+Account Management

Account Management

Establish procedures for granting, changing, and revoking access rights, specifying roles and responsibilities. Define retention periods for access logs. Assign privileged, emergency, and administrator access on a need-to-use or ad-hoc basis, with automated solutions for privilege access management. Withdraw access rights promptly upon termination of employment or when no longer required. Conduct periodic reviews of access rights, ensuring at least annual reviews for non-critical ICT systems and semi-annual reviews for critical systems.

1. Prehľad

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace predpisy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace predpisy

Predpisy
EULAW Článok 20 1.
Ako súčasť svojej kontroly práv na riadenie prístupu finančné subjekty vypracujú, zdokumentujú a vykonávajú politiky a postupy riadenia systému identifikačných dát, ktoré zabezpečujú jedinečnú identifikáciu a autentifikáciu fyzických osôb a systémov, ktoré majú prístup k informáciám finančných subjektov, s cieľom umožniť prideľovanie prístupových práv používateľov v súlade s článkom 21.
EULAW Článok 20 2.

Politiky a postupy riadenia systému identifikačných dát uvedené v odseku 1 obsahujú všetky tieto prvky:

a) 

pridelenie jedinečnej totožnosti zodpovedajúcej jedinečnému používateľskému účtu bez toho, aby bol dotknutý článok 21 prvého pododseku 1 písm. c), každému zamestnancovi finančného subjektu alebo všetkým zamestnancom externých poskytovateľov IKT služieb, ktorí majú prístup k informačným aktívam a IKT aktívam finančného subjektu;

b) 

proces riadenia životného cyklu v prípade totožností a účtov, ktorými sa riadi vytváranie, zmena, preskúmanie a aktualizácia, dočasná deaktivácia a ukončenie všetkých účtov.

Na účely písmena a) finančné subjekty vedú záznamy o všetkých prideleniach totožnosti. Uvedené záznamy sa uchovávajú po reorganizácii finančného subjektu alebo po skončení zmluvného vzťahu bez toho, aby boli dotknuté požiadavky na uchovávanie stanovené v uplatniteľnom práve Únie a vo vnútroštátnom práve.

Na účely písmena b) finančné subjekty, ak je to možné a vhodné, zavedú automatizované riešenia pre proces riadenia systému identifikačných dát počas životného cyklu.
EULAW Článok 21 Kontrola prístupu

Článok 21

Kontrola prístupu

Finančné subjekty v rámci svojej kontroly práv na riadenie prístupu vypracujú, zdokumentujú a vykonávajú politiku, ktorá obsahuje všetky tieto prvky:

a) 

prideľovanie prístupových práv k aktívam IKT na základe zásady potreby poznať (need-to-know), zásady potreby používať (need-to-use) a zásady minimálneho privilégia (least privilege principle), a to aj v prípade vzdialeného a núdzového prístupu;

b) 

segregácia povinností určených na zabránenie neoprávnenému prístupu ku kritickým údajom alebo na zabránenie prideľovaniu kombinácií prístupových práv, ktoré sa môžu použiť na obchádzanie kontrol;

c) 

ustanovenie o zodpovednosti používateľa tým, že sa v čo najväčšej možnej miere obmedzí používanie generických a spoločných používateľských účtov a zabezpečí sa, aby boli používatelia vždy identifikovateľní, pokiaľ ide o činnosti, ktoré v IKT systémoch vykonávajú;

d) 

ustanovenie o obmedzeniach prístupu k IKT aktívam, v ktorom sa stanovujú kontroly a nástroje na zabránenie neoprávnenému prístupu;

e) 

postupy riadenia účtov na účely udeľovania, zmeny alebo odoberania prístupových práv k používateľským a generickým účtom vrátane generických správcovských účtov, vrátane ustanovení o všetkých týchto prvkoch:

i) 

prideľovanie úloh a zodpovedností za udeľovanie, preskúmavanie a odoberanie prístupových práv;

ii) 

prideľovanie privilegovaného, núdzového a správcovského prístupu na základe potreby používať (need-to-use) alebo na ad hoc základe pre všetky IKT systémy;

iii) 

odobratie prístupových práv bez zbytočného odkladu po skončení pracovného pomeru, alebo ak prístup už nie je potrebný;

iv) 

aktualizácia prístupových práv, ak sú potrebné zmeny, a to aspoň raz ročne v prípade všetkých IKT systémov iných ako IKT systémy podporujúce kritické alebo dôležité funkcie a aspoň každých 6 mesiacov v prípade IKT systémov podporujúcich kritické alebo dôležité funkcie;

f) 

metódy autentifikácie vrátane všetkých týchto prvkov:

i) 

používanie metód autentifikácie zodpovedajúcich klasifikácii stanovenej v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554 a celkovému rizikovému profilu IKT aktív a s prihliadnutím na popredné postupy;

ii) 

používanie silných metód autentifikácie v súlade s poprednými postupmi a technikami v prípade vzdialeného prístupu do siete finančného subjektu, privilegovaného prístupu, prístupu k IKT aktívam podporujúcim kritické alebo dôležité funkcie alebo IKT aktívam, ktoré sú verejne prístupné;

g) 

opatrenia na kontrolu fyzického prístupu vrátane týchto prvkov:

i) 

identifikácia a vedenie záznamov o fyzických osobách, ktoré majú povolenie na prístup do priestorov, do dátových centier a citlivých určených oblastí identifikovaných finančným subjektom, v ktorých majú sídlo IKT a informačné aktíva;

ii) 

udeľovanie fyzických prístupových práv ku kritickým IKT aktívam len oprávneným osobám v súlade so zásadou potreba poznať (need-to-know) a zásadou minimálneho privilégia a na ad hoc základe;

iii) 

monitorovanie fyzického prístupu do priestorov, do dátových centier a citlivých určených oblastí identifikovaných finančným subjektom, v ktorých majú sídlo IKT a informačné aktíva alebo oboje;

iv) 

preskúmanie fyzických prístupových práv na zabezpečenie urýchleného odobratia nepotrebných prístupových práv.

Na účely písmena e) bodu i) finančné subjekty stanovia obdobie uchovávania, pričom zohľadnia obchodné ciele a ciele v oblasti informačnej bezpečnosti, dôvody zaznamenania udalosti do záznamových protokolov a výsledky posudzovania IKT rizika.

Na účely písmena e) bodu ii) finančné subjekty podľa možnosti používajú na plnenie administratívnych úloh týkajúcich sa IKT systémov osobitné účty. Ak je to uskutočniteľné a vhodné, finančné subjekty zavedú na riadenie privilegovaného prístupu automatizované riešenia.

Na účely písmena g) bodu i) zodpovedá identifikácia a vedenie záznamov významu priestorov, dátových centier, citlivých určených oblastí a kritickosti operácií alebo IKT systémov, ktoré sa v nich nachádzajú.

Na účely písmena g) bodu iii) zodpovedá monitorovanie klasifikácii stanovenej v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554 a kritickosti oblasti, do ktorej sa pristupuje.