+CAPÍTULO II Política de recursos humanos e controlo do acesso
---+Artigo 19.o Política de recursos humanos
---+Artigo 20.o Gestão da identidade
------+Artigo 20.o 1.
------+Artigo 20.o 2.
---+Artigo 21.o Controlo do acesso

CAPÍTULO II Política de recursos humanos e controlo do acesso

CAPÍTULO II Política de recursos humanos e controlo do acesso

1. Visão geral

,
Artigo 19.o Política de recursos humanos

Artigo 19.o

Política de recursos humanos

As entidades financeiras devem incluir na sua política de recursos humanos ou noutras políticas relevantes todos os elementos seguintes relacionados com a segurança das TIC:

a) 

A identificação e atribuição de quaisquer responsabilidades específicas em matéria de segurança das TIC;

b) 

Os requisitos aplicáveis aos membros do pessoal da entidade financeira e dos terceiros prestadores de serviços de TIC que utilizam ou acedem a ativos de TIC da entidade financeira para:

i) 

estarem informados e aderirem às políticas, procedimentos e protocolos de segurança das TIC da entidade financeira,

ii) 

terem conhecimento dos canais de comunicação criados pela entidade financeira para a deteção de comportamentos anómalos, incluindo, se for caso disso, os canais de comunicação estabelecidos em conformidade com a Diretiva (UE) 2019/1937 do Parlamento Europeu e do Conselho ( 1 ),

iii) 

no que toca aos membros do pessoal, devolverem à entidade financeira, após a cessação do contrato de trabalho, todos os ativos de TIC e ativos de informação tangíveis na sua posse que pertençam à entidade financeira.
Artigo 20.o Gestão da identidade -
Artigo 21.o Controlo do acesso

Artigo 21.o

Controlo do acesso

No âmbito do seu controlo da gestão dos direitos de acesso, as entidades financeiras devem desenvolver, documentar e aplicar uma política que contenha todos os elementos seguintes:

a) 

A atribuição de direitos de acesso a ativos de TIC com base nos princípios da necessidade de tomar conhecimento, da necessidade de utilizar e do menor privilégio, nomeadamente para o acesso à distância e de emergência;

b) 

A segregação de funções destinada a impedir o acesso injustificado a dados críticos ou impedir a atribuição de combinações de direitos de acesso que possam ser utilizadas para contornar os controlos;

c) 

Uma disposição sobre a responsabilização dos utilizadores, limitando, na medida do possível, a utilização de contas de utilizador genéricas e partilhadas e assegurando que os utilizadores sejam sempre identificáveis nas ações realizadas nos sistemas de TIC;

d) 

Uma disposição em matéria de restrições de acesso a ativos de TIC, estabelecendo controlos e ferramentas para impedir o acesso não autorizado;

e) 

Procedimentos de gestão das contas para conceder, alterar ou revogar direitos de acesso a contas de utilizador e a contas genéricas, nomeadamente contas de administrador genéricas, incluindo disposições relativas a todos os aspetos seguintes:

i) 

atribuição de funções e responsabilidades para a concessão, revisão e revogação de direitos de acesso,

ii) 

atribuição de acesso privilegiado, de emergência e de administrador com base na necessidade de utilização ou numa base ad hoc para todos os sistemas de TIC,

iii) 

retirada dos direitos de acesso sem demora injustificada após a cessação do contrato de trabalho ou quando o acesso deixar de ser necessário,

iv) 

atualização dos direitos de acesso sempre que sejam necessárias alterações e, pelo menos, uma vez por ano para todos os sistemas de TIC que não sejam sistemas de TIC que apoiem funções críticas ou importantes, e pelo menos a cada seis meses para os sistemas de TIC que apoiem funções críticas ou importantes;

f) 

Métodos de autenticação, incluindo todos os elementos seguintes:

i) 

a utilização de métodos de autenticação proporcionados à classificação estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554 e ao perfil de risco global dos ativos de TIC e tendo em conta as melhores práticas,

ii) 

a utilização de métodos de autenticação forte em conformidade com as melhores práticas e técnicas para o acesso remoto à rede da entidade financeira, para o acesso privilegiado e ainda para o acesso a ativos de TIC que apoiem funções críticas ou importantes ou ativos de TIC acessíveis ao público;

g) 

Medidas de controlo do acesso físico, nomeadamente:

i) 

a identificação e o registo de pessoas singulares autorizadas a aceder a instalações, centros de dados e áreas consideradas sensíveis identificadas pela entidade financeira onde se encontrem os ativos de TIC e de informação,

ii) 

a concessão de direitos de acesso físico a ativos de TIC críticos apenas a pessoas autorizadas, de acordo com os princípios da necessidade de tomar conhecimento e do menor privilégio, e numa base ad hoc,

iii) 

a monitorização do acesso físico a instalações, centros de dados e áreas consideradas sensíveis identificadas pela entidade financeira onde se encontrem os ativos de TIC e de informação ou ambos,

iv) 

a revisão dos direitos de acesso físico, a fim de assegurar que os direitos de acesso desnecessários são imediatamente revogados.

Para efeitos da alínea e), subalínea i), as entidades financeiras devem estabelecer o período de conservação, tendo em conta os objetivos empresariais e de segurança da informação, o motivo para registar o evento nos registos e os resultados da avaliação do risco associado às TIC.

Para efeitos da alínea e), subalínea ii), as entidades financeiras devem utilizar, sempre que possível, contas específicas para a execução de tarefas administrativas relativas aos sistemas de TIC. Sempre que possível e adequado, as entidades financeiras devem utilizar soluções automatizadas para a gestão do acesso privilegiado.

Para efeitos da alínea g), subalínea i), a identificação e o registo devem ser proporcionados à importância das instalações, dos centros de dados e das áreas consideradas sensíveis e ao caráter crítico das operações ou dos sistemas de TIC aí localizados.

Para efeitos da alínea g), subalínea iii), a monitorização deve ser proporcionada à classificação estabelecida em conformidade com o artigo 8.o, n.o 1, do Regulamento (UE) 2022/2554 e ao caráter crítico da área acedida.

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

Requisitos

3. Normas relacionadas

Normas