+Security Monitoring (SIEM)

Security Monitoring (SIEM)

Put in place mechanisms to detect anomalous activities, including network performance issues, incidents (reported by the third-parties in the services that they provide), and potential material single points of failure. The mechanisms shall enable multi-layers of control, define alerting thresholds, monitoring on specific events and criteria to automatically trigger incident response. Identify and implement tools generating alerts of anomalous activities and behaviour, at least for ICT assets and information assets supporting critical or important functions. Devote sufficient resources to detection and monitoring activities, especially to cybersecurity attacks.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede reguleringer

2. Identificerede krav

Krav

3. Relaterede reguleringer

Reguleringer
EULAW Artikel 9 1.

Som led i de IKT-sikkerhedspolitikker, -procedurer, -protokoller og -værktøjer, der er omhandlet i artikel 9, stk. 2, i forordning (EU) 2022/2554, udvikler, dokumenterer og gennemfører finansielle enheder procedurer for styring af kapacitet og ydeevne med henblik på følgende:

a) 

identifikation af kapacitetskrav til deres IKT-systemer

b) 

anvendelse af ressourceoptimering

c) 

overvågningsprocedurer med henblik på vedligeholdelse og forbedring

i) 

tilgængeligheden af data og IKT-systemer

ii) 

effektiviteten af IKT-systemer

iii) 

forebyggelse af IKT-kapacitetsmangler.
EULAW Artikel 9 2.
De i stk. 1 omhandlede procedurer for styring af kapacitet og ydeevne skal sikre, at finansielle enheder træffer foranstaltninger, som er passende til at tage højde for IKT-systemer med lange eller komplekse udbud eller for ressourceintensive godkendelsesprocesser eller IKT-systemer.
EULAW Artikel 12 2.

De logføringsprocedurer, -protokoller og -værktøjer, der er omhandlet i stk. 1, skal indeholde alle følgende:

a) 

identifikation af de hændelser, der skal logføres, opbevaringsperioden for logfilerne og foranstaltningerne til sikring og håndtering af logdataene, idet der tages hensyn til formålet med oprettelsen af logfilerne

b) 

tilpasning af logfilernes detaljeringsgrad i forhold til deres formål og anvendelse for at muliggøre effektiv detektion af anormale aktiviteter som omhandlet i artikel 24

c) 

kravet om at logføre hændelser i forbindelse med alle følgende:

i) 

logisk og fysisk adgangskontrol, jf. artikel 21, og identitetsstyring

ii) 

kapacitetsstyring

iii) 

styring af ændringer

iv) 

IKT-operationer, heriblandt IKT-systemaktiviteter

v) 

aktiviteter forbundet med netværkstrafik, herunder IKT-nettets ydeevne

d) 

foranstaltninger til beskyttelse af logføringssystemer og logføring af oplysninger til forebyggelse af manipulation af, sletning af og uautoriseret adgang til data, som er inaktive, under overførsel og, når det er relevant, i brug

e) 

foranstaltninger til detektion af svigt i logføringssystemer

f) 

uden at det berører eventuelle gældende reguleringsmæssige krav i henhold til EU-retten eller national ret, synkronisering af urene i hver af den finansielle enheds IKT-systemer efter en dokumenteret pålidelig kilde til referencetid.

Med henblik på litra a) fastsætter finansielle enheder opbevaringsperioden, idet de tager hensyn til forretnings- og informationssikkerhedsmålene, årsagen til registreringen af hændelsen i logfilerne og resultaterne af IKT-risikovurderingen.
EULAW Artikel 10 1

1.   De finansielle enheder indfører mekanismer til omgående detektion af anormale aktiviteter i overensstemmelse med artikel 17, herunder problemer med IKT-netværkets ydeevne og IKT-relaterede hændelser, og til identifikation af potentielt væsentlige single points of failure.

