DORA · Správa identít a prístupu
Urobte z riadenia prístupov
súčasť prevádzkovej odolnosti.
DORA sa uplatňuje od 17. januára 2025. Vo finančných subjektoch sú záznamy o identitách, prístupových právach a ich odobratí súčasťou rámca riadenia IKT rizík.
Prečítajte si podrobného sprievodcu DORA Pozrite si auditné podklady
Overte, ktoré pravidlá sa na vás vzťahujú
Nariadenie (EÚ) 2022/2554 vymedzuje kategórie subjektov a výnimky v článku 2. V článku 4 sa stanovuje proporcionalita. Na niektoré subjekty sa vzťahuje zjednodušený rámec riadenia rizík IKT v článku 16. Nepredpokladajte, že každá finančná organizácia má rovnaké povinnosti alebo že ich malá veľkosť automaticky ruší.
DORA je priamo uplatniteľné nariadenie. Aj tak treba určiť príslušný orgán dohľadu a overiť súvisiace vnútroštátne ustanovenia o dohľade a presadzovaní pravidiel. Kritickí poskytovatelia IKT služieb z tretích strán majú osobitný rámec dohľadu. Nemožno ich preto jednoducho považovať za ďalšiu kategóriu finančných subjektov.
Čo znamená článok 9 ods. 4 písm. c) pre prístup
Prístup k IKT aktívam musí byť obmedzený na to, čo vyžadujú oprávnené a schválené činnosti. Finančné subjekty musia zaviesť pravidlá, postupy a opatrenia na správu prístupových práv a účtov. Súvisiace Delegované nariadenie (EÚ) 2024/1774 stanovuje ďalšie požiadavky na správu identít a kontrolu prístupu v článkoch 20 a 21 pre rámec, na ktorý sa tieto ustanovenia vzťahujú.
Podklady o riadení prístupov majú prepájať identitu osoby alebo systému s účtami, schváleniami, aktuálnymi oprávneniami a zmenami počas životného cyklu. Rozhodnutie v schvaľovacom procese treba odlíšiť od výsledku v cieľovom systéme.
Ako overiť splnenie požiadaviek
| Oblasť | Požiadavka, ktorú treba splniť | Príklad podkladov |
|---|---|---|
| Životný cyklus identity | Spravujte životný cyklus identít a účtov vrátane vytvorenia, zmien, kontrol, dočasného zablokovania a zrušenia. | Prepojenie identity s účtom, zodpovedný vlastník a časové záznamy jednotlivých zmien. |
| Minimálne oprávnenia a oddelenie povinností | Uplatňujte zásady prístupu iba k potrebným údajom a funkciám a prideľujte iba nevyhnutné oprávnenia. Zabezpečte oddelenie povinností a zodpovedností. | Definície rolí, schválenia, riešenie konfliktov a kontrolované výnimky. |
| Prístup už nie je potrebný | Po ukončení spolupráce alebo zániku potreby odoberte práva bez zbytočného odkladu. | Záznam o odchode alebo zmene roly, výsledok odobratia prístupov a nevyriešené výnimky. |
| Skontrolujte a aktualizujte | Práva aktualizujte podľa potreby. Pri plnom rámci rozlišujte požiadavky na kontrolu najmenej raz ročne a najmenej raz za šesť mesiacov. | Kritickosť systému, rozsah kontroly, rozhodnutia a záznamy o následných krokoch a ich dokončení. |
| Silná autentifikácia | Zabezpečte vzdialený a privilegovaný prístup aj ďalšie prípady prístupu ku kritickým alebo exponovaným systémom uvedené v článku 21 písm. f). | IdP a konfigurácia aplikácie, vynútené metódy a testované pokrytie. |
Výsledky testov vrátane zlyhaní
Pilotné nasadenie má overiť viac než schvaľovaciu obrazovku. Vyberte kritickú alebo dôležitú funkciu, určte systémy, ktoré ju podporujú, a zosúlaďte účty s oprávneniami. Predveďte udelenie nového prístupu, zmenu roly, odchod zamestnanca aj prácu s privilegovaným účtom. Potvrďte výsledok v cieľovom systéme a zaznamenajte, komu sa odovzdá prípad neúspešnej operácie alebo nedostupného konektora.
Jasne určte zodpovednosť za nedokončené úlohy. Export, ktorý dokladá schválenie odobratia prístupu, nepotvrdzuje, že bol prístup skutočne odobratý. Ani záznam o identite sám osebe nedokladá kontrolu každej aktívnej relácie, lokálneho účtu či núdzového prístupu.
Kde easyIGA pomáha a aké má obmedzenia
easyIGA je nadstavba nad midPointom pre bežných používateľov. Žiadosti, kontroly prístupov, určovanie vlastníkov a auditné záznamy posudzujte podľa svojho rozsahu a podporovaných konektorov. Auditné záznamy môžu podporiť riadenie IKT rizík, ak si overíte ich rozsah a kvalitu údajov.
IGA nenahrádza trezor privilegovaných prihlasovacích údajov, správu privilegovaných relácií, hlásenie incidentov, testovanie odolnosti ani riadenie rizík dodávateľov IKT služieb. Pri obstarávaní treba posúdiť aj hranice bezpečnostných opatrení a spracúvania údajov. Žiadny produkt nezaručuje súlad s predpismi ani priaznivý výsledok dohľadu.
Primárne zdroje
- EUR-Lex: DORA, články 2, 4, 9, 16 a 64
- EUR-Lex: Delegované nariadenie 2024/1774, články 20 až 21 a zjednodušené rámcové ustanovenia
Zdroje overené 12. septembra 2026. Prečítajte si úplného sprievodcu, ktorý podrobnejšie rozoberá implementáciu.