+Security Monitoring (SIEM)

Security Monitoring (SIEM)

Put in place mechanisms to detect anomalous activities, including network performance issues, incidents (reported by the third-parties in the services that they provide), and potential material single points of failure. The mechanisms shall enable multi-layers of control, define alerting thresholds, monitoring on specific events and criteria to automatically trigger incident response. Identify and implement tools generating alerts of anomalous activities and behaviour, at least for ICT assets and information assets supporting critical or important functions. Devote sufficient resources to detection and monitoring activities, especially to cybersecurity attacks.

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Regolamentazioni correlate

2. Requisiti identificati

Requisiti

3. Regolamentazioni correlate

Regolamentazioni
EULAW Articolo 9 1.

Nell’ambito delle politiche, delle procedure, dei protocolli e degli strumenti per la sicurezza delle TIC di cui all’articolo 9, paragrafo 2, del regolamento (UE) 2022/2554, le entità finanziarie elaborano, documentano e attuano procedure di gestione della capacità e delle prestazioni per:

a) 

l’identificazione dei requisiti di capacità dei loro sistemi di TIC;

b) 

l’applicazione dell’ottimizzazione delle risorse;

c) 

le procedure di monitoraggio per mantenere e migliorare:

i) 

la disponibilità dei dati e dei sistemi di TIC;

ii) 

l’efficienza dei sistemi di TIC;

iii) 

la prevenzione della carenza di capacità TIC.
EULAW Articolo 9 2.
Le procedure di gestione della capacità e delle prestazioni di cui al paragrafo 1 garantiscono che le entità finanziarie adottino misure adeguate per tener conto delle specificità dei sistemi di TIC con processi di appalto o di approvazione lunghi o complessi o dei sistemi di TIC ad alta intensità di risorse.
EULAW Articolo 12 2.

Le procedure, i protocolli e gli strumenti di logging di cui al paragrafo 1 contengono tutti gli elementi seguenti:

a) 

l’identificazione degli eventi da registrare nei log, il periodo di conservazione dei log e le misure per proteggere e gestire i dati di log, tenendo conto dello scopo per cui i log sono creati;

b) 

l’allineamento del livello di dettaglio dei log con il loro scopo e utilizzo per consentire l’efficace individuazione di attività anomale di cui all’articolo 24;

c) 

l’obbligo di registrare nei log gli eventi relativi a tutti gli aspetti seguenti:

i) 

controllo degli accessi logici e fisici di cui all’articolo 21 e gestione delle identità;

ii) 

gestione della capacità;

iii) 

gestione delle modifiche;

iv) 

operazioni riguardanti le TIC, comprese le attività dei sistemi di TIC;

v) 

attività di traffico di rete, comprese le prestazioni della rete delle TIC;

d) 

misure per proteggere i sistemi di logging e le informazioni di log a riposo, in transito e, se del caso, in uso da manomissioni, cancellazioni e accessi non autorizzati;

e) 

misure per individuare eventuali guasti ai sistemi di logging;

f) 

fatti salvi i requisiti normativi applicabili ai sensi del diritto dell’Unione o nazionale, la sincronizzazione degli orologi di ciascuno dei sistemi di TIC dell’entità finanziaria su una fonte temporale di riferimento documentata e affidabile.

Ai fini della lettera a), le entità finanziarie stabiliscono il periodo di conservazione, tenendo conto degli obiettivi aziendali e di sicurezza delle informazioni, del motivo della registrazione dell’evento nei log e dei risultati della valutazione dei rischi informatici.
EULAW Articolo 10 1

1.   Le entità finanziarie predispongono meccanismi per individuare tempestivamente le attività anomale, conformemente all’articolo 17, compresi i problemi di prestazione della rete delle TIC e gli incidenti a esse connessi, nonché per individuare i potenziali singoli punti di vulnerabilità (points of failure) importanti.

Tutti i meccanismi di individuazione di cui al primo comma sono periodicamente testati in conformità dell’articolo 25.
EULAW Articolo 10 2

2.   I meccanismi di individuazione di cui al paragrafo 1 prevedono molteplici livelli di controllo, definiscono soglie di allarme e criteri per l’attivazione e l’avvio dei processi di risposta agli incidenti connessi alle TIC, compresi meccanismi di allarme automatico per il personale incaricato della risposta agli incidenti connessi alle TIC.
EULAW Articolo 10 3

3.   Le entità finanziarie dedicano risorse e capacità sufficienti al monitoraggio dell’attività degli utenti e di eventuali anomalie e incidenti connessi alle TIC, in particolare attacchi informatici.
EULAW Articolo 10 4

4.   I fornitori di servizi di comunicazione dati predispongono inoltre sistemi in grado di controllare efficacemente le comunicazioni sulle operazioni per verificarne la completezza, individuare omissioni ed errori palesi e chiederne la ritrasmissione.
EULAW Articolo 12 1.
Nell’ambito delle salvaguardie contro le intrusioni e l’uso improprio dei dati, le entità finanziarie elaborano, documentano e attuano procedure, protocolli e strumenti di logging.
EULAW Articolo 23 2.

Il meccanismo per individuare tempestivamente le attività anomale, compresi i problemi di prestazione della rete TIC e gli incidenti connessi alle TIC, di cui all’articolo 10, paragrafo 1, del regolamento (UE) 2022/2554, consente alle entità finanziarie di:

a) 

raccogliere, monitorare e analizzare tutti gli elementi seguenti:

i) 

i fattori interni ed esterni, compresi almeno i log acquisiti ai sensi dell’articolo 12 del presente regolamento, le informazioni provenienti dalle funzioni commerciali e TIC e qualsiasi problema segnalato dagli utenti dell’entità finanziaria;

ii) 

le potenziali minacce informatiche interne ed esterne, considerando gli scenari comunemente utilizzati dagli attori delle minacce e quelli basati sulle attività di analisi delle minacce;

iii) 

la notifica, da parte di un fornitore terzo di servizi TIC dell’entità finanziaria, di incidenti connessi alle TIC individuati nei sistemi e nelle reti TIC del fornitore terzo di servizi TIC e che possono avere un impatto sull’entità finanziaria;

b) 

identificare attività e comportamenti anomali e applicare strumenti che generino allarmi per attività e comportamenti anomali, almeno per le risorse TIC e i patrimoni informativi a supporto di funzioni essenziali o importanti;

c) 

dare priorità agli allarmi di cui alla lettera b) per consentire la gestione degli incidenti connessi alle TIC individuati entro i tempi di risoluzione previsti, come specificato dalle entità finanziarie, sia durante che al di fuori dell’orario di lavoro;

d) 

registrare, analizzare e valutare qualsiasi informazione pertinente su tutte le attività e i comportamenti anomali in modo automatico o manuale.

Ai fini della lettera b), gli strumenti di cui alla stessa lettera contengono gli strumenti che forniscono allarmi automatici basati su regole predefinite per identificare le anomalie che incidono sulla completezza e sull’integrità delle fonti di dati o dell’acquisizione dei log.
EULAW Articolo 23 3.
Le entità finanziarie proteggono qualsiasi registrazione delle attività anomale da manomissioni e accessi non autorizzati a riposo, in transito e, se del caso, in uso.
EULAW Articolo 23 4.

Le entità finanziarie registrano nei log tutte le informazioni pertinenti per ciascuna attività anomala individuata in modo da consentire:

a) 

l’identificazione della data e dell’ora in cui si è verificata l’attività anomala;

b) 

l’identificazione della data e dell’ora di individuazione dell’attività anomala;

c) 

l’identificazione del tipo di attività anomala.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.