+Privilige Access Management

Privilige Access Management

Define access rights based on need-to-know, need-to-use, and least privilege principles, including provisions for remote and emergency access. Enforce segregation of duties to prevent unjustified access or combinations that could circumvent controls. Ensure user accountability by limiting generic and shared user accounts, enabling user identification for all ICT system actions. Implement controls and tools to restrict unauthorized access.

1. Pregled

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani propisi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani propisi

Propisi
EULAW Članak 20. 1.
Financijski subjekti u sklopu svoje kontrole pravâ upravljanja pristupom izrađuju, dokumentiraju i provode politike i postupke za upravljanje identitetom kojima se osigurava jedinstvena identifikacija i autentifikacija fizičkih osoba i sustava koji pristupaju podacima financijskih subjekata kako bi se prava pristupa dodijelila korisnicima u skladu s člankom 21.
EULAW Članak 20. 2.

Politike i postupci za upravljanje identitetom iz stavka 1. sadržavaju sve sljedeće:

(a) 

ne dovodeći u pitanje članak 21. prvi stavak točku (c), svakom članu osoblja financijskog subjekta ili osoblja treće strane pružatelja IKT usluga koji pristupa informacijskoj imovini i IKT imovini financijskog subjekta dodjeljuje se jedinstveni identitet koji odgovara jedinstvenom korisničkom računu;

(b) 

proces upravljanja životnim ciklusom za identitete i račune kojim se upravlja izradom, promjenama, preispitivanjem i ažuriranjem, privremenom deaktivacijom i ukidanjem svih računa.

Za potrebe točke (a) financijski subjekti vode evidenciju o svim dodjelama identiteta. Ta se evidencija čuva nakon reorganizacije financijskog subjekta ili nakon završetka ugovornog odnosa, ne dovodeći u pitanje zahtjeve za zadržavanje utvrđene u primjenjivom pravu Unije i nacionalnom pravu.

Za potrebe točke (b) financijski subjekti, ako je izvedivo i prema potrebi, uvode automatizirana rješenja za proces upravljanja životnim ciklusom identiteta.
EULAW Članak 21. Kontrola pristupa

Članak 21.

Kontrola pristupa

Financijski subjekti u sklopu svoje kontrole pravâ upravljanja pristupom izrađuju, dokumentiraju i provode politiku koja sadržava sve sljedeće:

(a) 

dodjelu prava pristupa IKT imovini na temelju načela nužne informiranosti, nužne upotrebe i najmanjih povlastica, među ostalim za daljinski i hitni pristup;

(b) 

razdvajanje dužnosti kako bi se spriječio neopravdani pristup ključnim podacima ili kako bi se spriječila dodjela kombiniranih prava pristupa kojima se mogu zaobići kontrole;

(c) 

odredbu o odgovornosti korisnika, što uključuje maksimalno ograničavanje upotrebe generičkih i dijeljenih korisničkih računa i omogućivanje u svakom trenutku utvrđivanja identiteta korisnika koji u IKT sustavima izvršavaju pojedine aktivnosti;

(d) 

odredbu o ograničenjima pristupa IKT imovini, što uključuje utvrđivanje kontrola i alata za sprečavanje neovlaštenog pristupa;

(e) 

postupke za upravljanje računima kojima se dodjeljuju, mijenjaju ili opozivaju prava pristupa za korisničke i generičke račune, među ostalim generičke administratorske račune, što uključuje odredbu o svemu sljedećem:

i. 

dodjeli uloga i odgovornosti za dodjelu, preispitivanje i opoziv pravâ pristupa;

ii. 

dodjeli povlaštenog, hitnog i administratorskog pristupa na osnovi nužne informiranosti ili na ad hoc osnovi za sve IKT sustave;

iii. 

povlačenju pravâ pristupa bez nepotrebne odgode po prestanku radnog odnosa ili kad pristup više nije nužan;

iv. 

ažuriranju pravâ pristupa ako su potrebne promjene i barem jedanput godišnje za sve IKT sustave, osim IKT sustava kojima se podupiru ključne ili važne funkcije i barem svakih šest mjeseci za IKT sustave kojima se podupiru ključne ili važne funkcije;

(f) 

metode autentifikacije, što uključuje sve sljedeće:

i. 

primjenu metoda autentifikacije koje su razmjerne klasifikaciji utvrđenoj u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554 i ukupnom profilu rizičnosti IKT imovine te uzimajući u obzir vodeće prakse;

ii. 

upotrebu pouzdanih metoda autentifikacije u skladu s vodećim praksama i tehnikama za daljinski pristup mreži financijskog subjekta, za povlašteni pristup, za pristup IKT imovini kojom se podupiru ključne ili važne funkcije ili javno dostupnoj IKT imovini;

(g) 

mjere za kontrolu fizičkog pristupa, što uključuje:

i. 

utvrđivanje identiteta i evidentiranje fizičkih osoba koje su ovlaštene za pristup prostorima, podatkovnim centrima i područjima koje je financijski subjekt odredio kao osjetljiva, a u kojima se nalazi IKT imovina i informacijska imovina;

ii. 

dodjelu pravâ fizičkog pristupa ključnoj IKT imovini isključivo ovlaštenim osobama, u skladu s načelima nužne informiranosti i najmanjih povlastica te na ad hoc osnovi;

iii. 

praćenje fizičkog pristupa prostorima, podatkovnim centrima i područjima koje je financijski subjekt odredio kao osjetljiva, a u kojima se nalaze IKT imovina i informacijska imovina;

iv. 

preispitivanje pravâ fizičkog pristupa kako bi se pravodobno opozvala prava pristupa koja nisu nužna.

Za potrebe točke (e) podtočke i. financijski subjekti utvrđuju razdoblje čuvanja, pri čemu uzimaju u obzir ciljeve u području poslovanja i informacijske sigurnosti, razloge evidentiranja događaja u evidenciji i rezultate procjene IKT rizika.

Za potrebe točke (e) podtočke ii. financijski subjekti, ako je moguće, upotrebljavaju zasebne račune za obavljanje administrativnih zadaća u IKT sustavima. Ako je izvedivo i primjereno, financijski subjekti uvode automatizirana rješenja za upravljanje povlaštenim pristupom.

Za potrebe točke (g) podtočke i. utvrđivanje identiteta i evidentiranje razmjerni su važnosti prostora, podatkovnih centara, područja određenih kao osjetljivih i ključnosti operacija ili IKT sustava koji se u njima nalaze.

Za potrebe točke (g) podtočke iii. praćenje je razmjerno klasifikaciji utvrđenoj u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554 i ključnosti područja kojem se pristupa.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.