+Член 23 2.

Член 23 2.

Механизмът за бързо откриване на необичайни дейности, включително проблеми с функционирането на мрежата на ИКТ и инциденти с ИКТ, както е посочено в член 10, параграф 1 от Регламент (ЕС) 2022/2554, позволява на финансовите субекти:

а) 

да събират, да наблюдават и да анализират всички изброени по-долу елементи:

i) 

вътрешни и външни фактори, включително най-малко регистрационните файлове, събрани в съответствие с член 12 от настоящия регламент, информация от работни функции и функции на ИКТ и всеки проблем, докладван от ползвателите на финансовия субект;

ii) 

потенциални вътрешни и външни киберзаплахи, като се вземат предвид сценариите, обичайно използвани от участниците в заплахи, и сценариите, базирани на разузнавателни сведения за заплахи;

iii) 

уведомление за инцидент с ИКТ от трета страна доставчик на услуги в областта на ИКТ на финансовия субект, като инцидентът е открит в системите и мрежите на ИКТ на третата страна доставчик на услуги в областта на ИКТ и може да засегне финансовия субект;

б) 

да идентифицират необичайни дейности и поведение и да прилагат инструменти, генериращи предупредителни сигнали за необичайни дейности и поведение, най-малкото за активи на ИКТ и информационни активи, поддържащи критични или важни функции;

в) 

да отдават приоритет на посочените в буква б) предупредителни сигнали, за да се даде възможност за управление на откритите инциденти с ИКТ в рамките на очакваното време за разрешаване, посочено от финансовите субекти, както през работното време, така и извън него;

г) 

автоматично или ръчно да записват, анализират и оценяват всяка съответна информация относно всички необичайни дейности и поведения.

За целите на буква б) посочените в същата буква инструменти съдържат инструментите, с които се предоставят автоматизирани предупредителни сигнали въз основа на предварително определени правила за идентифициране на аномалии, засягащи пълнотата и цялостността на източниците на данни или събирането на регистрационни файлове.

1. Преглед

,

1.1 Препратки

1.2 Идентифицирани изисквания

1.3 Свързани стандарти

2. Идентифицирани изисквания

Изисквания

3. Свързани стандарти

Стандарти
NOREA Security Monitoring (SIEM)

Put in place mechanisms to detect anomalous activities, including network performance issues, incidents (reported by the third-parties in the services that they provide), and potential material single points of failure. The mechanisms shall enable multi-layers of control, define alerting thresholds, monitoring on specific events and criteria to automatically trigger incident response. Identify and implement tools generating alerts of anomalous activities and behaviour, at least for ICT assets and information assets supporting critical or important functions. Devote sufficient resources to detection and monitoring activities, especially to cybersecurity attacks.
NOREA Event Identification for Logging

Identify events to be logged, covering logical access, physical access, identity management, capacity management, change management, ICT operation (including system activity), and network traffic activities (including network performance). Determine the level of detail for the logs, aligning with the purpose for which the logs were created and to enable effective detection of anomalous activities. Define retention periods for logs, considering business and security objectives, the purpose of recording logs, and risk assessments.

*Data reporting service providers shall, in addition, have in place systems that can effectively check trade reports for completeness, identify omissions and obvious errors, and request re-transmission of those reports.
NOREA Secure Handling of Log Data
Implement measures to secure and handle log data, taking into account the purpose for which the logs were created. Establish measures to detect failures in logging systems. Protect the recording of anomalous activities against tampering and unauthorised access at rest, in use, where relevant, and in transit.