+II skyrius ŽMOGIŠKŲJŲ IŠTEKLIŲ POLITIKA IR PRIEIGOS KONTROLĖ
---+19 straipsnis Žmogiškųjų išteklių politika
---+20 straipsnis Tapatybės duomenų tvarkymas
------+20 straipsnis 1.
------+20 straipsnis 2.
---+21 straipsnis Prieigos kontrolė

II skyrius ŽMOGIŠKŲJŲ IŠTEKLIŲ POLITIKA IR PRIEIGOS KONTROLĖ

II skyrius ŽMOGIŠKŲJŲ IŠTEKLIŲ POLITIKA IR PRIEIGOS KONTROLĖ

1. Apžvalga

,
19 straipsnis Žmogiškųjų išteklių politika

19 straipsnis

Žmogiškųjų išteklių politika

Finansų sektoriaus subjektai į savo žmogiškųjų išteklių politiką ar kitas atitinkamas politikas įtraukia visus šiuos su IRT saugumu susijusius elementus:

a) 

visų specifinių su IRT saugumu susijusių pareigų nustatymą ir priskyrimą;

b) 

finansų sektoriaus subjekto ir IRT paslaugas teikiančių trečiųjų šalių darbuotojams, naudojantiems finansų sektoriaus subjekto IRT turtą ar turintiems prie jo prieigą, taikomus reikalavimus:

i) 

susipažinti su finansų sektoriaus subjekto IRT saugumo politika, procedūromis ir protokolais ir jų laikytis;

ii) 

žinoti finansų sektoriaus subjekto įdiegtus pranešimų teikimo kanalus, padedančius aptikti neįprastą elgesį, be kita ko, atitinkamais atvejais pranešimų teikimo kanalus, nustatytus pagal Europos Parlamento ir Tarybos direktyvą (ES) 2019/1937 ( 1 );

iii) 

nutraukus darbo santykius su finansų sektoriaus subjektu grąžinti finansų sektoriaus subjektui visą jam priklausantį turėtą IRT turtą ir materialųjį informacinį turtą.
20 straipsnis Tapatybės duomenų tvarkymas -
21 straipsnis Prieigos kontrolė

21 straipsnis

Prieigos kontrolė

Finansų sektoriaus subjektai parengia, dokumentuoja, įgyvendina ir į prieigos valdymo teisių kontrolę įtraukia politiką, apimančią visus šiuos elementus:

a) 

prieigos prie IRT turto, įskaitant nuotolinę ir neatidėliotiną prieigą, teisių priskyrimą remiantis būtinybės žinoti, būtinybės naudoti ir minimaliosios prieigos teisės principais;

b) 

pareigų atskyrimą, kuriuo užkertamas kelias neteisėtai prieigai prie ypatingos svarbos duomenų arba kelių prieigos teisių priskyrimui, galinčiam sudaryti sąlygas apeiti kontrolės priemones;

c) 

nuostatą dėl naudotojų atskaitingumo, kuria kuo labiau ribojamas beasmenių ir bendrųjų paskyrų naudojimas ir užtikrinama, kad visada būtų galima identifikuoti IRT sistemose veiksmus atlikusius naudotojus;

d) 

nuostatą dėl prieigos prie IRT turto apribojimų, kuria nustatomos kontrolės ir kitos priemonės, kuriomis užkertamas kelias neteisėtai prieigai;

e) 

paskyrų administravimo procedūras, pagal kurias suteikiamos, keičiamos ar panaikinamos prieigos prie naudotojų ir beasmenių paskyrų, įskaitant beasmenes administratorių paskyras, teisės, įskaitant nuostatas dėl visų šių elementų:

i) 

vaidmenų ir pareigų, susijusių su prieigos teisių suteikimu, peržiūra ir panaikinimu, priskyrimo;

ii) 

privilegijuotos, neatidėliotinos ir administratoriaus prieigos prie visų IRT sistemų priskyrimo remiantis būtinybe naudoti arba ad hoc pagrindu;

iii) 

neatidėliotino prieigos teisių panaikinimo nutraukus darbo santykius arba tais atvejais, kai prieiga nebebūtina;

iv) 

prieigos teisių atnaujinimo, kai būtini pakeitimai ir bent kartą per metus visų IRT sistemų, išskyrus IRT sistemas, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, atveju ir bent kas šešis mėnesius IRT sistemų, kuriomis palaikomos ypatingos svarbos arba svarbios funkcijos, atveju;

f) 

autentiškumo patvirtinimo metodus, įskaitant:

i) 

autentiškumo patvirtinimo metodų, kurie yra proporcingi klasifikacijai pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį ir bendram IRT turto rizikos profiliui ir kuriais atsižvelgiama į pažangiausią praktiką, taikymą;

ii) 

saugesnio autentiškumo patvirtinimo metodų pagal pažangiausią praktiką ir metodus taikymą nuotolinei prieigai prie finansų sektoriaus subjekto tinklo, privilegijuotai prieigai, prieigai prie IRT turto, kuriuo palaikomos ypatingos svarbos arba svarbios funkcijos, ar viešai prieinamo IRT turto;

g) 

fizinės prieigos kontrolės priemones, įskaitant:

i) 

fizinių asmenų, turinčių leidimą patekti į finansų sektoriaus subjekto įvardytas patalpas, duomenų centrus ir jautrias specialias zonas, kuriose yra laikomas IRT ir informacinis turtas, tapatybės nustatymą ir registravimą;

ii) 

fizinės prieigos prie ypatingos svarbos IRT turto teisių suteikimą tik įgaliotiems asmenims remiantis būtinybės žinoti ir minimaliosios prieigos teisės principais, taip pat ad hoc pagrindu;

iii) 

fizinės prieigos prie finansų sektoriaus subjekto įvardytų patalpų, duomenų centrų ir jautrių specialių zonų, kuriose yra laikomas IRT ir (arba) informacinis turtas, stebėseną;

iv) 

fizinės prieigos teisių peržiūrą siekiant užtikrinti, kad nebūtinos prieigos teisės būtų nedelsiant panaikintos.

Taikydami e punkto i papunktį, finansų sektoriaus subjektai nustato saugojimo laikotarpį atsižvelgdami į veiklos ir informacijos saugumo tikslus, įvykio registravimo registracijos žurnaluose priežastis ir IRT rizikos vertinimo rezultatus.

Taikydami e punkto ii papunktį, kai įmanoma, finansų sektoriaus subjektai naudoja specialias paskyras administracinėms užduotims, susijusioms su IRT sistemomis, atlikti. Tais atvejais, kai įmanoma ir tinkama, finansų sektoriaus subjektai diegia automatinius privilegijuotos prieigos valdymo sprendimus.

Taikant g punkto i papunktį, tapatybės nustatymas ir registravimas turėtų būti proporcingi patalpų, duomenų centrų bei jautrių specialių zonų svarbumui ir juose vykdomų operacijų ar esančių IRT sistemų ypatingai svarbai.

Taikant g punkto iii papunktį, stebėsena turėtų būti proporcinga klasifikacijai pagal Reglamento (ES) 2022/2554 8 straipsnio 1 dalį ir zonos, į kurią patenkama, ypatingai svarbai.

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję standartai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję standartai

Standartai