+Account Management

Account Management

Establish procedures for granting, changing, and revoking access rights, specifying roles and responsibilities. Define retention periods for access logs. Assign privileged, emergency, and administrator access on a need-to-use or ad-hoc basis, with automated solutions for privilege access management. Withdraw access rights promptly upon termination of employment or when no longer required. Conduct periodic reviews of access rights, ensuring at least annual reviews for non-critical ICT systems and semi-annual reviews for critical systems.

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade regleringar

2. Identifierade krav

Krav

3. Relaterade regleringar

Regleringar
EULAW Artikel 20 1.
Som en del av sin kontroll av rättigheter till åtkomsthantering ska finansiella entiteter utarbeta, dokumentera och genomföra strategier och förfaranden för identitetshantering som säkerställer unik identifiering och autentisering av fysiska personer och system som har åtkomst till den finansiella entitetens information, i syfte att möjliggöra tilldelning av åtkomsträttigheter för användare i enlighet med artikel 21.
EULAW Artikel 20 2.

De strategier och förfaranden för identitetshantering som avses i punkt 1 ska innehålla allt av följande:

a) 

Utan att det påverkar tillämpningen av artikel 21 första stycket c, en unik identitet som motsvarar ett unikt användarkonto och som tilldelas varje anställd i den finansiella entiteten eller varje anställd hos tredjepartsleverantörer av IKT-tjänster som har åtkomst till den finansiella entitetens informationstillgångar och IKT-tillgångar.

b) 

En process för livscykelhantering av identiteter och konton som hanterar skapande, ändring, granskning och uppdatering, tillfällig inaktivering och avslutande av alla konton.

Vid tillämpning av led a ska finansiella entiteter föra register över alla identitetstilldelningar. Dessa register ska bevaras efter en omorganisation av den finansiella entiteten eller efter det att avtalsförhållandet har upphört, utan att det påverkar de krav på bevarande som fastställs i tillämplig unionsrätt och nationell rätt.

Vid tillämpning av led b ska finansiella entiteter, när så är möjligt och lämpligt, införa automatiserade lösningar för processen för livscykelhantering av identiteter.
EULAW Artikel 21 Åtkomstkontroll

Artikel 21

Åtkomstkontroll

Som en del av sin kontroll av rättigheter till åtkomsthantering ska finansiella entiteter utarbeta, dokumentera och genomföra en policy som innehåller allt av följande:

a) 

Tilldelning av åtkomsträttigheter till IKT-tillgångar baserat på principerna om behovsenlig behörighet, behovsenlig användning och minsta möjliga behörighet, inklusive för fjärråtkomst och nödåtkomst.

b) 

Åtskillnad av arbetsuppgifter för att förhindra omotiverad åtkomst till kritiska uppgifter eller för att förhindra tilldelning av kombinationer av åtkomsträttigheter som kan användas för att kringgå kontroller.

c) 

En bestämmelse om användares ansvarsskyldighet, genom att i möjligaste mån begränsa användningen av generiska och delade användarkonton och säkerställa att användarna alltid kan identifieras när åtgärder utförs i IKT-systemen.

d) 

En bestämmelse om begränsningar av åtkomst till IKT-tillgångar, med angivande av kontroller och verktyg för att förhindra obehörig åtkomst.

e) 

Förfaranden för kontohantering för att bevilja, ändra eller återkalla åtkomsträttigheter för användarkonton och generiska konton, även generiska administratörskonton, inklusive bestämmelser om

i) 

tilldelning av roller och ansvarsområden för att bevilja, granska och återkalla åtkomsträttigheter,

ii) 

tilldelning av privilegierad åtkomst, nödåtkomst och administratörsåtkomst efter behov eller från fall till fall och för samtliga IKT-system,

iii) 

återkallande av åtkomsträttigheter utan onödigt dröjsmål när anställningen upphör eller när åtkomsten inte längre är nödvändig,

iv) 

uppdatering av åtkomsträttigheter när ändringar krävs och minst en gång per år för samtliga IKT-system, utom för IKT-system som stöder kritiska eller viktiga funktioner där uppdateringen ska ske minst var sjätte månad.

f) 

Autentiseringsmetoder, inklusive

i) 

användning av autentiseringsmetoder som står i proportion till den klassificering som fastställts i enlighet med artikel 8.1 i förordning (EU) 2022/2554 och till IKT-tillgångarnas allmänna riskprofil och med beaktande av ledande praxis,

ii) 

användning av robusta metoder för autentisering i enlighet med ledande praxis och teknik för fjärråtkomst till den finansiella entitetens nätverk, för privilegierad åtkomst och för åtkomst till IKT-tillgångar som stöder kritiska eller viktiga funktioner eller IKT-tillgångar som är allmänt tillgängliga.

g) 

Åtgärder för fysisk åtkomstkontroll, inklusive

i) 

identifiering och loggning av fysiska personer som är behöriga att få tillträde till lokaler, datacentraler och känsliga angivna områden som identifierats av den finansiella entiteten där IKT-tillgångar och informationstillgångar finns,

ii) 

beviljande av fysiska åtkomsträttigheter till kritiska IKT-tillgångar endast för behöriga personer, i enlighet med principerna om behovsenlig behörighet och minsta möjliga behörighet, och från fall till fall,

iii) 

övervakning av fysiskt tillträde till lokaler, datacentraler och känsliga angivna områden som identifierats av den finansiella entiteten där IKT-tillgångar och informationstillgångar eller bådadera finns,

iv) 

granskning av fysiska åtkomsträttigheter för att säkerställa att onödiga åtkomsträttigheter omedelbart återkallas.

Vid tillämpning av led e i ska finansiella entiteter fastställa lagringstiden med beaktande av verksamhets- och informationssäkerhetsmålen, skälen till att händelsen registreras i loggarna och resultaten av IKT-riskbedömningen.

Vid tillämpning av led e ii ska finansiella entiteter, när så är möjligt, använda särskilda konton för att utföra administrativa uppgifter på IKT-system. När så är möjligt och lämpligt ska finansiella entiteter införa automatiserade lösningar för hantering av privilegierad åtkomst.

Vid tillämpning av led g i ska identifieringen och loggningen stå i proportion till hur viktiga lokalerna, datacentralerna och de känsliga angivna områdena är och hur kritiska de verksamheter eller IKT-system som finns där är.

Vid tillämpning av led g iii ska övervakningen stå i proportion till den klassificering som fastställts i enlighet med artikel 8.1 i förordning (EU) 2022/2554 och hur kritiskt det område är till vilket åtkomst ges.