+II. FEJEZET Humánerőforrás-politika és hozzáférés-ellenőrzés
---+19. cikk Humánerőforrás-politika
---+20. cikk Személyazonosság-kezelés
------+Article 20 1.
------+Article 20 2.
---+21. cikk Hozzáférés-ellenőrzés

II. FEJEZET Humánerőforrás-politika és hozzáférés-ellenőrzés

II. FEJEZET Humánerőforrás-politika és hozzáférés-ellenőrzés

1. Áttekintés

,
19. cikk Humánerőforrás-politika

19. cikk

Humánerőforrás-politika

A pénzügyi szervezetek humánerőforrás-politikájukban vagy más vonatkozó szabályzataikban feltüntetik az IKT-biztonsággal kapcsolatos alábbi elemek mindegyikét:

a) 

az IKT-biztonsággal kapcsolatos valamennyi konkrét felelősségi kör azonosítása és kijelölése;

b) 

a pénzügyi szervezetnek és a harmadik fél IKT-szolgáltatóknak a pénzügyi szervezet IKT-eszközeit használó vagy azokhoz hozzáféréssel rendelkező személyzetére vonatkozó követelmények az alábbiak tekintetében:

i. 

tájékoztatás a pénzügyi szervezet IKT-biztonsági szabályzatairól, eljárásairól és protokolljairól, és azok betartása;

ii. 

a pénzügyi szervezet által a rendellenes magatartásformák felderítésére létrehozott bejelentési csatornák ismerete, beleértve adott esetben az (EU) 2019/1937 európai parlamenti és tanácsi irányelvvel ( 1 ) összhangban létrehozott bejelentési csatornákat is;

iii. 

a személyzet munkaviszonyának megszűnésekor a birtokukban lévő összes olyan IKT-eszköz és tárgyi információs vagyonelem visszaszolgáltatása a pénzügyi szervezetnek, amely a pénzügyi szervezet tulajdona.
20. cikk Személyazonosság-kezelés
21. cikk Hozzáférés-ellenőrzés

21. cikk

Hozzáférés-ellenőrzés

A hozzáférés-kezelési jogosultságok ellenőrzésének részeként a pénzügyi szervezetek a következők mindegyikét tartalmazó szabályzatot dolgoznak ki, dokumentálnak és hajtanak végre:

a) 

az IKT-eszközökhöz való hozzáférési jogosultságok kiosztása a szükséges ismeret elve, a szükséges használat elve és a legkisebb jogosultság elve alapján, beleértve a távoli és vészhelyzeti hozzáférést is;

b) 

a feladatok elkülönítése, amelynek célja a kritikus adatokhoz való indokolatlan hozzáférés megakadályozása és a hozzáférési jogosultságok olyan kombinációi kiosztásának megakadályozása, amelyek felhasználhatók az ellenőrzések megkerülésére;

c) 

a felhasználói elszámoltathatóságról szóló rendelkezés, amely a lehető legnagyobb mértékben korlátozza az általános és közös felhasználói fiókok használatát, és biztosítja, hogy a felhasználók mindenkor azonosíthatók legyenek az IKT-rendszerekben végzett tevékenységek tekintetében;

d) 

az IKT-eszközökhöz való hozzáférés korlátozására vonatkozó rendelkezés, amely meghatározza a jogosulatlan hozzáférés megakadályozását célzó ellenőrzéseket és eszközöket;

e) 

a felhasználói és általános fiókokhoz, köztük az általános rendszergazdai fiókokhoz való hozzáférési jogosultságok megadására, módosítására vagy visszavonására vonatkozó fiókkezelési eljárások, beleértve a következők mindegyikére vonatkozó rendelkezést:

i. 

a hozzáférési jogosultságok megadásával, felülvizsgálatával és visszavonásával kapcsolatos szerep- és felelősségi körök kijelölése

ii. 

a kiemelt, vészhelyzeti és rendszergazdai hozzáférés kiosztása a szükséges használat elve alapján vagy eseti alapon minden IKT-rendszer esetében;

iii. 

