+Artikel 20 2.

Artikel 20 2.

De in lid 1 bedoelde beleidslijnen en procedures voor identiteitsbeheer bevatten alle volgende elementen:

a) 

onverminderd artikel 21, eerste alinea, punt c), een unieke identiteit die overeenstemt met een unieke gebruikersaccount, wordt toegekend aan elke medewerker van de financiële entiteit of aan medewerkers van de derde aanbieders van ICT-diensten die toegang hebben tot de informatieassets en ICT-assets van de financiële entiteit;

b) 

een proces voor lifecycle-management van identiteiten en accounts waarmee het creëren, wijzigen, herzien en updaten, tijdelijk deactiveren en stopzetten van alle accounts wordt beheerd.

Voor de toepassing van punt a) maken financiële entiteiten vastleggingen van alle toewijzingen van identiteiten. Die vastleggingen worden verder bijgehouden na een reorganisatie van de financiële entiteit of na het einde van de contractuele relaties, onverminderd de retentieverplichtingen die in toepasselijk Unierecht en nationaal recht zijn vastgesteld.

Voor de toepassing van punt b) rollen financiële entiteiten, waar doenbaar en passend, geautomatiseerde oplossingen uit voor het proces van lifecycle-management van identiteiten.

1. Overzicht

,

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde standaarden

Standaarden
NOREA Authentication Methods
Use authentication methods commensurate with the classification and risk profile of ICT assets. Implement strong authentication methods, particularly for remote access, privileged access, and access to critical ICT assets.
NOREA Identity Management

Assign a unique identity to each staff member or staff of the third-party service provider accessing information and ICT assets. Implement a lifecycle management process for identities, covering creation, change, recertification, temporary deactivation, and termination of user accounts. Utilize automated solutions where applicable.
NOREA Privilige Access Management

Define access rights based on need-to-know, need-to-use, and least privilege principles, including provisions for remote and emergency access. Enforce segregation of duties to prevent unjustified access or combinations that could circumvent controls. Ensure user accountability by limiting generic and shared user accounts, enabling user identification for all ICT system actions. Implement controls and tools to restrict unauthorized access.
NOREA Account Management

Establish procedures for granting, changing, and revoking access rights, specifying roles and responsibilities. Define retention periods for access logs. Assign privileged, emergency, and administrator access on a need-to-use or ad-hoc basis, with automated solutions for privilege access management. Withdraw access rights promptly upon termination of employment or when no longer required. Conduct periodic reviews of access rights, ensuring at least annual reviews for non-critical ICT systems and semi-annual reviews for critical systems.