seuraavista:

i) 

käyttöoikeuksien myöntämistä, tarkistamista ja peruuttamista koskevien tehtävien ja vastuiden osoittaminen;

ii) 

erityis-, hätätilanne- ja järjestelmävastaavan oikeuksien myöntäminen kaikkiin TVT-järjestelmiin käyttötarpeen perusteella tai tapauskohtaisesti;

iii) 

käyttöoikeuksien peruuttaminen ilman aiheetonta viivytystä työsuhteen päättyessä tai silloin, kun käyttöoikeudet eivät ole enää tarpeen;

iv) 

käyttöoikeuksien päivittäminen, kun muutokset ovat tarpeen, ja vähintään kerran vuodessa kaikkien muiden kuin kriittisiä tai tärkeitä toimintoja koskevien TVT-järjestelmien osalta ja vähintään kuuden kuukauden välein kriittisiä tai tärkeitä toimintoja tukevien TVT-järjestelmien osalta;

f) 

todentamismenetelmät, mukaan lukien kaikki seuraavat:

i) 

sellaisten todentamismenetelmien käyttö, jotka ovat oikeassa suhteessa asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistettuun luokitteluun ja TVT-omaisuuden yleiseen riskiprofiiliin ja ottaen huomioon johtavat käytännöt;

ii) 

sellaisten vahvojen tunnistusmenetelmien käyttö, johtavien käytäntöjen ja tekniikoiden mukaisesti, jotka koskevat pääsyä finanssiyhteisön verkkoon etäyhteydellä, erityisoikeutettua pääsyä, pääsyä kriittisiä tai tärkeitä toimintoja tukevaan TVT-omaisuuteen tai julkisesti saatavilla olevan TVT-omaisuuden käyttöoikeutta;

g) 

fyysiset pääsynvalvontatoimenpiteet, mukaan lukien seuraavat:

i) 

sellaisten luonnollisten henkilöiden tunnistaminen ja kirjaaminen, joilla on lupa päästä tiloihin, datakeskuksiin ja finanssiyhteisön nimeämille arkaluonteisille alueille, joissa TVT- ja tieto-omaisuus sijaitsee;

ii) 

fyysisten käyttöoikeuksien myöntäminen kriittiseen TVT-omaisuuteen ainoastaan valtuutetuille henkilöille tiedonsaantitarpeen ja vähäisimpien oikeuksien periaatteiden mukaisesti ja tapauskohtaisesti;

iii) 

fyysinen pääsynvalvonta tiloissa, datakeskuksissa ja finanssiyhteisön nimeämillä arkaluonteisilla alueilla, joissa TVT- ja tieto-omaisuus sijaitsee;

iv) 

fyysisten käyttöoikeuksien tarkistaminen sen varmistamiseksi, että tarpeettomat käyttöoikeudet peruutetaan viipymättä.

Sovellettaessa e alakohdan i alakohtaa finanssiyhteisöjen on vahvistettava säilytysaika ottaen huomioon liiketoiminta- ja tietoturvatavoitteet, syy tapahtuman kirjaamiseen lokitietoihin sekä TVT-riskinarvioinnin tulokset.

Sovellettaessa e alakohdan ii alakohtaa finanssiyhteisöjen on mahdollisuuksien mukaan käytettävä tarkoitukseen varattuja tilejä TVT-järjestelmiä koskevien hallinnollisten tehtävien suorittamiseen. Finanssiyhteisöjen on mahdollisuuksien mukaan ja tarvittaessa otettava käyttöön automatisoituja ratkaisuja erityisoikeuksien hallintaa varten.

Sovellettaessa g alakohdan i alakohtaa määrittämisen ja kirjaamisen on oltava oikeassa suhteessa tilojen, datakeskusten ja nimettyjen arkaluonteisten alueiden merkitykseen sekä niissä sijaitsevien toimintojen tai TVT-järjestelmien kriittisyyteen.

Sovellettaessa g alakohdan iii alakohtaa valvonnan on oltava oikeassa suhteessa asetuksen (EU) 2022/2554 8 artiklan 1 kohdan mukaisesti vahvistettuun luokitteluun ja pääsyn kohteena olevan alueen kriittisyyteen.

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät standardit

Standardit
  • Builddate: 25.06.2024 00:00:00 -Doknr: CELEX:32024R1774
  • EULAW -

    EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

    DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.