+KAPITOLU II Politika tar-riżorsi umani u kontroll tal-aċċess
---+Artikolu 19 Politika tar-riżorsi umani
---+Artikolu 20 Ġestjoni tal-identità
------+Artikolu 20 1.
------+Artikolu 20 2.
---+Artikolu 21 Kontroll tal-aċċess
|
KAPITOLU II Politika tar-riżorsi umani u kontroll tal-aċċess
KAPITOLU II Politika tar-riżorsi umani u kontroll tal-aċċess
1. Ħarsa ġenerali
| Titlu |
Regolamentazzjoni |
|
Artikolu 19 Politika tar-riżorsi umani
|
Artikolu 19
Politika tar-riżorsi umani
Fil-politika tagħhom dwar ir-riżorsi umani jew politiki rilevanti oħrajn, l-entitajiet finanzjarji għandhom jinkludu l-elementi kollha li ġejjin relatati mas-sigurtà tal-ICT:
(a)
l-identifikazzjoni u l-assenjazzjoni ta’ kwalunkwe responsabbiltà speċifika għas-sigurtà tal-ICT;
(b)
rekwiżiti għall-persunal tal-entità finanzjarja u tal-fornituri terzi ta’ servizzi tal-ICT li jużaw jew jaċċessaw l-assi tal-ICT tal-entità finanzjarja biex:
(i)
jiġu informati dwar il-politiki, il-proċeduri u l-protokolli tas-sigurtà tal-ICT tal-entità finanzjarja u jaderixxu magħhom;
(ii)
ikunu konxji dwar il-kanali ta’ rapportar stabbiliti mill-entità finanzjarja għall-individwazzjoni ta’ mġiba anomala, inklużi, meta applikabbli, il-kanali ta’ rapportar stabbiliti f’konformità mad-Direttiva (UE) 2019/1937 tal-Parlament Ewropew u tal-Kunsill (
1
);
(iii)
għall-persunal, li jirritorna lill-entità finanzjarja, mat-terminazzjoni tal-impjieg, l-assi tal-ICT u l-assi ta’ informazzjoni tanġibbli kollha fil-pussess tiegħu li jappartjenu għall-entità finanzjarja.
|
|
Artikolu 20 Ġestjoni tal-identità
|
-
|
|
Artikolu 21 Kontroll tal-aċċess
|
Artikolu 21
Bħala parti mill-kontroll tagħhom tad-drittijiet ta’ ġestjoni tal-aċċess, l-entitajiet finanzjarji għandhom jiżviluppaw, jiddokumentaw u jimplimentaw politika li jkun fiha dawn kollha li ġejjin:
(a)
l-assenjazzjoni tad-drittijiet ta’ aċċess għall-assi tal-ICT abbażi tal-prinċipji tal-ħtieġa ta’ tagħrif, tal-ħtieġa ta’ użu u tal-anqas privileġġ, inkluż għal aċċess mill-bogħod u ta’ emerġenza;
(b)
is-segregazzjoni tad-dmirijiet imfassla biex jipprevjenu aċċess mhux iġġustifikat għal data kritika jew biex jipprevjenu l-allokazzjoni ta’ kombinazzjonijiet ta’ drittijiet ta’ aċċess li jistgħu jintużaw biex jiġu evitati l-kontrolli;
(c)
dispożizzjoni dwar l-akkontabilità tal-utent, billi jiġi llimitat sa fejn ikun possibbli l-użu ta’ kontijiet tal-utenti ġeneriċi u kondiviżi u jiġi żgurat li l-utenti jkunu identifikabbli għall-azzjonijiet imwettqa fis-sistemi tal-ICT f’kull ħin;
(d)
dispożizzjoni dwar ir-restrizzjonijiet tal-aċċess għall-assi tal-ICT, li tistabbilixxi kontrolli u għodod biex jiġi pprevenut aċċess mhux awtorizzat;
(e)
proċeduri ta’ ġestjoni tal-kontijiet għall-għoti, għat-tibdil jew għar-revoka tad-drittijiet ta’ aċċess għall-kontijiet tal-utenti u l-kontijiet ġeneriċi, inklużi l-kontijiet tal-amministraturi ġeneriċi, u wkoll dispożizzjoni dwar dawn kollha li ġejjin:
(i)
l-assenjazzjoni tar-rwoli u tar-responsabbiltajiet għall-għoti, għar-rieżami u għar-revoka tad-drittijiet ta’ aċċess;
(ii)
l-assenjazzjoni ta’ aċċess privileġġat, ta’ emerġenza u ta’ amministratur fuq bażi ta’ ħtieġa ta’ użu jew fuq bażi ad hoc għas-sistemi kollha tal-ICT;
(iii)