a hozzáférési jogosultságok indokolatlan késedelem nélküli visszavonása a munkaviszony megszűnésekor, vagy ha a hozzáférésre már nincs szükség;

iv. 

a hozzáférési jogosultságok aktualizálása, amennyiben módosításra van szükség, illetve a kritikus vagy fontos funkciókat támogató IKT-rendszerektől eltérő valamennyi IKT-rendszer esetében legalább évente egyszer, a kritikus vagy fontos funkciókat támogató IKT-rendszerek esetében pedig legalább hathavonta.

f) 

hitelesítési módszerek, beleértve a következők mindegyikét:

i. 

az (EU) 2022/2554 rendelet 8. cikkének (1) bekezdésével összhangban megállapított osztályozással és az IKT-eszközök általános kockázati profiljával arányos hitelesítési módszerek alkalmazása, figyelembe véve a vezető gyakorlatokat;

ii. 

a vezető gyakorlatokkal és technikákkal összhangban erős hitelesítési módszerek alkalmazása a pénzügyi szervezet hálózatához való távoli hozzáféréshez, a kiemelt hozzáféréshez, a kritikus vagy fontos funkciókat támogató IKT-eszközökhöz vagy a nyilvánosan hozzáférhető IKT-eszközökhöz való hozzáféréshez;

g) 

fizikai hozzáférés-ellenőrzési intézkedések, beleértve a következőket:

i. 

azon természetes személyek azonosítása és naplózása, akik beléphetnek a pénzügyi szervezet IKT-eszközöknek és információs vagyonelemeknek helyet adó telephelyeire és adatközpontjaiba, valamint az IKT-eszközöknek és információs vagyonelemeknek helyet adó, a pénzügyi szervezet által kijelölt érzékeny területekre;

ii. 

a kritikus IKT-eszközökhöz való fizikai hozzáférési jogosultságok biztosítása kizárólag az arra jogosult személyek számára, a szükséges ismeret és a legkisebb jogosultság elvével összhangban, és eseti alapon;

iii. 

a pénzügyi szervezet IKT-eszközöknek és információs vagyonelemeknek helyet adó telephelyeihez és adatközpontjaihoz, valamint az IKT-eszközöknek és információs vagyonelemeknek helyet adó, a pénzügyi szervezet által kijelölt érzékeny területekhez való fizikai hozzáférés nyomon követése;

iv. 

a fizikai hozzáférési jogosultságok felülvizsgálata a szükségtelen hozzáférési jogosultságok haladéktalan visszavonásának biztosítása érdekében.

Az e) pont i. alpontjának alkalmazásában a pénzügyi szervezetek a megőrzési idő meghatározásakor figyelembe veszik az üzleti és információbiztonsági célkitűzéseket, az esemény naplókban való rögzítésének okait és az IKT-kockázatértékelés eredményeit.

Az e) pont ii. alpontjának alkalmazásában a pénzügyi szervezetek lehetőség szerint külön fiókokat használnak az IKT-rendszerekkel kapcsolatos rendszergazdai feladatok ellátásához. Amennyiben megvalósítható és helyénvaló, a pénzügyi szervezetek automatizált megoldásokat alkalmaznak a kiemelt hozzáférések kezelésére.

A g) pont i. alpontjának alkalmazásában a személyazonosításnak és a naplózásnak arányban kell állnia a telephelyek, adatközpontok és kijelölt érzékeny területek fontosságával, valamint az ott végzett műveletek vagy ott található IKT-rendszerek kritikusságával.

A g) pont iii. alpontjának alkalmazásában a nyomon követésnek arányban kell állnia az (EU) 2022/2554 rendelet 8. cikkének (1) bekezdésével összhangban megállapított osztályozással és a hozzáféréssel érintett terület kritikusságával.

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

Követelmények

3. Kapcsolódó szabványok

Szabványok
  • Builddate: 25.06.2024 00:00:00 -Doknr: CELEX:32024R1774
  • EULAW -

    EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

    DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.