+CAPITOLUL II Politica de resurse umane și controlul accesului
---+Articolul 19 Politica de resurse umane
---+Articolul 20 Gestionarea identității
------+Article 20 1.
------+Article 20 2.
---+Articolul 21 Controlul accesului

CAPITOLUL II Politica de resurse umane și controlul accesului

CAPITOLUL II Politica de resurse umane și controlul accesului

1. Prezentare generală

,
Articolul 19 Politica de resurse umane

Articolul 19

Politica de resurse umane

Entitățile financiare includ în politica lor de resurse umane sau în alte politici relevante toate elementele următoare legate de securitatea TIC:

(a) 

identificarea și atribuirea oricăror responsabilități specifice în materie de securitate TIC;

(b) 

cerințe aplicabile membrilor personalului entității financiare și al furnizorilor terți de servicii TIC care utilizează sau accesează activele TIC ale entității financiare astfel încât:

(i) 

să fie informați cu privire la politicile, procedurile și protocoalele de securitate TIC ale entității financiare și să adere la acestea;

(ii) 

să aibă cunoștință de canalele de raportare instituite de entitatea financiară pentru detectarea comportamentului anormal, inclusiv, după caz, canalele de raportare instituite în conformitate cu Directiva (UE) 2019/1937 a Parlamentului European și a Consiliului ( 1 );

(iii) 

pentru membrii personalului, să returneze entității financiare, la încetarea contractului de muncă, toate activele TIC și activele informaționale corporale aflate în posesia lor care aparțin entității financiare.
Articolul 20 Gestionarea identității
Articolul 21 Controlul accesului

Articolul 21

Controlul accesului

Ca parte a controlului pe care îl exercită asupra drepturilor de gestionare a accesului, entitățile financiare elaborează, documentează și pun în aplicare o politică ce conține toate elementele următoare:

(a) 

atribuirea drepturilor de acces la activele TIC pe baza principiului necesității de a cunoaște, al necesității de a utiliza și al celor mai mici privilegii, inclusiv pentru accesul la distanță și de urgență;

(b) 

separarea sarcinilor pentru a preveni accesul nejustificat la datele critice sau a preveni alocarea combinațiilor de drepturi de acces care ar putea fi utilizate pentru eludarea controalelor;

(c) 

o dispoziție privind răspunderea utilizatorului, prin limitarea, în măsura posibilului, a utilizării conturilor de utilizator generice și partajate și prin asigurarea faptului că utilizatorii sunt identificabili pentru acțiunile pe care le efectuează în sistemele TIC în orice moment;

(d) 

o dispoziție privind restricțiile de acces la activele TIC, care să stabilească controalele și instrumentele de prevenire a accesului neautorizat;

(e) 

proceduri de gestionare a conturilor pentru acordarea, modificarea sau revocarea drepturilor de acces pentru conturile de utilizator și conturile generice, inclusiv pentru conturile de administrator generice, care conțin dispoziții privind toate elementele următoare:

(i) 

atribuirea rolurilor și a responsabilităților pentru acordarea, revizuirea și revocarea drepturilor de acces;

(ii) 

atribuirea accesului privilegiat, a accesului în situații de urgență și a accesului cu drepturi de administrator pe baza principiului necesității de a utiliza sau ad-hoc pentru toate sistemele TIC;

(iii) 

retragerea drepturilor de acces fără întârzieri nejustificate la încetarea contractului de muncă sau atunci când accesul nu mai este necesar;

(iv) 

actualizarea drepturilor de acces în cazul în care sunt necesare modificări și cel puțin o dată pe an pentru toate sistemele TIC, altele decât sistemele TIC care sprijină funcții critice sau importante și cel puțin o dată la 6 luni pentru sistemele TIC care sprijină funcții critice sau importante;

(f) 

metode de autentificare care includ toate elementele următoare:

(i) 

utilizarea unor metode de autentificare proporționale cu clasificarea stabilită în conformitate cu articolul 8 alineatul (1) din Regulamentul (UE) 2022/2554 și cu profilul general de risc al activelor TIC și luând în considerare cele mai avansate practici;

(ii) 

utilizarea unor metode de autentificare puternice în conformitate cu cele mai avansate practici și tehnici pentru accesul de la distanță la rețeaua entității financiare, pentru accesul privilegiat și pentru accesul la active TIC care sprijină funcții critice sau importante sau la active TIC accesibile publicului;

(g) 

măsuri de control al accesului fizic care includ:

(i) 

identificarea și înregistrarea persoanelor fizice autorizate să aibă acces la sedii, centre de date și zone sensibile desemnate identificate de entitatea financiară în care sunt situate activele TIC și informaționale;

(ii) 

acordarea drepturilor de acces fizic la activele TIC esențiale numai persoanelor autorizate, în conformitate cu principiul necesității de a cunoaște și al celor mai mici privilegii și ad-hoc;

(iii) 

monitorizarea accesului fizic la sedii, centre de date și zone sensibile desemnate identificate de entitatea financiară în care sunt se află activele TIC și/sau informaționale;

(iv) 

revizuirea drepturilor fizice de acces pentru a se asigura că se revocă prompt drepturile de acces inutile.

În sensul literei (e) punctul (i), entitățile financiare stabilesc perioada de păstrare, ținând seama de obiectivele în materie de securitate a activității și a informațiilor, de motivele înregistrării evenimentului în jurnal și de rezultatele evaluării riscurilor TIC.

În sensul literei (e) punctul (ii), entitățile financiare utilizează, în măsura posibilului, conturi specifice pentru îndeplinirea sarcinilor administrative legate de sistemele TIC. Atunci când este fezabil și adecvat, entitățile financiare implementează soluții automatizate pentru gestionarea accesului privilegiat.

În sensul literei (g) punctul (i), identificarea și jurnalizarea sunt proporționale cu importanța sediilor, a centrelor de date și a zonelor sensibile desemnate și cu caracterul critic al operațiunilor sau al sistemelor TIC situate în acestea.

În sensul literei (g) punctul (iii), monitorizarea este proporțională cu clasificarea stabilită în conformitate cu articolul 8 alineatul (1) din Regulamentul (UE) 2022/2554 și cu caracterul critic al zonei accesate.

1.1 Referințe

1.2 Cerințe identificate

1.3 Standarde asociate

2. Cerințe identificate

Cerințe

3. Standarde asociate

Standarde