+Account Management

Account Management

Establish procedures for granting, changing, and revoking access rights, specifying roles and responsibilities. Define retention periods for access logs. Assign privileged, emergency, and administrator access on a need-to-use or ad-hoc basis, with automated solutions for privilege access management. Withdraw access rights promptly upon termination of employment or when no longer required. Conduct periodic reviews of access rights, ensuring at least annual reviews for non-critical ICT systems and semi-annual reviews for critical systems.

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Regulamentos relacionados

2. Requisitos identificados

Requisitos

3. Regulamentos relacionados

Regulamentos
EULAW Artigo 20.o 1.
No âmbito do seu controlo da gestão dos direitos de acesso, as entidades financeiras devem desenvolver, documentar e aplicar políticas e procedimentos de gestão da identidade que assegurem a identificação e autenticação únicas das pessoas singulares e dos sistemas que acedem às informações das entidades financeiras, a fim de permitir a atribuição de direitos de acesso aos utilizadores em conformidade com o artigo 21.o.
EULAW Artigo 20.o 2.

As políticas e os procedimentos relativos à gestão da identidade referidos no n.o 1 devem conter todos os elementos seguintes:

a) 

Sem prejuízo do artigo 21.o, primeiro parágrafo, alínea c), é atribuída a cada membro do pessoal da entidade financeira ou do pessoal dos terceiros prestadores de serviços de TIC que acedam aos ativos de informação e aos ativos de TIC da entidade financeira uma identidade única correspondente a uma conta de utilizador única;

b) 

Um processo de gestão do ciclo de vida das identidades e das contas que faça a gestão da criação, alteração, revisão e atualização, desativação temporária e encerramento de todas as contas.

Para efeitos da alínea a), as entidades financeiras devem manter registos de todas as atribuições de identidade. Esses registos devem ser conservados na sequência de uma reorganização da entidade financeira ou após o termo da relação contratual, sem prejuízo dos requisitos de retenção estabelecidos no direito da União e no direito nacional aplicáveis.

Para efeitos da alínea b), as entidades financeiras devem utilizar, sempre que possível e adequado, soluções automatizadas para o processo de gestão da identidade ao longo do ciclo de vida.
EULAW Artigo 21.o Controlo do acesso

Artigo 21.o

Controlo do acesso

No âmbito do seu controlo da gestão dos direitos de acesso, as entidades financeiras devem desenvolver, documentar e aplicar uma política que contenha todos os elementos seguintes:

a) 

A atribuição de direitos de acesso a ativos de TIC com base nos princípios da necessidade de tomar conhecimento, da necessidade de utilizar e do menor privilégio, nomeadamente para o acesso à distância e de emergência;

b) 

A segregação de funções destinada a impedir o acesso injustificado a dados críticos ou impedir a atribuição de combinações de direitos de acesso que possam ser utilizadas para contornar os controlos;

c) 

Uma disposição sobre a responsabilização dos utilizadores, limitando, na medida do possível, a utilização de contas de utilizador genéricas e partilhadas e assegurando que os utilizadores sejam sempre identificáveis nas ações realizadas nos sistemas de TIC;

d) 

Uma disposição em matéria de restrições de acesso a ativos de TIC, estabelecendo controlos e ferramentas para impedir o acesso não autorizado;

e) 

Procedimentos de gestão das contas para conceder, alterar ou revogar direitos de acesso a contas de utilizador e a contas genéricas, nomeadamente contas de administrador genéricas, incluindo disposições relativas a todos os aspetos seguintes:

i) 

atribuição de funções e responsabilidades para a concessão, revisão e revogação de direitos de acesso,

ii) 

atribuição de acesso privilegiado, de emergência e de administrador com base na necessidade de utilização ou numa base ad hoc para todos os sistemas de TIC,

iii) 

retirada dos direitos de acesso sem demora injustificada após a cessação do contrato de trabalho ou quando o acesso deixar de ser necessário,

iv) 

atualização dos direitos de acesso sempre que sejam necessárias alterações e, pelo menos, uma vez por ano para todos os sistemas de TIC que não sejam sistemas de TIC que apoiem funções críticas ou importantes, e pelo menos a cada seis meses para os sistemas de TIC que apoiem funções críticas ou importantes;

f) 

Métodos de autenticação, incluindo todos os elementos seguintes:

i) 

a utilização de métodos de autenticação proporcionados à classificação estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554 e ao perfil de risco global dos ativos de TIC e tendo em conta as melhores práticas,

ii) 

a utilização de métodos de autenticação forte em conformidade com as melhores práticas e técnicas para o acesso remoto à rede da entidade financeira, para o acesso privilegiado e ainda para o acesso a ativos de TIC que apoiem funções críticas ou importantes ou ativos de TIC acessíveis ao público;

g) 

Medidas de controlo do acesso físico, nomeadamente:

i) 

a identificação e o registo de pessoas singulares autorizadas a aceder a instalações, centros de dados e áreas consideradas sensíveis identificadas pela entidade financeira onde se encontrem os ativos de TIC e de informação,

ii) 

a concessão de direitos de acesso físico a ativos de TIC críticos apenas a pessoas autorizadas, de acordo com os princípios da necessidade de tomar conhecimento e do menor privilégio, e numa base ad hoc,

iii) 

a monitorização do acesso físico a instalações, centros de dados e áreas consideradas sensíveis identificadas pela entidade financeira onde se encontrem os ativos de TIC e de informação ou ambos,

iv) 

a revisão dos direitos de acesso físico, a fim de assegurar que os direitos de acesso desnecessários são imediatamente revogados.

Para efeitos da alínea e), subalínea i), as entidades financeiras devem estabelecer o período de conservação, tendo em conta os objetivos empresariais e de segurança da informação, o motivo para registar o evento nos registos e os resultados da avaliação do risco associado às TIC.

Para efeitos da alínea e), subalínea ii), as entidades financeiras devem utilizar, sempre que possível, contas específicas para a execução de tarefas administrativas relativas aos sistemas de TIC. Sempre que possível e adequado, as entidades financeiras devem utilizar soluções automatizadas para a gestão do acesso privilegiado.

Para efeitos da alínea g), subalínea i), a identificação e o registo devem ser proporcionados à importância das instalações, dos centros de dados e das áreas consideradas sensíveis e ao caráter crítico das operações ou dos sistemas de TIC aí localizados.

Para efeitos da alínea g), subalínea iii), a monitorização deve ser proporcionada à classificação estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554 e ao caráter crítico da área acedida.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.