+HOOFDSTUK II Humanresourcesbeleid en toegangscontrole
---+Artikel 19 Humanresourcesbeleid
---+Artikel 20 Identiteitsbeheer
------+Artikel 20 1.
------+Artikel 20 2.
---+Artikel 21 Toegangscontrole
|
HOOFDSTUK II Humanresourcesbeleid en toegangscontrole
HOOFDSTUK II Humanresourcesbeleid en toegangscontrole
1. Overzicht
| Titel |
Regelgeving |
|
Artikel 19 Humanresourcesbeleid
|
Artikel 19
Financiële entiteiten nemen in hun humanresourcesbeleid of andere relevante beleidslijnen alle volgende elementen van ICT-beveiliging op:
a)
de identificatie en toewijzing van specifieke verantwoordelijkheden inzake ICT-beveiliging;
b)
vereisten voor medewerkers van de financiële entiteit en van de derde aanbieders van ICT-diensten die gebruikmaken van of toegang hebben tot ICT-assets van de financiële entiteit om:
i)
te worden geïnformeerd over en zich te houden aan beleidslijnen, procedures en protocollen van de financiële entiteit voor ICT-beveiliging;
ii)
op de hoogte te zijn van de door de financiële entiteit opgezette meldingskanalen voor de detectie van afwijkend gedrag, met inbegrip van, in voorkomend geval, de meldingskanalen die zijn opgezet in lijn met Richtlijn (EU) 2019/1937 van het Europees Parlement en de Raad (
1
);
iii)
voor de medewerkers: om bij de beëindiging van het dienstverband aan de financiële entiteit alle in hun bezit zijnde ICT-assets en materiële informatieassets terug te geven die eigendom zijn van de financiële entiteit.
|
|
Artikel 20 Identiteitsbeheer
|
-
|
|
Artikel 21 Toegangscontrole
|
Artikel 21
Als onderdeel van hun controle op het beheer van toegangsrechten ontwikkelen, documenteren en implementeren financiële entiteiten een beleid dat alle volgende elementen bevat:
a)
de toekenning van toegangsrechten tot ICT-assets op basis van need-to-know-, need-to-use- en least-privilege-principes, ook voor remote access en emergency access;
b)
de functiescheiding die is ingericht om ongerechtvaardigde toegang tot kritieke data te voorkomen of om de toewijzing te voorkomen van combinaties van toegangsrechten die kunnen worden gebruikt om controles te omzeilen;
c)
een bepaling betreffende de verantwoordingsplicht van gebruikers, door in de mate van het mogelijke het gebruik van generieke en gedeelde gebruikersaccounts te beperken en ervoor te zorgen dat gebruikers te allen tijde identificeerbaar zijn voor de acties die in de ICT-systemen worden uitgevoerd;
d)
een bepaling inzake beperkingen van toegang tot ICT-assets, met vermelding van beheersmaatregelen en tools die ongeautoriseerde toegang moeten voorkomen;
e)
procedures voor accountbeheer om toegangsrechten voor gebruikersaccounts en generieke accounts, daaronder begrepen generieke administrator accounts, toe te kennen, te wijzigen of in te trekken, met inbegrip van bepalingen over alle volgende elementen:
i)
toewijzing van rollen en verantwoordelijkheden voor het toekennen, herzien en intrekken van toegangsrechten;
ii)
toekenning van privileged, emergency- en administrator toegang op need-to-use- of op ad-hocbasis voor alle ICT-systemen;
iii)
onmiddellijke intrekking van toegangsrechten bij beëindiging van het dienstverband of wanneer toegang niet langer noodzakelijk is;
iv)
update van toegangsrechten wanneer wijzigingen noodzakelijk zijn en ten minste eenmaal per jaar voor alle ICT-systemen niet zijnde ICT-systemen die kritieke of belangrijke functies ondersteunen, en ten minste om de zes maanden voor ICT-systemen die kritieke of belangrijke functies ondersteunen;
f)
authenticatiemethoden, die alle volgende elementen bevatten:
i)
het gebruik van authenticatiemethoden die in verhouding staan tot de overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554 vastgestelde classificatie en het algemene risicoprofiel van de ICT-assets en rekening houdende met maatgevende praktijken;
ii)
het gebruik van sterke authenticatiemethoden in overeenstemming met maatgevende praktijken en technieken voor remote access tot het netwerk van de financiële entiteit, voor privileged access, voor toegang tot ICT-assets die kritieke of belangrijke functies ondersteunen of ICT-assets die publiek toegankelijk zijn;
g)
maatregelen voor fysieke toegangscontrole, met inbegrip van:
i)
de identificatie en logging van natuurlijke personen met geautoriseerde toegang tot bedrijfslocaties, datacentra en door de financiële entiteit afgebakende gevoelige zones waar ICT- en informatieassets zijn ondergebracht;
ii)
het toekennen van fysieke toegangsrechten tot kritieke ICT-assets aan uitsluitend geautoriseerde personen, in overeenstemming met de need-to-know- en least privilege-principes, en op ad-hocbasis;
iii)
de monitoring van fysieke toegang tot bedrijfslocaties, datacentra en door de financiële entiteit afgebakende gevoelige zones waar ICT-assets, informatieassets of beide soorten assets zijn ondergebracht;
iv)
de herziening van fysieke toegangsrechten om ervoor te zorgen dat niet-noodzakelijke toegangsrechten prompt worden ingetrokken.
Voor de toepassing van punt e), i), stellen financiële entiteiten de retentieperiode vast, rekening houdende met de doelstellingen inzake bedrijfs- en informatiebeveiliging, de redenen voor het vastleggen van het event in de logs, en de uitkomsten van de ICT-risicobeoordeling.
Voor de toepassing van punt e), ii), maken financiële entiteiten, voor zover mogelijk, gebruik van specifieke accounts voor het uitvoeren van administratieve taken op ICT-systemen. Waar doenbaar en passend rollen financiële entiteiten geautomatiseerde oplossingen uit voor hun Privileged Access Management (PAM).
Voor de toepassing van punt g), i), staan de identificatie en logging in verhouding tot het belang van de bedrijfslocaties, datacentra, afgebakende gevoelige zones en het kritieke karakter van de operaties of ICT-systemen die daarin zijn ondergebracht.
Voor de toepassing van punt g), iii), staat de monitoring in verhouding tot de overeenkomstig artikel 8, lid 1, van Verordening (EU) 2022/2554 vastgestelde classificatie en het kritieke karakter van de zone waartoe personen toegang hebben.
|
,
1.1 Referenties
1.2 Geïdentificeerde eisen
1.3 Gerelateerde standaarden
2. Geïdentificeerde eisen
3. Gerelateerde standaarden
|