l-irtirar tad-drittijiet ta’ aċċess mingħajr dewmien żejjed mat-terminazzjoni tal-impjieg jew meta l-aċċess ma jkunx għadu meħtieġ;
(iv)
aġġornament tad-drittijiet ta’ aċċess fejn ikunu meħtieġa tibdiliet u mill-anqas darba fis-sena għas-sistemi kollha tal-ICT, għajr għas-sistemi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti u mill-anqas kull 6 xhur għas-sistemi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti;
(f)
metodi ta’ awtentikazzjoni, inklużi dawn kollha li ġejjin:
(i)
l-użu ta’ metodi ta’ awtentikazzjoni proporzjonati għall-klassifikazzjoni stabbilita f’konformità mal-Artikolu 8(1) tar-Regolament (UE) 2022/2554 u għall-profil tar-riskju ġenerali tal-assi tal-ICT u filwaqt li jitqiesu prattiki ewlenin;
(ii)
l-użu ta’ metodi ta’ awtentikazzjoni b’saħħithom f’konformità ma’ prattiki u tekniki ewlenin għall-aċċess mill-bogħod għan-network tal-entità finanzjarja, għal aċċess privileġġat, għal aċċess għall-assi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti jew assi tal-ICT li huma aċċessibbli għall-pubbliku;
(g)
miżuri ta’ kontroll għall-aċċess fiżiku li jinkludu:
(i)
l-identifikazzjoni u r-reġistrazzjoni ta’ persuni fiżiċi li huma awtorizzati jaċċessaw il-bini, iċ-ċentri tad-data u ż-żoni ddeżinjati sensittivi identifikati mill-entità finanzjarja fejn hemm l-assi tal-ICT u tal-informazzjoni;
(ii)
l-għoti ta’ drittijiet ta’ aċċess fiżiku għal assi kritiċi tal-ICT lil persuni awtorizzati biss, f’konformità mal-prinċipji tal-ħtieġa ta’ tagħrif u tal-anqas privileġġ, u fuq bażi ad hoc;
(iii)
il-monitoraġġ tal-aċċess fiżiku għall-bini, għaċ-ċentri tad-data u għal żoni ddeżinjati sensittivi identifikati mill-entità finanzjarja fejn ikun hemm l-assi tal-ICT u tal-informazzjoni jew it-tnejn li huma;
(iv)
ir-rieżami tad-drittijiet ta’ aċċess fiżiku biex jiġi żgurat li d-drittijiet ta’ aċċess mhux meħtieġa jiġu rrevokati minnufih.
Għall-finijiet tal-punt (e)(i), l-entitajiet finanzjarji għandhom jistabbilixxu l-perjodu ta’ żamma filwaqt li jqisu l-objettivi tas-sigurtà tan-negozju u tal-informazzjoni, ir-raġunijiet għar-reġistrazzjoni tal-avveniment fir-reġistri u r-riżultati tal-valutazzjoni tar-riskju tal-ICT.
Għall-finijiet tal-punt (e)(ii), l-entitajiet finanzjarji għandhom, meta possibbli, jużaw kontijiet iddedikati għat-twettiq ta’ kompiti amministrattivi fuq is-sistemi tal-ICT. Meta jkun fattibbli u xieraq, l-entitajiet finanzjarji għandhom jużaw soluzzjonijiet awtomatizzati għall-ġestjoni tal-aċċess għall-privileġġ.
Għall-finijiet tal-punt (g)(i), l-identifikazzjoni u r-reġistrazzjoni għandhom ikunu proporzjonati mal-importanza tal-bini, taċ-ċentri tad-data, taż-żoni ddeżinjati sensittivi u mal-kritikalità tal-operazzjonijiet jew tas-sistemi tal-ICT li jinsabu fihom.
Għall-finijiet tal-punt (g)(iii), il-monitoraġġ għandu jkun proporzjonat mal-klassifikazzjoni stabbilita f’konformità mal-Artikolu 8(1) tar-Regolament (UE) 2022/2554 u għall-kritikalità taż-żona aċċessata.
|
,
1.1 Referenzi
1.2 Rekwiżiti identifikati
1.3 Standards relatati
2. Rekwiżiti identifikati
3. Standards relatati
- Builddate: 25.06.2024 00:00:00 -Doknr: CELEX:32024R1774
- EULAW -
EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.
DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.
|