+POGLAVLJE II. Politika ljudskih resursa i kontrola pristupa
---+Članak 19. Politika ljudskih resursa
---+Članak 20. Upravljanje identitetom
------+Članak 20. 1.
------+Članak 20. 2.
---+Članak 21. Kontrola pristupa
|
POGLAVLJE II. Politika ljudskih resursa i kontrola pristupa
POGLAVLJE II. Politika ljudskih resursa i kontrola pristupa
1. Pregled
| Naslov |
Regulativa |
|
Članak 19. Politika ljudskih resursa
|
Članak 19.
Politika ljudskih resursa
Financijski subjekti u svoju politiku ljudskih resursa ili druge relevantne politike uključuju sve sljedeće elemente povezane sa sigurnosti IKT-a:
(a)
utvrđivanje i dodjelu svih posebnih odgovornosti za sigurnost IKT-a;
(b)
sljedeće zahtjeve za osoblje financijskog subjekta i treće strane pružatelje IKT usluga koji upotrebljavaju IKT imovinu financijskog subjekta ili joj pristupaju:
i.
da budu informirani o politikama, postupcima i protokolima financijskog subjekta za sigurnost IKT-a te da ih se pridržavaju;
ii.
da budu upoznati s kanalima za prijavljivanje koje je financijski subjekt uspostavio u svrhu otkrivanja neobičnog ponašanja, među ostalim, prema potrebi, kanala za prijavljivanje koji su uspostavljeni u skladu s Direktivom (EU) 2019/1937 Europskog parlamenta i Vijeća (
1
);
iii.
da osoblje nakon prestanka radnog odnosa financijskom subjektu vrati svu IKT imovinu i materijalnu informacijsku imovinu koju posjeduje, a pripada financijskom subjektu.
|
|
Članak 20. Upravljanje identitetom
|
-
|
|
Članak 21. Kontrola pristupa
|
Članak 21.
Financijski subjekti u sklopu svoje kontrole pravâ upravljanja pristupom izrađuju, dokumentiraju i provode politiku koja sadržava sve sljedeće:
(a)
dodjelu prava pristupa IKT imovini na temelju načela nužne informiranosti, nužne upotrebe i najmanjih povlastica, među ostalim za daljinski i hitni pristup;
(b)
razdvajanje dužnosti kako bi se spriječio neopravdani pristup ključnim podacima ili kako bi se spriječila dodjela kombiniranih prava pristupa kojima se mogu zaobići kontrole;
(c)
odredbu o odgovornosti korisnika, što uključuje maksimalno ograničavanje upotrebe generičkih i dijeljenih korisničkih računa i omogućivanje u svakom trenutku utvrđivanja identiteta korisnika koji u IKT sustavima izvršavaju pojedine aktivnosti;
(d)
odredbu o ograničenjima pristupa IKT imovini, što uključuje utvrđivanje kontrola i alata za sprečavanje neovlaštenog pristupa;
(e)
postupke za upravljanje računima kojima se dodjeljuju, mijenjaju ili opozivaju prava pristupa za korisničke i generičke račune, među ostalim generičke administratorske račune, što uključuje odredbu o svemu sljedećem:
i.
dodjeli uloga i odgovornosti za dodjelu, preispitivanje i opoziv pravâ pristupa;
ii.
dodjeli povlaštenog, hitnog i administratorskog pristupa na osnovi nužne informiranosti ili na ad hoc osnovi za sve IKT sustave;
iii.
povlačenju pravâ pristupa bez nepotrebne odgode po prestanku radnog odnosa ili kad pristup više nije nužan;
iv.
ažuriranju pravâ pristupa ako su potrebne promjene i barem jedanput godišnje za sve IKT sustave, osim IKT sustava kojima se podupiru ključne ili važne funkcije i barem svakih šest mjeseci za IKT sustave kojima se podupiru ključne ili važne funkcije;
(f)
metode autentifikacije, što uključuje sve sljedeće:
i.
primjenu metoda autentifikacije koje su razmjerne klasifikaciji utvrđenoj u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554 i ukupnom profilu rizičnosti IKT imovine te uzimajući u obzir vodeće prakse;
ii.
upotrebu pouzdanih metoda autentifikacije u skladu s vodećim praksama i tehnikama za daljinski pristup mreži financijskog subjekta, za povlašteni pristup, za pristup IKT imovini kojom se podupiru ključne ili važne funkcije ili javno dostupnoj IKT imovini;
(g)
mjere za kontrolu fizičkog pristupa, što uključuje:
i.
utvrđivanje identiteta i evidentiranje fizičkih osoba koje su ovlaštene za pristup prostorima, podatkovnim centrima i područjima koje je financijski subjekt odredio kao osjetljiva, a u kojima se nalazi IKT imovina i informacijska imovina;
ii.
dodjelu pravâ fizičkog pristupa ključnoj IKT imovini isključivo ovlaštenim osobama, u skladu s načelima nužne informiranosti i najmanjih povlastica te na ad hoc osnovi;
iii.
praćenje fizičkog pristupa prostorima, podatkovnim centrima i područjima koje je financijski subjekt odredio kao osjetljiva, a u kojima se nalaze IKT imovina i informacijska imovina;
iv.
preispitivanje pravâ fizičkog pristupa kako bi se pravodobno opozvala prava pristupa koja nisu nužna.
Za potrebe točke (e) podtočke i. financijski subjekti utvrđuju razdoblje čuvanja, pri čemu uzimaju u obzir ciljeve u području poslovanja i informacijske sigurnosti, razloge evidentiranja događaja u evidenciji i rezultate procjene IKT rizika.
Za potrebe točke (e) podtočke ii. financijski subjekti, ako je moguće, upotrebljavaju zasebne račune za obavljanje administrativnih zadaća u IKT sustavima. Ako je izvedivo i primjereno, financijski subjekti uvode automatizirana rješenja za upravljanje povlaštenim pristupom.
Za potrebe točke (g) podtočke i. utvrđivanje identiteta i evidentiranje razmjerni su važnosti prostora, podatkovnih centara, područja određenih kao osjetljivih i ključnosti operacija ili IKT sustava koji se u njima nalaze.
Za potrebe točke (g) podtočke iii. praćenje je razmjerno klasifikaciji utvrđenoj u skladu s člankom 8. stavkom 1. Uredbe (EU) 2022/2554 i ključnosti područja kojem se pristupa.
|
,
1.1 Reference
1.2 Utvrđeni zahtjevi
1.3 Povezani standardi
2. Utvrđeni zahtjevi
3. Povezani standardi
|