+II. FEJEZET Humánerőforrás-politika és hozzáférés-ellenőrzés
---+19. cikk Humánerőforrás-politika
---+20. cikk Személyazonosság-kezelés
------+Article 20 1.
------+Article 20 2.
---+21. cikk Hozzáférés-ellenőrzés

II. FEJEZET Humánerőforrás-politika és hozzáférés-ellenőrzés

II. FEJEZET Humánerőforrás-politika és hozzáférés-ellenőrzés

1. Áttekintés

,
19. cikk Humánerőforrás-politika

19. cikk

Humánerőforrás-politika

A pénzügyi szervezetek humánerőforrás-politikájukban vagy más vonatkozó szabályzataikban feltüntetik az IKT-biztonsággal kapcsolatos alábbi elemek mindegyikét:

a) 

az IKT-biztonsággal kapcsolatos valamennyi konkrét felelősségi kör azonosítása és kijelölése;

b) 

a pénzügyi szervezetnek és a harmadik fél IKT-szolgáltatóknak a pénzügyi szervezet IKT-eszközeit használó vagy azokhoz hozzáféréssel rendelkező személyzetére vonatkozó követelmények az alábbiak tekintetében:

i. 

tájékoztatás a pénzügyi szervezet IKT-biztonsági szabályzatairól, eljárásairól és protokolljairól, és azok betartása;

ii. 

a pénzügyi szervezet által a rendellenes magatartásformák felderítésére létrehozott bejelentési csatornák ismerete, beleértve adott esetben az (EU) 2019/1937 európai parlamenti és tanácsi irányelvvel ( 1 ) összhangban létrehozott bejelentési csatornákat is;

iii. 

a személyzet munkaviszonyának megszűnésekor a birtokukban lévő összes olyan IKT-eszköz és tárgyi információs vagyonelem visszaszolgáltatása a pénzügyi szervezetnek, amely a pénzügyi szervezet tulajdona.
20. cikk Személyazonosság-kezelés
21. cikk Hozzáférés-ellenőrzés

21. cikk

Hozzáférés-ellenőrzés

A hozzáférés-kezelési jogosultságok ellenőrzésének részeként a pénzügyi szervezetek a következők mindegyikét tartalmazó szabályzatot dolgoznak ki, dokumentálnak és hajtanak végre:

a) 

az IKT-eszközökhöz való hozzáférési jogosultságok kiosztása a szükséges ismeret elve, a szükséges használat elve és a legkisebb jogosultság elve alapján, beleértve a távoli és vészhelyzeti hozzáférést is;

b) 

a feladatok elkülönítése, amelynek célja a kritikus adatokhoz való indokolatlan hozzáférés megakadályozása és a hozzáférési jogosultságok olyan kombinációi kiosztásának megakadályozása, amelyek felhasználhatók az ellenőrzések megkerülésére;

c) 

a felhasználói elszámoltathatóságról szóló rendelkezés, amely a lehető legnagyobb mértékben korlátozza az általános és közös felhasználói fiókok használatát, és biztosítja, hogy a felhasználók mindenkor azonosíthatók legyenek az IKT-rendszerekben végzett tevékenységek tekintetében;

d) 

az IKT-eszközökhöz való hozzáférés korlátozására vonatkozó rendelkezés, amely meghatározza a jogosulatlan hozzáférés megakadályozását célzó ellenőrzéseket és eszközöket;

e) 

a felhasználói és általános fiókokhoz, köztük az általános rendszergazdai fiókokhoz való hozzáférési jogosultságok megadására, módosítására vagy visszavonására vonatkozó fiókkezelési eljárások, beleértve a következők mindegyikére vonatkozó rendelkezést:

i. 

a hozzáférési jogosultságok megadásával, felülvizsgálatával és visszavonásával kapcsolatos szerep- és felelősségi körök kijelölése

ii. 

