+POGLAVJE II Kadrovska politika in nadzor dostopa
---+Člen 19 Kadrovska politika
---+Člen 20 Upravljanje identitete
------+Člen 20 1.
------+Člen 20 2.
---+Člen 21 Nadzor dostopa
|
POGLAVJE II Kadrovska politika in nadzor dostopa
POGLAVJE II Kadrovska politika in nadzor dostopa
1. Pregled
| Naslov |
Regulativa |
|
Člen 19 Kadrovska politika
|
Člen 19
Finančni subjekti v svojo kadrovsko politiko ali druge ustrezne politike vključijo vse naslednje elemente, povezane z varnostjo IKT:
(a)
opredelitev in dodelitev morebitnih posebnih odgovornosti na področju varnosti IKT;
(b)
zahteve za zaposlene v finančnem subjektu in pri tretjih ponudnikih storitev IKT, ki uporabljajo sredstva IKT finančnega subjekta ali dostopajo do njih, da:
(i)
so obveščeni o varnostnih politikah, postopkih in protokolih finančnega subjekta na področju IKT ter jih upoštevajo;
(ii)
so seznanjeni s kanali za prijavo, ki jih je vzpostavil finančni subjekt za odkrivanje neobičajnega ravnanja, vključno s kanali za prijavo, vzpostavljenimi v skladu z Direktivo (EU) 2019/1937 Evropskega parlamenta in Sveta (
1
), kadar je ustrezno;
(iii)
zaposleni ob prenehanju zaposlitve finančnemu subjektu vrnejo vsa sredstva IKT in oprijemljiva informacijska sredstva, ki jih imajo v posesti in pripadajo finančnemu subjektu.
|
|
Člen 20 Upravljanje identitete
|
-
|
|
Člen 21 Nadzor dostopa
|
Člen 21
Finančni subjekti v okviru svojega nadzora pravic upravljanja dostopa razvijejo, dokumentirajo in izvajajo politiko, ki vsebuje vse naslednje:
(a)
dodelitev pravic dostopa do sredstev IKT na podlagi načel potrebe po seznanitvi, potrebe po uporabi in delovanja ob najmanjših privilegijih, vključno za oddaljeni dostop in dostop v sili;
(b)
ločevanje nalog, zasnovano za preprečevanje neupravičenega dostopa do kritičnih podatkov ali preprečevanje dodelitve kombinacij pravic dostopa, ki se lahko uporabijo za izogibanje kontrolam;
(c)
določbo o sledljivosti aktivnosti uporabniškega računa, tako da se čim bolj omeji uporaba generičnih in skupnih uporabniških računov ter zagotovi, da je uporabnike vedno mogoče prepoznati za dejanja, ki se izvajajo v sistemih IKT;
(d)
določbo o omejitvah dostopa do sredstev IKT, ki določa kontrole in orodja za preprečevanje nepooblaščenega dostopa;
(e)
postopke za upravljanje računov za podelitev, spremembo ali preklic pravic dostopa za uporabniške in generične račune, tudi za generične skrbniške račune, vključno z določbami o vsem naslednjem:
(i)
dodelitvi vlog in odgovornosti za podeljevanje, pregled in preklic pravic dostopa;
(ii)
dodelitvi prednostnega, nujnega in skrbniškega dostopa na podlagi potrebe po uporabi ali na priložnostni podlagi za vse sisteme IKT;
(iii)
odvzemu pravic dostopa brez nepotrebnega odlašanja ob prenehanju delovnega razmerja ali ko dostop ni več potreben;
(iv)
posodobitvi pravic dostopa, kadar so potrebne spremembe in vsaj enkrat letno za vse sisteme IKT, razen sistemov IKT, ki podpirajo kritične ali pomembne funkcije, in vsaj vsakih šest mesecev za sisteme IKT, ki podpirajo kritične ali pomembne funkcije;
(f)
metode avtentikacije, vključno z vsem naslednjim:
(i)
uporabo metod avtentikacije, ki so sorazmerne z razvrstitvijo, določeno v skladu s členom 8(1) Uredbe (EU) 2022/2554, in splošnim profilom tveganja sredstev IKT ter ob upoštevanju vodilnih praks;
(ii)
uporabo metod močne avtentikacije za oddaljeni dostop do omrežja finančnega subjekta, za prednostni dostop, za dostop do sredstev IKT, ki podpirajo kritične ali pomembne funkcije, ali sredstev IKT, ki so javno dostopna, v skladu z vodilnimi praksami in tehnikami;
(g)
ukrepe za nadzor fizičnega dostopa, ki vključujejo:
(i)
identifikacijo in evidentiranje fizičnih oseb, ki so pooblaščene za dostop do prostorov, podatkovnih centrov in občutljivih namenskih območij, ki jih določi finančni subjekt, kjer so nameščena sredstva IKT in informacijska sredstva;
(ii)
podelitev pravic fizičnega dostopa do ključnih sredstev IKT samo pooblaščenim osebam v skladu z načelom potrebe po seznanitvi in načelom delovanja ob najmanjših privilegijih ter na priložnostni podlagi;
(iii)
spremljanje fizičnega dostopa do prostorov, podatkovnih centrov in občutljivih namenskih območij, ki jih določi finančni subjekt, kjer so nameščena sredstva IKT in informacijska sredstva ali oboje;
(iv)
pregled pravic fizičnega dostopa, da se zagotovi takojšen preklic nepotrebnih pravic dostopa.
Za namene točke (e)(i) finančni subjekti določijo obdobje hrambe, pri čemer upoštevajo poslovne cilje in cilje glede informacijske varnosti, razloge za zabeleženje dogodka v dnevnike in rezultate ocene tveganja na področju IKT.
Za namene točke (e)(ii) finančni subjekti, kadar je to mogoče, uporabljajo namenske račune za izvajanje skrbniških nalog v zvezi s sistemi IKT. Kadar je to izvedljivo in primerno, finančni subjekti uvedejo avtomatizirane rešitve za upravljanje prednostnega dostopa.
Za namene točke (g)(i) sta identifikacija in evidentiranje sorazmerna s pomembnostjo prostorov, podatkovnih centrov in občutljivih namenskih območij ter kritičnostjo operacij ali sistemov IKT, ki se nahajajo v njih.
Za namene točke (g)(iii) je spremljanje sorazmerno z razvrstitvijo, določeno v skladu s členom 8(1) Uredbe (EU) 2022/2554, in kritičnostjo območja, do katerega se dostopa.
|
,
1.1 Sklici
1.2 Ugotovljene zahteve
1.3 Povezani standardi
2. Ugotovljene zahteve
3. Povezani standardi
|