+Authentication Methods

Authentication Methods

Use authentication methods commensurate with the classification and risk profile of ICT assets. Implement strong authentication methods, particularly for remote access, privileged access, and access to critical ICT assets.

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Réglementations associées

2. Exigences identifiées

Exigences

3. Réglementations associées

Réglementations
EULAW Article 20 1.
Dans le cadre de leur contrôle des droits de gestion des accès, les entités financières élaborent, documentent et mettent en œuvre des politiques et procédures de gestion de l’identité qui garantissent l’identification et l’authentification uniques des personnes physiques et des systèmes ayant accès aux informations des entités financières afin de permettre l’attribution de droits d’accès aux utilisateurs conformément à l’article 21.
EULAW Article 20 2.

Les politiques et procédures de gestion de l’identité visées au paragraphe 1 comportent l’ensemble des éléments suivants:

a) 

sans préjudice de l’article 21, premier alinéa, point c), une identité unique correspondant à un compte d’utilisateur unique est attribuée à chaque membre du personnel de l’entité financière ou du personnel des prestataires tiers de services TIC qui ont accès aux actifs informationnels et aux actifs de TIC de l’entité financière;

b) 

un processus de gestion du cycle de vie pour les identités et les comptes régissant la création, la modification, le réexamen et la mise à jour, la désactivation temporaire et la clôture de tous les comptes.

Aux fins du point a), les entités financières tiennent des registres de toutes les attributions d’identité. Ces registres sont conservés à la suite d’une réorganisation de l’entité financière ou après la fin d’une relation contractuelle, sans préjudice des exigences en matière de conservation prévues par le droit de l’Union et le droit national applicables.

Aux fins du point b), les entités financières déploient, lorsque cela est possible et approprié, des solutions automatisées pour le processus de gestion de l’identité tout au long du cycle de vie.
EULAW Article 21 Contrôle d’accès

Article 21

Contrôle d’accès

Dans le cadre de leur contrôle des droits de gestion des accès, les entités financières élaborent, documentent et mettent en œuvre une politique qui comporte l’ensemble des éléments suivants:

a) 

l’attribution de droits d’accès aux actifs de TIC selon les principes du besoin d’en connaître, du besoin d’en disposer et du moindre privilège, y compris pour l’accès à distance et l’accès d’urgence;

b) 

une séparation des tâches visant à empêcher un accès injustifié à des données critiques ou à empêcher l’attribution de combinaisons de droits d’accès susceptibles d’être utilisées pour contourner les contrôles;

c) 

des dispositions sur la responsabilité des utilisateurs, en limitant, dans la mesure du possible, l’utilisation de comptes utilisateurs génériques ou partagés et en veillant à ce que les utilisateurs soient à tout moment identifiables pour les actions effectuées dans les systèmes de TIC;

d) 

des dispositions sur les restrictions d’accès aux actifs de TIC, prévoyant des contrôles et des outils pour empêcher tout accès non autorisé;

e) 

des procédures de gestion de comptes permettant d’accorder, de modifier ou de révoquer des droits d’accès pour les comptes d’utilisateurs et les comptes génériques, y compris les comptes génériques d’administrateur, comportant des dispositions relatives à tous les éléments suivants:

i) 

l’attribution des rôles et des responsabilités pour l’octroi, le réexamen et la révocation des droits d’accès;

ii) 

l’attribution d’accès privilégiés, d’urgence et d’administrateur uniquement sur la base du besoin d’en disposer ou au cas par cas pour tous les systèmes de TIC;

iii) 

le retrait des droits d’accès sans retard injustifié à la fin de l’emploi ou lorsque l’accès n’est plus nécessaire;

iv) 

la mise à jour des droits d’accès lorsque des modifications sont nécessaires et au moins une fois par an pour tous les systèmes de TIC autres que les systèmes de TIC qui soutiennent des fonctions critiques ou importantes et au moins tous les six mois pour les systèmes de TIC qui soutiennent des fonctions critiques ou importantes;

f) 

des méthodes d’authentification, comprenant l’ensemble des éléments suivants:

i) 

l’utilisation de méthodes d’authentification proportionnées à la classification établie conformément à l’article 8, paragraphe 1, du règlement (UE) 2022/2554 et au profil de risque global des actifs de TIC et tenant compte des pratiques de pointe;

ii) 

l’utilisation de méthodes d’authentification forte conformément aux pratiques et techniques de pointe pour l’accès à distance au réseau de l’entité financière, pour les accès privilégiés, pour l’accès aux actifs de TIC soutenant des fonctions critiques ou importantes ou aux actifs de TIC accessibles au public;

g) 

des mesures de contrôle de l’accès physique comprenant:

i) 

l’identification et la journalisation des personnes physiques autorisées à accéder aux locaux, aux centres de données et aux zones sensibles désignées par l’entité financière où sont situés les actifs de TIC et les actifs informationnels;

ii) 

l’octroi de droits d’accès physique aux actifs de TIC critiques uniquement aux personnes autorisées, conformément aux principes du besoin d’en connaître et du moindre privilège, et au cas par cas;

iii) 

le suivi de l’accès physique aux locaux, aux centres de données et aux zones sensibles désignées par l’entité financière où sont situés les actifs de TIC, les actifs informationnels ou les deux types d’actifs;

iv) 

le réexamen des droits d’accès physique afin de veiller à ce que les droits d’accès inutiles soient rapidement révoqués.

Aux fins du point e) i), les entités financières définissent la durée de conservation en prenant en considération les objectifs en matière de sécurité des activités et de l’information, les raisons de l’enregistrement de l’événement dans les journaux et les résultats de l’évaluation du risque lié aux TIC.

Aux fins du point e) ii), les entités financières utilisent, dans la mesure du possible, des comptes spécifiques pour l’exécution de tâches administratives relatives aux systèmes de TIC. Lorsque cela est possible et approprié, les entités financières déploient des solutions automatisées pour la gestion des accès privilégiés.

Aux fins du point g) i), l’identification et la journalisation sont proportionnées à l’importance des locaux, des centres de données et des zones sensibles désignées et à la criticité des opérations ou des systèmes de TIC qui y sont situés.

Aux fins du point g) iii), le suivi est proportionné à la classification établie conformément à l’article 8, paragraphe 1, du règlement (UE) 2022/2554 et à la criticité de la zone accessible.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.