a kiemelt, vészhelyzeti és rendszergazdai hozzáférés kiosztása a szükséges használat elve alapján vagy eseti alapon minden IKT-rendszer esetében;

iii. 

a hozzáférési jogosultságok indokolatlan késedelem nélküli visszavonása a munkaviszony megszűnésekor, vagy ha a hozzáférésre már nincs szükség;

iv. 

a hozzáférési jogosultságok aktualizálása, amennyiben módosításra van szükség, illetve a kritikus vagy fontos funkciókat támogató IKT-rendszerektől eltérő valamennyi IKT-rendszer esetében legalább évente egyszer, a kritikus vagy fontos funkciókat támogató IKT-rendszerek esetében pedig legalább hathavonta.

f) 

hitelesítési módszerek, beleértve a következők mindegyikét:

i. 

az (EU) 2022/2554 rendelet 8. cikkének (1) bekezdésével összhangban megállapított osztályozással és az IKT-eszközök általános kockázati profiljával arányos hitelesítési módszerek alkalmazása, figyelembe véve a vezető gyakorlatokat;

ii. 

a vezető gyakorlatokkal és technikákkal összhangban erős hitelesítési módszerek alkalmazása a pénzügyi szervezet hálózatához való távoli hozzáféréshez, a kiemelt hozzáféréshez, a kritikus vagy fontos funkciókat támogató IKT-eszközökhöz vagy a nyilvánosan hozzáférhető IKT-eszközökhöz való hozzáféréshez;

g) 

fizikai hozzáférés-ellenőrzési intézkedések, beleértve a következőket:

i. 

azon természetes személyek azonosítása és naplózása, akik beléphetnek a pénzügyi szervezet IKT-eszközöknek és információs vagyonelemeknek helyet adó telephelyeire és adatközpontjaiba, valamint az IKT-eszközöknek és információs vagyonelemeknek helyet adó, a pénzügyi szervezet által kijelölt érzékeny területekre;

ii. 

a kritikus IKT-eszközökhöz való fizikai hozzáférési jogosultságok biztosítása kizárólag az arra jogosult személyek számára, a szükséges ismeret és a legkisebb jogosultság elvével összhangban, és eseti alapon;

iii. 

a pénzügyi szervezet IKT-eszközöknek és információs vagyonelemeknek helyet adó telephelyeihez és adatközpontjaihoz, valamint az IKT-eszközöknek és információs vagyonelemeknek helyet adó, a pénzügyi szervezet által kijelölt érzékeny területekhez való fizikai hozzáférés nyomon követése;

iv. 

a fizikai hozzáférési jogosultságok felülvizsgálata a szükségtelen hozzáférési jogosultságok haladéktalan visszavonásának biztosítása érdekében.

Az e) pont i. alpontjának alkalmazásában a pénzügyi szervezetek a megőrzési idő meghatározásakor figyelembe veszik az üzleti és információbiztonsági célkitűzéseket, az esemény naplókban való rögzítésének okait és az IKT-kockázatértékelés eredményeit.

Az e) pont ii. alpontjának alkalmazásában a pénzügyi szervezetek lehetőség szerint külön fiókokat használnak az IKT-rendszerekkel kapcsolatos rendszergazdai feladatok ellátásához. Amennyiben megvalósítható és helyénvaló, a pénzügyi szervezetek automatizált megoldásokat alkalmaznak a kiemelt hozzáférések kezelésére.

A g) pont i. alpontjának alkalmazásában a személyazonosításnak és a naplózásnak arányban kell állnia a telephelyek, adatközpontok és kijelölt érzékeny területek fontosságával, valamint az ott végzett műveletek vagy ott található IKT-rendszerek kritikusságával.

A g) pont iii. alpontjának alkalmazásában a nyomon követésnek arányban kell állnia az (EU) 2022/2554 rendelet 8. cikkének (1) bekezdésével összhangban megállapított osztályozással és a hozzáféréssel érintett terület kritikusságával.

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

Követelmények

3. Kapcsolódó szabványok

Szabványok