DORA · Správa identít a prístupu # Urobte z riadenia prístupov súčasť prevádzkovej odolnosti. DORA sa uplatňuje od 17. januára 2025. Vo finančných subjektoch sú záznamy o identitách, prístupových právach a ich odobratí súčasťou rámca riadenia IKT rizík. [Prečítajte si podrobného sprievodcu DORA](https://easyiga.com/sk/blog/dora-a-riadenie-pristupov) [Pozrite si auditné podklady](https://easyiga.com/sk/ukazka) ## Overte, ktoré pravidlá sa na vás vzťahujú [Nariadenie (EÚ) 2022/2554](https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng) vymedzuje kategórie subjektov a výnimky v článku 2. V článku 4 sa stanovuje proporcionalita. Na niektoré subjekty sa vzťahuje zjednodušený rámec riadenia rizík IKT v článku 16. Nepredpokladajte, že každá finančná organizácia má rovnaké povinnosti alebo že ich malá veľkosť automaticky ruší. DORA je priamo uplatniteľné nariadenie. Aj tak treba určiť príslušný orgán dohľadu a overiť súvisiace vnútroštátne ustanovenia o dohľade a presadzovaní pravidiel. Kritickí poskytovatelia IKT služieb z tretích strán majú osobitný rámec dohľadu. Nemožno ich preto jednoducho považovať za ďalšiu kategóriu finančných subjektov. ## Čo znamená článok 9 ods. 4 písm. c) pre prístup Prístup k IKT aktívam musí byť obmedzený na to, čo vyžadujú oprávnené a schválené činnosti. Finančné subjekty musia zaviesť pravidlá, postupy a opatrenia na správu prístupových práv a účtov. Súvisiace [Delegované nariadenie (EÚ) 2024/1774](https://eur-lex.europa.eu/eli/reg_del/2024/1774/oj/eng) stanovuje ďalšie požiadavky na správu identít a kontrolu prístupu v článkoch 20 a 21 pre rámec, na ktorý sa tieto ustanovenia vzťahujú. Podklady o riadení prístupov majú prepájať identitu osoby alebo systému s účtami, schváleniami, aktuálnymi oprávneniami a zmenami počas životného cyklu. Rozhodnutie v schvaľovacom procese treba odlíšiť od výsledku v cieľovom systéme. ## Dôležité rozlíšenie V plnom rámci sa prístupové práva aktualizujú podľa potreby. Pri systémoch podporujúcich kritické alebo dôležité funkcie najmenej raz za šesť mesiacov, pri ostatných IKT systémoch najmenej raz ročne. Určte kategóriu funkcie, ktorú systém podporuje. Harmonogram založený iba na tom, či je účet privilegovaný, toto rozlíšenie nemusí zachytiť. Uplatnite pravidlá rámca, ktorý sa vzťahuje na váš subjekt. ## Ako overiť splnenie požiadaviek Vybrané požiadavky z delegovaného nariadenia 2024/1774, články 20 až 21; nejde o úplné hodnotenie DORA. | Oblasť | Požiadavka, ktorú treba splniť | Príklad podkladov | Životný cyklus identity | Spravujte životný cyklus identít a účtov vrátane vytvorenia, zmien, kontrol, dočasného zablokovania a zrušenia. | Prepojenie identity s účtom, zodpovedný vlastník a časové záznamy jednotlivých zmien. | Minimálne oprávnenia a oddelenie povinností | Uplatňujte zásady prístupu iba k potrebným údajom a funkciám a prideľujte iba nevyhnutné oprávnenia. Zabezpečte oddelenie povinností a zodpovedností. | Definície rolí, schválenia, riešenie konfliktov a kontrolované výnimky. | Prístup už nie je potrebný | Po ukončení spolupráce alebo zániku potreby odoberte práva bez zbytočného odkladu. | Záznam o odchode alebo zmene roly, výsledok odobratia prístupov a nevyriešené výnimky. | Skontrolujte a aktualizujte | Práva aktualizujte podľa potreby. Pri plnom rámci rozlišujte požiadavky na kontrolu najmenej raz ročne a najmenej raz za šesť mesiacov. | Kritickosť systému, rozsah kontroly, rozhodnutia a záznamy o následných krokoch a ich dokončení. | Silná autentifikácia | Zabezpečte vzdialený a privilegovaný prístup aj ďalšie prípady prístupu ku kritickým alebo exponovaným systémom uvedené v článku 21 písm. f). | IdP a konfigurácia aplikácie, vynútené metódy a testované pokrytie. ## Výsledky testov vrátane zlyhaní Pilotné nasadenie má overiť viac než schvaľovaciu obrazovku. Vyberte kritickú alebo dôležitú funkciu, určte systémy, ktoré ju podporujú, a zosúlaďte účty s oprávneniami. Predveďte udelenie nového prístupu, zmenu roly, odchod zamestnanca aj prácu s privilegovaným účtom. Potvrďte výsledok v cieľovom systéme a zaznamenajte, komu sa odovzdá prípad neúspešnej operácie alebo nedostupného konektora. Jasne určte zodpovednosť za nedokončené úlohy. Export, ktorý dokladá schválenie odobratia prístupu, nepotvrdzuje, že bol prístup skutočne odobratý. Ani záznam o identite sám osebe nedokladá kontrolu každej aktívnej relácie, lokálneho účtu či núdzového prístupu. ## Kde easyIGA pomáha a aké má obmedzenia easyIGA je nadstavba nad midPointom pre bežných používateľov. Žiadosti, kontroly prístupov, určovanie vlastníkov a auditné záznamy posudzujte podľa svojho rozsahu a podporovaných konektorov. [Auditné záznamy](https://easyiga.com/sk/produkt/auditne-podklady) môžu podporiť riadenie IKT rizík, ak si overíte ich rozsah a kvalitu údajov. IGA nenahrádza trezor privilegovaných prihlasovacích údajov, správu privilegovaných relácií, hlásenie incidentov, testovanie odolnosti ani riadenie rizík dodávateľov IKT služieb. Pri obstarávaní treba posúdiť aj [hranice bezpečnostných opatrení a spracúvania údajov](https://easyiga.com/sk/bezpecnost). Žiadny produkt nezaručuje súlad s predpismi ani priaznivý výsledok dohľadu. ## Primárne zdroje - [EUR-Lex: DORA, články 2, 4, 9, 16 a 64](https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng) - [EUR-Lex: Delegované nariadenie 2024/1774, články 20 až 21 a zjednodušené rámcové ustanovenia](https://eur-lex.europa.eu/eli/reg_del/2024/1774/oj/eng) Zdroje overené 12. septembra 2026. Prečítajte si [úplného sprievodcu](https://easyiga.com/sk/blog/dora-a-riadenie-pristupov), ktorý podrobnejšie rozoberá implementáciu.