+Security Monitoring (SIEM)

Security Monitoring (SIEM)

Put in place mechanisms to detect anomalous activities, including network performance issues, incidents (reported by the third-parties in the services that they provide), and potential material single points of failure. The mechanisms shall enable multi-layers of control, define alerting thresholds, monitoring on specific events and criteria to automatically trigger incident response. Identify and implement tools generating alerts of anomalous activities and behaviour, at least for ICT assets and information assets supporting critical or important functions. Devote sufficient resources to detection and monitoring activities, especially to cybersecurity attacks.

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Réglementations associées

2. Exigences identifiées

Exigences

3. Réglementations associées

Réglementations
EULAW Article 9 1.

Dans le cadre des politiques, procédures, protocoles et outils de sécurité des TIC visés à l’article 9, paragraphe 2, du règlement (UE) 2022/2554, les entités financières élaborent, documentent et mettent en œuvre des procédures de gestion des capacités et des performances pour:

a) 

l’identification des besoins en capacités de leurs systèmes de TIC;

b) 

la mise en œuvre de l’optimisation des ressources;

c) 

les procédures de suivi visant à maintenir et à améliorer:

i) 

la disponibilité des données et des systèmes de TIC;

ii) 

l’efficience des systèmes de TIC;

iii) 

la prévention des déficits de capacités en matière de TIC.
EULAW Article 9 2.
Les procédures de gestion des capacités et des performances visées au paragraphe 1 garantissent que les entités financières prennent des mesures adéquates pour tenir compte des spécificités des systèmes de TIC soumis à des processus de passation de marchés ou d’approbation longs ou complexes ou des systèmes de TIC qui requièrent des ressources importantes.
EULAW Article 12 2.

Les procédures, protocoles et outils de journalisation visés au paragraphe 1 contiennent l’ensemble des éléments suivants:

a) 

l’identification des événements à enregistrer dans le journal, la durée de conservation des journaux et les mesures visant à sécuriser et à gérer les données des journaux, en tenant compte de la finalité pour laquelle les journaux sont créés;

b) 

l’alignement du niveau de détail des journaux sur leur finalité et leur utilisation, afin de permettre la détection effective des activités anormales visées à l’article 24;

c) 

l’obligation de consigner dans les journaux les événements relatifs à l’ensemble des éléments suivants:

i) 

le contrôle de l’accès logique et physique, tel que visé à l’article 21, et la gestion de l’identité;

ii) 

la gestion des capacités;

iii) 

la gestion des modifications;

iv) 

les opérations de TIC, y compris les activités liées aux systèmes de TIC;

v) 

le trafic réseau, y compris les performances des réseaux de TIC;

d) 

des mesures visant à protéger les systèmes de journalisation et les informations des journaux contre les manipulations, la suppression et l’accès non autorisé, au repos, en transit et, le cas échéant, en cours d’utilisation;

e) 

des mesures visant à détecter les défaillances des systèmes de journalisation;

f) 

sans préjudice de toute exigence réglementaire applicable en vertu du droit de l’Union ou du droit national, la synchronisation des horloges de chacun des systèmes de TIC de l’entité financière avec une horloge de référence fiable et documentée.

Aux fins du point a), les entités financières définissent la durée de conservation, en prenant en considération les objectifs en matière de sécurité des activités et de l’information, la raison de l’enregistrement de l’événement dans les journaux et les résultats de l’évaluation du risque lié aux TIC.
EULAW Article 10 1

1.   Financial entities shall have in place mechanisms to promptly detect anomalous activities, in accordance with Article 17, including ICT network performance issues and ICT-related incidents, and to identify potential material single points of failure.

All detection mechanisms referred to in the first subparagraph shall be regularly tested in accordance with Article 25.
EULAW Article 10 2

2.   The detection mechanisms referred to in paragraph 1 shall enable multiple layers of control, define alert thresholds and criteria to trigger and initiate ICT-related incident response processes, including automatic alert mechanisms for relevant staff in charge of ICT-related incident response.
EULAW Article 10 3

3.   Financial entities shall devote sufficient resources and capabilities to monitor user activity, the occurrence of ICT anomalies and ICT-related incidents, in particular cyber-attacks.
EULAW Article 10 4

4.   Data reporting service providers shall, in addition, have in place systems that can effectively check trade reports for completeness, identify omissions and obvious errors, and request re-transmission of those reports.
EULAW Article 12 1.
Dans le cadre des garanties contre les intrusions et l’utilisation abusive de données, les entités financières élaborent, documentent et mettent en œuvre des procédures, protocoles et outils de journalisation.
EULAW Article 23 2.

Le mécanisme permettant de détecter rapidement les activités anormales, y compris les problèmes de performance des réseaux de TIC et les incidents liés aux TIC, visé à l’article 10, paragraphe 1, du règlement (UE) 2022/2554, permet aux entités financières:

a) 

de collecter, suivre et analyser l’ensemble des éléments suivants:

i) 

les facteurs internes et externes, y compris au moins les journaux collectés conformément à l’article 12 du présent règlement, les informations provenant des fonctions «métiers» et des fonctions TIC, et tout problème signalé par les utilisateurs de l’entité financière;

ii) 

les cybermenaces potentielles internes et externes, en tenant compte des scénarios couramment utilisés par les acteurs de la menace et des scénarios fondés sur les activités de renseignement sur les menaces;

iii) 

les notifications, par un prestataire tiers de services TIC de l’entité financière, d’incidents liés aux TIC détectés dans les systèmes et réseaux de TIC du prestataire tiers de services TIC et susceptibles d’affecter l’entité financière;

b) 

d’identifier les activités et les comportements anormaux et de mettre en œuvre des outils générant des alertes pour les activités et comportements anormaux, au moins pour les actifs de TIC et les actifs informationnels qui soutiennent des fonctions critiques ou importantes;

c) 

de hiérarchiser les alertes visées au point b) afin de permettre que les incidents liés aux TIC détectés soient gérés dans le délai de résolution prévu, tel que spécifié par les entités financières, tant pendant les heures de travail qu’en dehors de celles-ci;

d) 

d’enregistrer, analyser et évaluer, automatiquement ou manuellement, toutes les informations pertinentes sur l’ensemble des activités et comportements anormaux.

Aux fins du point b), les outils visés audit point comprennent des outils qui fournissent des alertes automatisées selon des règles prédéfinies afin de détecter les anomalies affectant l’exhaustivité et l’intégrité des sources de données ou de la collecte de journaux.
EULAW Article 23 3.
Les entités financières protègent tout enregistrement d’activités anormales contre toute falsification et tout accès non autorisé au repos, en transit et, le cas échéant, en cours d’utilisation.
EULAW Article 23 4.

Les entités financières journalisent, pour chaque activité anormale détectée, toutes les informations pertinentes permettant:

a) 

de déterminer la date et l’heure de survenance de l’activité anormale;

b) 

de déterminer la date et l’heure de détection de l’activité anormale;

c) 

de déterminer le type d’activité anormale.