+Identity Management

Identity Management

Assign a unique identity to each staff member or staff of the third-party service provider accessing information and ICT assets. Implement a lifecycle management process for identities, covering creation, change, recertification, temporary deactivation, and termination of user accounts. Utilize automated solutions where applicable.

1. Apžvalga

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję teisės aktai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję teisės aktai

Teisės aktai
EULAW 20 straipsnis 1.
Finansų sektoriaus subjektai parengia, dokumentuoja, įgyvendina ir į prieigos valdymo teisių kontrolę įtraukia tapatybės duomenų tvarkymo politiką ir procedūras, kuriomis užtikrinamas fizinių asmenų ir sistemų, turinčių prieigą prie finansų sektoriaus subjektų informacijos, unikalios tapatybės nustatymas ir autentiškumo patvirtinimas, leidžiantys priskirti naudotojo prieigos teises pagal 21 straipsnį.
EULAW 20 straipsnis 2.

1 dalyje nurodyta tapatybės duomenų tvarkymo politika ir procedūros apima visus šiuos elementus:

a) 

(nedarant poveikio 21 straipsnio pirmos pastraipos c punkto taikymui) kiekvienam finansų sektoriaus subjekto arba IRT paslaugas teikiančių trečiųjų šalių darbuotojui, kuris turi prieigą prie finansų sektoriaus subjekto informacinio turto ir IRT turto, suteiktą unikalią tapatybę, atitinkančią unikalią naudotojo paskyrą;

b) 

tapatybės duomenų ir paskyrų tvarkymo per gyvavimo ciklą procesą, apimantį visų paskyrų kūrimą, keitimą, peržiūrą ir atnaujinimą, laikiną atjungimą ir panaikinimą.

Taikydami a punktą, finansų sektoriaus subjektai registruoja visas priskirtas tapatybes. Tie registracijos įrašai saugomi po finansų sektoriaus subjekto reorganizacijos ar pasibaigus sutartiniams santykiams, nedarant poveikio saugojimo reikalavimams, nustatytiems taikytinoje Sąjungos ir nacionalinėje teisėje.

Taikydami b punktą, finansų sektoriaus subjektai tais atvejais, kai įmanoma ir tinkama, diegia automatinius tapatybės duomenų tvarkymo per gyvavimo ciklą proceso sprendimus.
EULAW 21 straipsnis Prieigos kontrolė

21 straipsnis

Prieigos kontrolė

Finansų sektoriaus subjektai parengia, dokumentuoja, įgyvendina ir į prieigos valdymo teisių kontrolę įtraukia politiką, apimančią visus šiuos elementus:

a) 

prieigos prie IRT turto, įskaitant nuotolinę ir neatidėliotiną prieigą, teisių priskyrimą remiantis būtinybės žinoti, būtinybės naudoti ir minimaliosios prieigos teisės principais;

b) 

pareigų atskyrimą, kuriuo užkertamas kelias neteisėtai prieigai prie ypatingos svarbos duomenų arba kelių prieigos teisių priskyrimui, galinčiam sudaryti sąlygas apeiti kontrolės priemones;

c) 

nuostatą dėl naudotojų atskaitingumo, kuria kuo labiau ribojamas beasmenių ir bendrųjų paskyrų naudojimas ir užtikrinama, kad visada būtų galima identifikuoti IRT sistemose veiksmus atlikusius naudotojus;

d) 

nuostatą dėl prieigos prie IRT turto apribojimų, kuria nustatomos kontrolės ir kitos priemonės, kuriomis užkertamas kelias neteisėtai prieigai;

e) 

paskyrų administravimo procedūras, pagal kurias suteikiamos, keičiamos ar panaikinamos prieigos prie naudotojų ir beasmenių paskyrų, įskaitant beasmenes administratorių paskyras, teisės, įskaitant nuostatas dėl visų šių elementų:

i) 

vaidmenų ir pareigų, susijusių su prieigos teisių suteikimu, peržiūra ir panaikinimu, priskyrimo;

ii) 

privilegijuotos, neatidėliotinos ir administratoriaus prieigos prie visų IRT sistemų priskyrimo remiantis būtinybe naudoti arba ad hoc pagrindu;

iii) 

neatidėliotino prieigos teisių panaikinimo nutraukus darbo santykius arba tais atvejais, kai prieiga nebebūtina;

iv) 

prieigos teisių atnaujinimo, kai būtini pakeitimai ir bent kartą per metus visų IRT sistemų, išskyrus IRT sistemas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, atveju ir bent kas šešis mėnesius IRT sistemų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, atveju;

f) 

autentiškumo patvirtinimo metodus, įskaitant:

i) 

autentiškumo patvirtinimo metodų, kurie yra proporcingi klasifikacijai pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį ir bendram IRT turto rizikos profiliui ir kuriais atsižvelgiama į pažangiausią praktiką, taikymą;

ii) 

saugesnio autentiškumo patvirtinimo metodų pagal pažangiausią praktiką ir metodus taikymą nuotolinei prieigai prie finansų sektoriaus subjekto tinklo, privilegijuotai prieigai, prieigai prie IRT turto, kuriuo palaikomos ypatingos svarbos arba svarbios funkcijos, ar viešai prieinamo IRT turto;

g) 

fizinės prieigos kontrolės priemones, įskaitant:

i) 

fizinių asmenų, turinčių leidimą patekti į finansų sektoriaus subjekto įvardytas patalpas, duomenų centrus ir jautrias specialias zonas, kuriose yra laikomas IRT ir informacinis turtas, tapatybės nustatymą ir registravimą;

ii) 

fizinės prieigos prie ypatingos svarbos IRT turto teisių suteikimą tik įgaliotiems asmenims remiantis būtinybės žinoti ir minimaliosios prieigos teisės principais, taip pat ad hoc pagrindu;

iii) 

fizinės prieigos prie finansų sektoriaus subjekto įvardytų patalpų, duomenų centrų ir jautrių specialių zonų, kuriose yra laikomas IRT ir (arba) informacinis turtas, stebėseną;

iv) 

fizinės prieigos teisių peržiūrą siekiant užtikrinti, kad nebūtinos prieigos teisės būtų nedelsiant panaikintos.

Taikydami e punkto i papunktį, finansų sektoriaus subjektai nustato saugojimo laikotarpį atsižvelgdami į veiklos ir informacijos saugumo tikslus, įvykio registravimo registracijos žurnaluose priežastis ir IRT rizikos vertinimo rezultatus.

Taikydami e punkto ii papunktį, kai įmanoma, finansų sektoriaus subjektai naudoja specialias paskyras administracinėms užduotims, susijusioms su IRT sistemomis, atlikti. Tais atvejais, kai įmanoma ir tinkama, finansų sektoriaus subjektai diegia automatinius privilegijuotos prieigos valdymo sprendimus.

Taikant g punkto i papunktį, tapatybės nustatymas ir registravimas turėtų būti proporcingi patalpų, duomenų centrų bei jautrių specialių zonų svarbumui ir juose vykdomų operacijų ar esančių IRT sistemų ypatingai svarbai.

Taikant g punkto iii papunktį, stebėsena turėtų būti proporcinga klasifikacijai pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį ir zonos, į kurią patenkama, ypatingai svarbai.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.