+KAPITOLA II Politika ľudských zdrojov a kontrola prístupu
---+Článok 19 Politika ľudských zdrojov
---+Článok 20 Správa systému identifikačných dát
------+Článok 20 1.
------+Článok 20 2.
---+Článok 21 Kontrola prístupu

KAPITOLA II Politika ľudských zdrojov a kontrola prístupu

KAPITOLA II Politika ľudských zdrojov a kontrola prístupu

1. Prehľad

,
Článok 19 Politika ľudských zdrojov

Článok 19

Politika ľudských zdrojov

Finančné subjekty zahrnú do svojej politiky ľudských zdrojov alebo iných príslušných politík všetky tieto prvky súvisiace s bezpečnosťou IKT:

a) 

identifikácia a prideľovanie všetkých osobitných povinností v oblasti bezpečnosti IKT;

b) 

požiadavky na zamestnancov finančného subjektu a externých poskytovateľov IKT služieb, ktorí používajú IKT aktíva finančného subjektu alebo k nim majú prístup, zamerané na cieľ:

i) 

byť informovaný o politikách, postupoch a protokoloch finančného subjektu v oblasti bezpečnosti IKT a dodržiavať ich;

ii) 

poznať kanály nahlasovania zavedené finančným subjektom na odhaľovanie anomálneho správania vrátane prípadných kanálov nahlasovania vytvorených v súlade so smernicou Európskeho parlamentu a Rady (EÚ) 2019/1937 ( 1 );

iii) 

vrátiť finančnému subjektu po skončení pracovného pomeru zamestnancov všetky IKT aktíva a hmotné informačné aktíva, ktoré majú v držbe a ktoré patria finančnému subjektu.
Článok 20 Správa systému identifikačných dát -
Článok 21 Kontrola prístupu

Článok 21

Kontrola prístupu

Finančné subjekty v rámci svojej kontroly práv na riadenie prístupu vypracujú, zdokumentujú a vykonávajú politiku, ktorá obsahuje všetky tieto prvky:

a) 

prideľovanie prístupových práv k aktívam IKT na základe zásady potreby poznať (need-to-know), zásady potreby používať (need-to-use) a zásady minimálneho privilégia (least privilege principle), a to aj v prípade vzdialeného a núdzového prístupu;

b) 

segregácia povinností určených na zabránenie neoprávnenému prístupu ku kritickým údajom alebo na zabránenie prideľovaniu kombinácií prístupových práv, ktoré sa môžu použiť na obchádzanie kontrol;

c) 

ustanovenie o zodpovednosti používateľa tým, že sa v čo najväčšej možnej miere obmedzí používanie generických a spoločných používateľských účtov a zabezpečí sa, aby boli používatelia vždy identifikovateľní, pokiaľ ide o činnosti, ktoré v IKT systémoch vykonávajú;

d) 

ustanovenie o obmedzeniach prístupu k IKT aktívam, v ktorom sa stanovujú kontroly a nástroje na zabránenie neoprávnenému prístupu;

e) 

postupy riadenia účtov na účely udeľovania, zmeny alebo odoberania prístupových práv k používateľským a generickým účtom vrátane generických správcovských účtov, vrátane ustanovení o všetkých týchto prvkoch:

i) 

prideľovanie úloh a zodpovedností za udeľovanie, preskúmavanie a odoberanie prístupových práv;

ii) 

prideľovanie privilegovaného, núdzového a správcovského prístupu na základe potreby používať (need-to-use) alebo na ad hoc základe pre všetky IKT systémy;

iii) 

odobratie prístupových práv bez zbytočného odkladu po skončení pracovného pomeru, alebo ak prístup už nie je potrebný;

iv) 

aktualizácia prístupových práv, ak sú potrebné zmeny, a to aspoň raz ročne v prípade všetkých IKT systémov iných ako IKT systémy podporujúce kritické alebo dôležité funkcie a aspoň každých 6 mesiacov v prípade IKT systémov podporujúcich kritické alebo dôležité funkcie;

f) 

metódy autentifikácie vrátane všetkých týchto prvkov:

i) 

používanie metód autentifikácie zodpovedajúcich klasifikácii stanovenej v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554 a celkovému rizikovému profilu IKT aktív a s prihliadnutím na popredné postupy;

ii) 

používanie silných metód autentifikácie v súlade s poprednými postupmi a technikami v prípade vzdialeného prístupu do siete finančného subjektu, privilegovaného prístupu, prístupu k IKT aktívam podporujúcim kritické alebo dôležité funkcie alebo IKT aktívam, ktoré sú verejne prístupné;

g) 

opatrenia na kontrolu fyzického prístupu vrátane týchto prvkov:

i) 

identifikácia a vedenie záznamov o fyzických osobách, ktoré majú povolenie na prístup do priestorov, do dátových centier a citlivých určených oblastí identifikovaných finančným subjektom, v ktorých majú sídlo IKT a informačné aktíva;

ii) 

udeľovanie fyzických prístupových práv ku kritickým IKT aktívam len oprávneným osobám v súlade so zásadou potreba poznať (need-to-know) a zásadou minimálneho privilégia a na ad hoc základe;

iii) 

monitorovanie fyzického prístupu do priestorov, do dátových centier a citlivých určených oblastí identifikovaných finančným subjektom, v ktorých majú sídlo IKT a informačné aktíva alebo oboje;

iv) 

preskúmanie fyzických prístupových práv na zabezpečenie urýchleného odobratia nepotrebných prístupových práv.

Na účely písmena e) bodu i) finančné subjekty stanovia obdobie uchovávania, pričom zohľadnia obchodné ciele a ciele v oblasti informačnej bezpečnosti, dôvody zaznamenania udalosti do záznamových protokolov a výsledky posudzovania IKT rizika.

Na účely písmena e) bodu ii) finančné subjekty podľa možnosti používajú na plnenie administratívnych úloh týkajúcich sa IKT systémov osobitné účty. Ak je to uskutočniteľné a vhodné, finančné subjekty zavedú na riadenie privilegovaného prístupu automatizované riešenia.

Na účely písmena g) bodu i) zodpovedá identifikácia a vedenie záznamov významu priestorov, dátových centier, citlivých určených oblastí a kritickosti operácií alebo IKT systémov, ktoré sa v nich nachádzajú.

Na účely písmena g) bodu iii) zodpovedá monitorovanie klasifikácii stanovenej v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554 a kritickosti oblasti, do ktorej sa pristupuje.

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace štandardy

Štandardy
  • Builddate: 25.06.2024 00:00:00 -Doknr: CELEX:32024R1774
  • EULAW -

    EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

    DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.