De i første afsnit omhandlede mekanismer testes regelmæssigt i overensstemmelse med artikel 25.
EULAW Artikel 10 2

2.   Ved de i stk. 1 omhandlede detektionsmekanismer skal det gøres muligt at anvende flere kontrollag, fastlægge varslingstærskler og -kriterier, som skal udløse og igangsætte indsatsforanstaltninger mod IKT-relaterede hændelser, herunder automatiske varslingsmekanismer for det relevante personale, som har ansvar for indsatsen mod IKT-relaterede hændelser.
EULAW Artikel 10 3

3.   Finansielle enheder afsætter tilstrækkelige ressourcer og kapaciteter til overvågning af brugeraktiviteter, forekomsten af IKT-anomalier og IKT-relaterede hændelser, navnlig cyberangreb.
EULAW Artikel 10 4

4.   Udbydere af dataindberetningstjenester indfører desuden systemer, som effektivt kan kontrollere, om handelsindberetningerne er fuldstændige, identificere udeladelser og åbenbare fejl og anmode om fornyet fremsendelse af disse indberetninger.
EULAW Artikel 12 1.
Som led i de sikkerhedsforanstaltninger, der forhindrer indtrængen og datamisbrug, udvikler, dokumenterer og gennemfører finansielle enheder logføringsprocedurer, -protokoller og -værktøjer.
EULAW Artikel 23 2.

Mekanismen til omgående detektion af anormale aktiviteter, herunder problemer med IKT-netværkets ydeevne og IKT-relaterede hændelser, jf. artikel 10, stk. 1, i forordning (EU) 2022/2554, skal gøre det muligt for finansielle enheder at:

a) 

indsamle, overvåge og analysere alle følgende:

i) 

interne og eksterne faktorer, herunder som minimum de logfiler, der er indsamlet i overensstemmelse med denne forordnings artikel 12, oplysninger fra forretnings- og IKT-funktioner og eventuelle problemer indberettet af den finansielle enheds brugere

ii) 

potentielle interne og eksterne cybertrusler, idet der tages hensyn til scenarier, der almindeligvis anvendes af trusselsaktører og scenarier baseret på trusselsefterretningsaktiviteter

iii) 

underretninger om IKT-relaterede hændelser fra en tredjepartsudbyder af IKT-tjenester i den finansielle enhed, som detekteres i IKT-systemerne og -netværkene hos tredjepartsudbyderen af IKT-tjenester, og som kan påvirke den finansielle enhed

b) 

identificere anormale aktiviteter og anormal adfærd og indføre værktøjer, der genererer advarsler om anormale aktiviteter og anormal adfærd, som minimum for IKT-aktiver og informationsaktiver, der understøtter kritiske eller vigtige funktioner

c) 

prioritere de i litra b) omhandlede varslinger, således at de detekterede IKT-relaterede hændelser kan håndteres inden for den forventede afviklingstid, som angivet af finansielle enheder, både i og uden for arbejdstiden

d) 

registrere, analysere og evaluere alle relevante oplysninger om alle anormale aktiviteter og anormal adfærd automatisk eller manuelt.

Med henblik på litra b) skal de i nævnte litra omhandlede værktøjer indeholde de værktøjer, der giver automatiske varslinger baseret på forud fastsatte regler med henblik på at konstatere anomalier, der har indvirkning på fuldstændigheden og integriteten af datakilderne eller indsamlingen af logfiler.
EULAW Artikel 23 3.
Finansielle enheder beskytter enhver registrering af de anormale aktiviteter mod ulovlige indgreb og uautoriseret adgang til data, som er inaktive, under overførsel og, når det er relevant, i brug.
EULAW Artikel 23 4.

Finansielle enheder skal logføre alle relevante oplysninger for hver detekteret anormal aktivitet, som gør det muligt at

a) 

identificere dato og klokkeslæt, hvor den anormale aktivitet fandt sted

b) 

identificere dato og klokkeslæt, hvor den anormale aktivitet blev detekteret

c) 

identificere typen af anormal aktivitet.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.