+Artigo 20.o 2.

Artigo 20.o 2.

As políticas e os procedimentos relativos à gestão da identidade referidos no n.o 1 devem conter todos os elementos seguintes:

a) 

Sem prejuízo do artigo 21.o, primeiro parágrafo, alínea c), é atribuída a cada membro do pessoal da entidade financeira ou do pessoal dos terceiros prestadores de serviços de TIC que acedam aos ativos de informação e aos ativos de TIC da entidade financeira uma identidade única correspondente a uma conta de utilizador única;

b) 

Um processo de gestão do ciclo de vida das identidades e das contas que faça a gestão da criação, alteração, revisão e atualização, desativação temporária e encerramento de todas as contas.

Para efeitos da alínea a), as entidades financeiras devem manter registos de todas as atribuições de identidade. Esses registos devem ser conservados na sequência de uma reorganização da entidade financeira ou após o termo da relação contratual, sem prejuízo dos requisitos de retenção estabelecidos no direito da União e no direito nacional aplicáveis.

Para efeitos da alínea b), as entidades financeiras devem utilizar, sempre que possível e adequado, soluções automatizadas para o processo de gestão da identidade ao longo do ciclo de vida.

1. Visão geral

,

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

Requisitos

3. Normas relacionadas

Normas
NOREA Authentication Methods
Use authentication methods commensurate with the classification and risk profile of ICT assets. Implement strong authentication methods, particularly for remote access, privileged access, and access to critical ICT assets.
NOREA Identity Management

Assign a unique identity to each staff member or staff of the third-party service provider accessing information and ICT assets. Implement a lifecycle management process for identities, covering creation, change, recertification, temporary deactivation, and termination of user accounts. Utilize automated solutions where applicable.
NOREA Privilige Access Management

Define access rights based on need-to-know, need-to-use, and least privilege principles, including provisions for remote and emergency access. Enforce segregation of duties to prevent unjustified access or combinations that could circumvent controls. Ensure user accountability by limiting generic and shared user accounts, enabling user identification for all ICT system actions. Implement controls and tools to restrict unauthorized access.
NOREA Account Management

Establish procedures for granting, changing, and revoking access rights, specifying roles and responsibilities. Define retention periods for access logs. Assign privileged, emergency, and administrator access on a need-to-use or ad-hoc basis, with automated solutions for privilege access management. Withdraw access rights promptly upon termination of employment or when no longer required. Conduct periodic reviews of access rights, ensuring at least annual reviews for non-critical ICT systems and semi-annual reviews for critical systems.