+Authentication Methods

Authentication Methods

Use authentication methods commensurate with the classification and risk profile of ICT assets. Implement strong authentication methods, particularly for remote access, privileged access, and access to critical ICT assets.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde regelingen

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde regelingen

Regelingen
EULAW Artikel 20 1.
Als onderdeel van hun controle op het beheer van toegangsrechten ontwikkelen, documenteren en implementeren financiële entiteiten beleidslijnen en procedures voor identiteitsbeheer die de unieke identificatie en authenticatie garanderen van natuurlijke personen en systemen met toegang tot informatie van de financiële entiteiten, om toegangsrechten voor gebruikers te kunnen toekennen overeenkomstig artikel 21.
EULAW Artikel 20 2.

De in lid 1 bedoelde beleidslijnen en procedures voor identiteitsbeheer bevatten alle volgende elementen:

a) 

onverminderd artikel 21, eerste alinea, punt c), een unieke identiteit die overeenstemt met een unieke gebruikersaccount, wordt toegekend aan elke medewerker van de financiële entiteit of aan medewerkers van de derde aanbieders van ICT-diensten die toegang hebben tot de informatieassets en ICT-assets van de financiële entiteit;

b) 

een proces voor lifecycle-management van identiteiten en accounts waarmee het creëren, wijzigen, herzien en updaten, tijdelijk deactiveren en stopzetten van alle accounts wordt beheerd.

Voor de toepassing van punt a) maken financiële entiteiten vastleggingen van alle toewijzingen van identiteiten. Die vastleggingen worden verder bijgehouden na een reorganisatie van de financiële entiteit of na het einde van de contractuele relaties, onverminderd de retentieverplichtingen die in toepasselijk Unierecht en nationaal recht zijn vastgesteld.

Voor de toepassing van punt b) rollen financiële entiteiten, waar doenbaar en passend, geautomatiseerde oplossingen uit voor het proces van lifecycle-management van identiteiten.
EULAW Artikel 21 Toegangscontrole

Artikel 21

Toegangscontrole

Als onderdeel van hun controle op het beheer van toegangsrechten ontwikkelen, documenteren en implementeren financiële entiteiten een beleid dat alle volgende elementen bevat:

a) 

de toekenning van toegangsrechten tot ICT-assets op basis van need-to-know-, need-to-use- en least-privilege-principes, ook voor remote access en emergency access;

b) 

de functiescheiding die is ingericht om ongerechtvaardigde toegang tot kritieke data te voorkomen of om de toewijzing te voorkomen van combinaties van toegangsrechten die kunnen worden gebruikt om controles te omzeilen;

c) 

een bepaling betreffende de verantwoordingsplicht van gebruikers, door in de mate van het mogelijke het gebruik van generieke en gedeelde gebruikersaccounts te beperken en ervoor te zorgen dat gebruikers te allen tijde identificeerbaar zijn voor de acties die in de ICT-systemen worden uitgevoerd;

d) 

een bepaling inzake beperkingen van toegang tot ICT-assets, met vermelding van beheersmaatregelen en tools die ongeautoriseerde toegang moeten voorkomen;

e) 

procedures voor accountbeheer om toegangsrechten voor gebruikersaccounts en generieke accounts, daaronder begrepen generieke administrator accounts, toe te kennen, te wijzigen of in te trekken, met inbegrip van bepalingen over alle volgende elementen:

i) 

toewijzing van rollen en verantwoordelijkheden voor het toekennen, herzien en intrekken van toegangsrechten;

ii) 

toekenning van privileged, emergency- en administrator toegang op need-to-use- of op ad-hocbasis voor alle ICT-systemen;

iii) 

onmiddellijke intrekking van toegangsrechten bij beëindiging van het dienstverband of wanneer toegang niet langer noodzakelijk is;

iv) 

update van toegangsrechten wanneer wijzigingen noodzakelijk zijn en ten minste eenmaal per jaar voor alle ICT-systemen niet zijnde ICT-systemen die kritieke of belangrijke functies ondersteunen, en ten minste om de zes maanden voor ICT-systemen die kritieke of belangrijke functies ondersteunen;

f) 

authenticatiemethoden, die alle volgende elementen bevatten:

i) 

het gebruik van authenticatiemethoden die in verhouding staan tot de overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554 vastgestelde classificatie en het algemene risicoprofiel van de ICT-assets en rekening houdende met maatgevende praktijken;

ii) 

het gebruik van sterke authenticatiemethoden in overeenstemming met maatgevende praktijken en technieken voor remote access tot het netwerk van de financiële entiteit, voor privileged access, voor toegang tot ICT-assets die kritieke of belangrijke functies ondersteunen of ICT-assets die publiek toegankelijk zijn;

g) 

maatregelen voor fysieke toegangscontrole, met inbegrip van:

i) 

de identificatie en logging van natuurlijke personen met geautoriseerde toegang tot bedrijfslocaties, datacentra en door de financiële entiteit afgebakende gevoelige zones waar ICT- en informatieassets zijn ondergebracht;

ii) 

het toekennen van fysieke toegangsrechten tot kritieke ICT-assets aan uitsluitend geautoriseerde personen, in overeenstemming met de need-to-know- en least privilege-principes, en op ad-hocbasis;

iii) 

de monitoring van fysieke toegang tot bedrijfslocaties, datacentra en door de financiële entiteit afgebakende gevoelige zones waar ICT-assets, informatieassets of beide soorten assets zijn ondergebracht;

iv) 

de herziening van fysieke toegangsrechten om ervoor te zorgen dat niet-noodzakelijke toegangsrechten prompt worden ingetrokken.

Voor de toepassing van punt e), i), stellen financiële entiteiten de retentieperiode vast, rekening houdende met de doelstellingen inzake bedrijfs- en informatiebeveiliging, de redenen voor het vastleggen van het event in de logs, en de uitkomsten van de ICT-risicobeoordeling.

Voor de toepassing van punt e), ii), maken financiële entiteiten, voor zover mogelijk, gebruik van specifieke accounts voor het uitvoeren van administratieve taken op ICT-systemen. Waar doenbaar en passend rollen financiële entiteiten geautomatiseerde oplossingen uit voor hun Privileged Access Management (PAM).

Voor de toepassing van punt g), i), staan de identificatie en logging in verhouding tot het belang van de bedrijfslocaties, datacentra, afgebakende gevoelige zones en het kritieke karakter van de operaties of ICT-systemen die daarin zijn ondergebracht.

Voor de toepassing van punt g), iii), staat de monitoring in verhouding tot de overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554 vastgestelde classificatie en het kritieke karakter van de zone waartoe personen toegang hebben.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.