1. Dans le cadre de leur contrôle des droits de gestion des accès, les entités financières élaborent, documentent et mettent en œuvre des politiques et procédures de gestion de l’identité qui garantissent l’identification et l’authentification uniques des personnes physiques et des systèmes ayant accès aux informations des entités financières afin de permettre l’attribution de droits d’accès aux utilisateurs conformément à l’article 21.
2. Les politiques et procédures de gestion de l’identité visées au paragraphe 1 comportent l’ensemble des éléments suivants:
a) sans préjudice de l’article 21, premier alinéa, point c), une identité unique correspondant à un compte d’utilisateur unique est attribuée à chaque membre du personnel de l’entité financière ou du personnel des prestataires tiers de services TIC qui ont accès aux actifs informationnels et aux actifs de TIC de l’entité financière;
b) un processus de gestion du cycle de vie pour les identités et les comptes régissant la création, la modification, le réexamen et la mise à jour, la désactivation temporaire et la clôture de tous les comptes.
Aux fins du point a), les entités financières tiennent des registres de toutes les attributions d’identité. Ces registres sont conservés à la suite d’une réorganisation de l’entité financière ou après la fin d’une relation contractuelle, sans préjudice des exigences en matière de conservation prévues par le droit de l’Union et le droit national applicables.
Aux fins du point b), les entités financières déploient, lorsque cela est possible et approprié, des solutions automatisées pour le processus de gestion de l’identité tout au long du cycle de vie.