+Privilige Access Management

Privilige Access Management

Define access rights based on need-to-know, need-to-use, and least privilege principles, including provisions for remote and emergency access. Enforce segregation of duties to prevent unjustified access or combinations that could circumvent controls. Ensure user accountability by limiting generic and shared user accounts, enabling user identification for all ICT system actions. Implement controls and tools to restrict unauthorized access.

1. Pārskats

1.1 Atsauces

1.2 Identificētās prasības

1.3 Saistītie tiesību akti

2. Identificētās prasības

Prasības

3. Saistītie tiesību akti

Tiesību akti
EULAW 20. pants 1.
Lai varētu piešķirt lietotāja piekļuves tiesības saskaņā ar 21. pantu, kā daļu no savas piekļuves pārvaldības tiesību kontroles finanšu vienības izstrādā, dokumentē un īsteno identitātes pārvaldības politiku un procedūras, kas nodrošina to fizisko personu un sistēmu unikālu identificēšanu un autentificēšanu, kuras piekļūst finanšu vienību informācijai.
EULAW 20. pants 2.

Šā panta 1. punktā minētajā identitātes pārvaldības politikā un procedūrās iekļauj visus šos elementus:

a) 

neskarot 21. panta pirmās daļas c) punktu, katram finanšu vienības darbiniekam vai trešo personu, kas sniedz IKT pakalpojumus, darbiniekam, kurš piekļūst finanšu vienības informācijas aktīviem un IKT aktīviem, piešķir unikālu identitāti, kas atbilst unikālam lietotāja kontam;

b) 

identitāšu un kontu aprites cikla pārvaldības process, kas pārvalda visu kontu izveidi, izmaiņas tajos, to pārskatīšanu un atjaunināšanu, pagaidu dezaktivizāciju un slēgšanu.

Šā punkta a) apakšpunkta nolūkos finanšu vienības veic visu piešķirto identitāšu uzskaiti. Minēto uzskaiti glabā pēc finanšu vienības reorganizācijas vai pēc līgumattiecību izbeigšanas, neskarot piemērojamos Savienības un valsts tiesību aktos noteiktās glabāšanas prasības.

Šā punkta b) apakšpunkta nolūkos, ja tas ir iespējams un atbilstoši, finanšu vienības ievieš automatizētus risinājumus aprites cikla identitātes pārvaldības procesam.
EULAW 21. pants Piekļuves kontrole

21. pants

Piekļuves kontrole

Kā daļu no savas piekļuves pārvaldības tiesību kontroles finanšu vienības izstrādā, dokumentē un īsteno politiku, kas ietver visus no šiem elementiem:

a) 

IKT piekļuves tiesību piešķiršana, pamatojoties uz principiem “vajadzība zināt”, “vajadzība izmantot” un mazāko tiesību principu, arī attiecībā uz attālu piekļuvi un piekļuvi ārkārtas gadījumā;

b) 

uzdevumu nošķiršana, lai novērstu nepamatotu piekļuvi kritiski svarīgiem datiem vai novērstu tādu piekļuves tiesību kombināciju piešķiršanu, ko var izmantot kontroļu apiešanai;

c) 

noteikums par lietotāja pārskatatbildību, ciktāl iespējams, ierobežojot vispārējo un dalīto lietotāja kontu izmantošanu un nodrošinot, ka lietotāji vienmēr ir identificējami attiecībā uz darbībām, kas veiktas IKT sistēmās;

d) 

noteikums par ierobežojumiem piekļuvei IKT aktīviem, izklāstot kontroles un rīkus neatļautas piekļuves novēršanai;

e) 

kontu pārvaldības procedūras, lai piešķirtu, mainītu vai atsauktu piekļuves tiesības lietotāju un vispārējiem kontiem, tajā skaitā vispārējiem administratoru kontiem, ietverot noteikumu par visu turpmāk minēto:

i) 

uzdevumu un atbildības piešķiršana par piekļuves tiesību piešķiršanu, pārskatīšanu un atsaukšanu;

ii) 

privileģētas, ārkārtas un administratora piekļuves piešķiršana, pamatojoties uz vajadzību zināt vai uz ad hoc pamata, attiecībā uz visām IKT sistēmām;

iii) 

piekļuves tiesību tūlītēja atsaukšana darba attiecību izbeigšanas gadījumā vai ja piekļuve vairs nav nepieciešama;

iv) 

piekļuves tiesību atjaunināšana, kad ir nepieciešamas izmaiņas un vismaz gadā attiecībā uz visām IKT sistēmām, izņemot IKT sistēmas, kas atbalsta kritiskas vai svarīgas funkcijas, un vismaz reizi sešos mēnešos attiecībā uz IKT sistēmām, kas atbalsta kritiskas vai svarīgas funkcijas;

f) 

autentifikācijas metodes, ietverot visus šos elementus:

i) 

autentifikācijas metožu izmantošana, kas ir samērīga ar klasifikāciju, kura noteikta saskaņā ar Regulas (ES) 2022/2554 8. panta 1. punktu, un ar IKT aktīvu vispārējo riska profilu, arī ņemot vērā paraugpraksi;

ii) 

spēcīgu autentifikācijas metožu izmantošana saskaņā ar paraugpraksi un metodēm attiecībā uz attālu piekļuvi finanšu vienības tīklam, privileģētu piekļuvi, piekļuvi IKT aktīviem, kas atbalsta kritiskas vai svarīgas funkcijas, vai IKT aktīviem, kas ir publiski pieejami;

g) 

fiziskās piekļuves kontroles pasākumi, tajā skaitā:

i) 

to fizisko personu identifikācija un reģistrēšana žurnālā, kurām ir atļauts piekļūt telpām, datu centriem un finanšu vienības par sensitīvām noteiktām vietām, kur atrodas IKT un informācijas aktīvi;

ii) 

fiziskās piekļuves kritiskiem IKT aktīviem piešķiršana tikai pilnvarotām personām saskaņā ar principu “vajadzība zināt” un mazāko tiesību principu un uz ad hoc pamata;

iii) 

uzraudzība attiecībā uz fizisko piekļuvi telpām, datu centriem un finanšu vienības par sensitīvām noteiktām vietām, kur atrodas IKT un informācijas aktīvi, vai abi;

iv) 

fiziskās piekļuves tiesību pārskatīšana, lai nodrošinātu, ka nevajadzīgas piekļuves tiesības tiek steidzīgi atsauktas.

Šā punkta e) apakšpunkta i) punkta nolūkos finanšu vienības nosaka glabāšanas periodu, ņemot vērā darbības un informācijas drošības mērķus, iemeslus, kādēļ notikums tiek reģistrēts žurnālos, un IKT riska novērtējuma rezultātus.

Šā punkta e) apakšpunkta ii) punkta nolūkos finanšu vienības, ja iespējams, izmanto speciālus kontus administratīvu uzdevumu veikšanai IKT sistēmās. Ja tas ir iespējams un atbilstoši, finanšu vienības ievieš automatizētus risinājumus privileģētas piekļuves pārvaldībai.

Šā punkta g) apakšpunkta i) punkta nolūkos identifikācija un reģistrēšana žurnālos ir samērīga ar telpu, datu centru, par sensitīvām noteikto vietu svarīgumu un tajās notiekošo darbību vai esošo IKT sistēmu kritiskumu.

Šā punkta g) apakšpunkta iii) punkta nolūkos uzraudzība ir samērīga ar klasifikāciju, kas noteikta saskaņā ar Regulas (ES) 2022/2554 8. panta 1. punktu, un vietas, kurai piekļūst, kritiskumu.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.