+POGLAVLJE II. Politika ljudskih resursa i kontrola pristupa
---+Članak 19. Politika ljudskih resursa
---+Članak 20. Upravljanje identitetom
------+Članak 20. 1.
------+Članak 20. 2.
---+Članak 21. Kontrola pristupa

POGLAVLJE II. Politika ljudskih resursa i kontrola pristupa

POGLAVLJE II. Politika ljudskih resursa i kontrola pristupa

1. Pregled

,
Članak 19. Politika ljudskih resursa

Članak 19.

Politika ljudskih resursa

Financijski subjekti u svoju politiku ljudskih resursa ili druge relevantne politike uključuju sve sljedeće elemente povezane sa sigurnosti IKT-a:

(a) 

utvrđivanje i dodjelu svih posebnih odgovornosti za sigurnost IKT-a;

(b) 

sljedeće zahtjeve za osoblje financijskog subjekta i treće strane pružatelje IKT usluga koji upotrebljavaju IKT imovinu financijskog subjekta ili joj pristupaju:

i. 

da budu informirani o politikama, postupcima i protokolima financijskog subjekta za sigurnost IKT-a te da ih se pridržavaju;

ii. 

da budu upoznati s kanalima za prijavljivanje koje je financijski subjekt uspostavio u svrhu otkrivanja neobičnog ponašanja, među ostalim, prema potrebi, kanala za prijavljivanje koji su uspostavljeni u skladu s Direktivom (EU) 2019/1937 Europskog parlamenta i Vijeća ( 1 );

iii. 

da osoblje nakon prestanka radnog odnosa financijskom subjektu vrati svu IKT imovinu i materijalnu informacijsku imovinu koju posjeduje, a pripada financijskom subjektu.
Članak 20. Upravljanje identitetom -
Članak 21. Kontrola pristupa

Članak 21.

Kontrola pristupa

Financijski subjekti u sklopu svoje kontrole pravâ upravljanja pristupom izrađuju, dokumentiraju i provode politiku koja sadržava sve sljedeće:

(a) 

dodjelu prava pristupa IKT imovini na temelju načela nužne informiranosti, nužne upotrebe i najmanjih povlastica, među ostalim za daljinski i hitni pristup;

(b) 

razdvajanje dužnosti kako bi se spriječio neopravdani pristup ključnim podacima ili kako bi se spriječila dodjela kombiniranih prava pristupa kojima se mogu zaobići kontrole;

(c) 

odredbu o odgovornosti korisnika, što uključuje maksimalno ograničavanje upotrebe generičkih i dijeljenih korisničkih računa i omogućivanje u svakom trenutku utvrđivanja identiteta korisnika koji u IKT sustavima izvršavaju pojedine aktivnosti;

(d) 

odredbu o ograničenjima pristupa IKT imovini, što uključuje utvrđivanje kontrola i alata za sprečavanje neovlaštenog pristupa;

(e) 

postupke za upravljanje računima kojima se dodjeljuju, mijenjaju ili opozivaju prava pristupa za korisničke i generičke račune, među ostalim generičke administratorske račune, što uključuje odredbu o svemu sljedećem:

i. 

dodjeli uloga i odgovornosti za dodjelu, preispitivanje i opoziv pravâ pristupa;

ii. 

dodjeli povlaštenog, hitnog i administratorskog pristupa na osnovi nužne informiranosti ili na ad hoc osnovi za sve IKT sustave;

iii. 

povlačenju pravâ pristupa bez nepotrebne odgode po prestanku radnog odnosa ili kad pristup više nije nužan;

iv. 

ažuriranju pravâ pristupa ako su potrebne promjene i barem jedanput godišnje za sve IKT sustave, osim IKT sustava kojima se podupiru ključne ili važne funkcije i barem svakih šest mjeseci za IKT sustave kojima se podupiru ključne ili važne funkcije;

(f) 

metode autentifikacije, što uključuje sve sljedeće:

i. 

primjenu metoda autentifikacije koje su razmjerne klasifikaciji utvrđenoj u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554 i ukupnom profilu rizičnosti IKT imovine te uzimajući u obzir vodeće prakse;

ii. 

upotrebu pouzdanih metoda autentifikacije u skladu s vodećim praksama i tehnikama za daljinski pristup mreži financijskog subjekta, za povlašteni pristup, za pristup IKT imovini kojom se podupiru ključne ili važne funkcije ili javno dostupnoj IKT imovini;

(g) 

mjere za kontrolu fizičkog pristupa, što uključuje:

i. 

utvrđivanje identiteta i evidentiranje fizičkih osoba koje su ovlaštene za pristup prostorima, podatkovnim centrima i područjima koje je financijski subjekt odredio kao osjetljiva, a u kojima se nalazi IKT imovina i informacijska imovina;

ii. 

dodjelu pravâ fizičkog pristupa ključnoj IKT imovini isključivo ovlaštenim osobama, u skladu s načelima nužne informiranosti i najmanjih povlastica te na ad hoc osnovi;

iii. 

praćenje fizičkog pristupa prostorima, podatkovnim centrima i područjima koje je financijski subjekt odredio kao osjetljiva, a u kojima se nalaze IKT imovina i informacijska imovina;

iv. 

preispitivanje pravâ fizičkog pristupa kako bi se pravodobno opozvala prava pristupa koja nisu nužna.

Za potrebe točke (e) podtočke i. financijski subjekti utvrđuju razdoblje čuvanja, pri čemu uzimaju u obzir ciljeve u području poslovanja i informacijske sigurnosti, razloge evidentiranja događaja u evidenciji i rezultate procjene IKT rizika.

Za potrebe točke (e) podtočke ii. financijski subjekti, ako je moguće, upotrebljavaju zasebne račune za obavljanje administrativnih zadaća u IKT sustavima. Ako je izvedivo i primjereno, financijski subjekti uvode automatizirana rješenja za upravljanje povlaštenim pristupom.

Za potrebe točke (g) podtočke i. utvrđivanje identiteta i evidentiranje razmjerni su važnosti prostora, podatkovnih centara, područja određenih kao osjetljivih i ključnosti operacija ili IKT sustava koji se u njima nalaze.

Za potrebe točke (g) podtočke iii. praćenje je razmjerno klasifikaciji utvrđenoj u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554 i ključnosti područja kojem se pristupa.

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani standardi

Standardi
  • Builddate: 25.06.2024 00:00:00 -Doknr: CELEX:32024R1774
  • EULAW -

    EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

    DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.