+KAPITOLA II Politika ľudských zdrojov a kontrola prístupu
---+Článok 19 Politika ľudských zdrojov
---+Článok 20 Správa systému identifikačných dát
------+Článok 20 1.
------+Článok 20 2.
---+Článok 21 Kontrola prístupu

KAPITOLA II Politika ľudských zdrojov a kontrola prístupu

KAPITOLA II Politika ľudských zdrojov a kontrola prístupu

1. Prehľad

,
Článok 19 Politika ľudských zdrojov

Článok 19

Politika ľudských zdrojov

Finančné subjekty zahrnú do svojej politiky ľudských zdrojov alebo iných príslušných politík všetky tieto prvky súvisiace s bezpečnosťou IKT:

a) 

identifikácia a prideľovanie všetkých osobitných povinností v oblasti bezpečnosti IKT;

b) 

požiadavky na zamestnancov finančného subjektu a externých poskytovateľov IKT služieb, ktorí používajú IKT aktíva finančného subjektu alebo k nim majú prístup, zamerané na cieľ:

i) 

byť informovaný o politikách, postupoch a protokoloch finančného subjektu v oblasti bezpečnosti IKT a dodržiavať ich;

ii) 

poznať kanály nahlasovania zavedené finančným subjektom na odhaľovanie anomálneho správania vrátane prípadných kanálov nahlasovania vytvorených v súlade so smernicou Európskeho parlamentu a Rady (EÚ) 2019/1937 ( 1 );

iii) 

vrátiť finančnému subjektu po skončení pracovného pomeru zamestnancov všetky IKT aktíva a hmotné informačné aktíva, ktoré majú v držbe a ktoré patria finančnému subjektu.
Článok 20 Správa systému identifikačných dát -
Článok 21 Kontrola prístupu

Článok 21

Kontrola prístupu

Finančné subjekty v rámci svojej kontroly práv na riadenie prístupu vypracujú, zdokumentujú a vykonávajú politiku, ktorá obsahuje všetky tieto prvky:

a) 

prideľovanie prístupových práv k aktívam IKT na základe zásady potreby poznať (need-to-know), zásady potreby používať (need-to-use) a zásady minimálneho privilégia (least privilege principle), a to aj v prípade vzdialeného a núdzového prístupu;

b) 

segregácia povinností určených na zabránenie neoprávnenému prístupu ku kritickým údajom alebo na zabránenie prideľovaniu kombinácií prístupových práv, ktoré sa môžu použiť na obchádzanie kontrol;

c) 

ustanovenie o zodpovednosti používateľa tým, že sa v čo najväčšej možnej miere obmedzí používanie generických a spoločných používateľských účtov a zabezpečí sa, aby boli používatelia vždy identifikovateľní, pokiaľ ide o činnosti, ktoré v IKT systémoch vykonávajú;

d) 

ustanovenie o obmedzeniach prístupu k IKT aktívam, v ktorom sa stanovujú kontroly a nástroje na zabránenie neoprávnenému prístupu;

e) 

postupy riadenia účtov na účely udeľovania, zmeny alebo odoberania prístupových práv k používateľským a generickým účtom vrátane generických správcovských účtov, vrátane ustanovení o všetkých týchto prvkoch:

i) 

prideľovanie úloh a zodpovedností za udeľovanie, preskúmavanie a odoberanie prístupových práv;

ii) 

prideľovanie privilegovaného, núdzového a správcovského prístupu na základe potreby používať (need-to-use) alebo na ad hoc základe pre všetky IKT systémy;

iii) 

odobratie prístupových práv bez zbytočného odkladu po skončení pracovného pomeru, alebo ak prístup už nie je potrebný;

iv) 

aktualizácia prístupových práv, ak sú potrebné zmeny, a to aspoň raz ročne v prípade všetkých IKT systémov iných ako IKT systémy podporujúce kritické alebo dôležité funkcie a aspoň každých 6 mesiacov v prípade IKT systémov podporujúcich kritické alebo dôležité funkcie;

f) 

metódy autentifikácie vrátane všetkých týchto prvkov:

i) 

používanie metód autentifikácie zodpovedajúcich klasifikácii stanovenej v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554 a celkovému rizikovému profilu IKT aktív a s prihliadnutím na popredné postupy;

ii) 

používanie silných metód autentifikácie v súlade s poprednými postupmi a technikami v prípade vzdialeného prístupu do siete finančného subjektu, privilegovaného prístupu, prístupu k IKT aktívam podporujúcim kritické alebo dôležité funkcie alebo IKT aktívam, ktoré sú verejne prístupné;

g) 

opatrenia na kontrolu fyzického prístupu vrátane týchto prvkov:

i) 

identifikácia a vedenie záznamov o fyzických osobách, ktoré majú povolenie na prístup do priestorov, do dátových centier a citlivých určených oblastí identifikovaných finančným subjektom, v ktorých majú sídlo IKT a informačné aktíva;

ii) 

udeľovanie fyzických prístupových práv ku kritickým IKT aktívam len oprávneným osobám v súlade so zásadou potreba poznať (need-to-know) a zásadou minimálneho privilégia a na ad hoc základe;

iii) 

monitorovanie fyzického prístupu do priestorov, do dátových centier a citlivých určených oblastí identifikovaných finančným subjektom, v ktorých majú sídlo IKT a informačné aktíva alebo oboje;

iv) 

preskúmanie fyzických prístupových práv na zabezpečenie urýchleného odobratia nepotrebných prístupových práv.

Na účely písmena e) bodu i) finančné subjekty stanovia obdobie uchovávania, pričom zohľadnia obchodné ciele a ciele v oblasti informačnej bezpečnosti, dôvody zaznamenania udalosti do záznamových protokolov a výsledky posudzovania IKT rizika.

Na účely písmena e) bodu ii) finančné subjekty podľa možnosti používajú na plnenie administratívnych úloh týkajúcich sa IKT systémov osobitné účty. Ak je to uskutočniteľné a vhodné, finančné subjekty zavedú na riadenie privilegovaného prístupu automatizované riešenia.

Na účely písmena g) bodu i) zodpovedá identifikácia a vedenie záznamov významu priestorov, dátových centier, citlivých určených oblastí a kritickosti operácií alebo IKT systémov, ktoré sa v nich nachádzajú.

Na účely písmena g) bodu iii) zodpovedá monitorovanie klasifikácii stanovenej v súlade s článkom 8 ods. 1 nariadenia (EÚ) 2022/2554 a kritickosti oblasti, do ktorej sa pristupuje.

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace štandardy

Štandardy