+Security Monitoring (SIEM)

Security Monitoring (SIEM)

Put in place mechanisms to detect anomalous activities, including network performance issues, incidents (reported by the third-parties in the services that they provide), and potential material single points of failure. The mechanisms shall enable multi-layers of control, define alerting thresholds, monitoring on specific events and criteria to automatically trigger incident response. Identify and implement tools generating alerts of anomalous activities and behaviour, at least for ICT assets and information assets supporting critical or important functions. Devote sufficient resources to detection and monitoring activities, especially to cybersecurity attacks.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde regelingen

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde regelingen

Regelingen
EULAW Artikel 9 1.

Als onderdeel van de beleidslijnen, procedures, protocollen en tools voor ICT-beveiliging als bedoeld in artikel 9, lid 2, van Verordening (EU) 2022/2554 ontwikkelen, documenteren en implementeren financiële entiteiten procedures inzake capaciteit- en performancemanagement voor de volgende elementen:

a) 

het in kaart brengen van capaciteitsvereisten van hun ICT-systemen;

b) 

de toepassing van resource-optimalisatie;

c) 

de monitoringprocedures voor het in stand houden en verbeteren van:

i) 

de beschikbaarheid van gegevens en ICT-systemen;

ii) 

de efficiëntie van ICT-systemen;

iii) 

het voorkomen van ICT-capaciteitstekorten.
EULAW Artikel 9 2.
De in lid 1 bedoelde procedures voor capaciteits- en performancemanagement borgen dat financiële entiteiten maatregelen nemen die passend zijn voor de specifieke kenmerken van ICT-systemen met lange of complexe aankoop- of goedkeuringsprocessen of ICT-systemen die hulpbronnenintensief zijn.
EULAW Artikel 12 2.

De in lid 1 bedoelde loggingprocedures, -protocollen en -tools bevatten alle volgende elementen:

a) 

de identificatie van de in logs bij te houden events, de retentieperiode van logbestanden en de maatregelen om de loggegevens te beveiligen en daarmee om te gaan, rekening houdende met het doel waarvoor de logbestanden zijn gecreëerd;

b) 

de afstemming van de mate van gedetailleerdheid van de logs op het doel en gebruik ervan, zodat afwijkende activiteiten als bedoeld in artikel 24 kunnen worden gedetecteerd;

c) 

de verplichting om log events bij te houden voor elk van de volgende elementen:

i) 

logische en fysieke toegangscontrole, als bedoeld in artikel 21, en identiteitsbeheer;

ii) 

capaciteitsbeheer;

iii) 

wijzigingsbeheer;

iv) 

ICT-operaties, met inbegrip van ICT-systeemactiviteiten;

v) 

netwerkverkeer, met inbegrip van ICT-netwerkperformance;

d) 

maatregelen om loggingsystemen en loginformatie te beschermen tegen manipulatie, wissen en ongeautoriseerde toegang in rust, in transit en, in voorkomend geval, in gebruik;

e) 

maatregelen om falen van loggingsystemen te detecteren;

f) 

onverminderd toepasselijke wettelijke verplichtingen uit hoofde van Unierecht of nationaal recht, het synchroniseren van de klokken van elk van de ICT-systemen van de financiële entiteit met één gedocumenteerde betrouwbare reference time source.

Voor de toepassing van punt a) stellen financiële entiteiten de retentieperiode vast, rekening houdende met de doelstellingen inzake bedrijfs- en informatiebeveiliging, de reden voor het vastleggen van het event in de logs, en de uitkomsten van de ICT-risicobeoordeling.
EULAW Article 10 1

1.   Financial entities shall have in place mechanisms to promptly detect anomalous activities, in accordance with Article 17, including ICT network performance issues and ICT-related incidents, and to identify potential material single points of failure.

All detection mechanisms referred to in the first subparagraph shall be regularly tested in accordance with Article 25.
EULAW Article 10 2

2.   The detection mechanisms referred to in paragraph 1 shall enable multiple layers of control, define alert thresholds and criteria to trigger and initiate ICT-related incident response processes, including automatic alert mechanisms for relevant staff in charge of ICT-related incident response.
EULAW Article 10 3

3.   Financial entities shall devote sufficient resources and capabilities to monitor user activity, the occurrence of ICT anomalies and ICT-related incidents, in particular cyber-attacks.
EULAW Article 10 4

4.   Data reporting service providers shall, in addition, have in place systems that can effectively check trade reports for completeness, identify omissions and obvious errors, and request re-transmission of those reports.
EULAW Artikel 12 1.
Als onderdeel van de beschermingsmaatregelen tegen inbraken en misbruik van gegevens ontwikkelen, documenteren en implementeren financiële entiteiten loggingprocedures, -protocollen en -tools.
EULAW Artikel 23 2.

Het mechanisme om prompt afwijkende activiteiten te detecteren, met inbegrip van performanceproblemen van het ICT-netwerk en ICT-incidenten, als bedoeld in artikel 10, lid 1, van Verordening (EU) 2022/2554, stelt financiële entiteiten in staat om:

a) 

alle volgende elementen te verzamelen, te monitoren en te analyseren:

i) 

interne en externe factoren, met inbegrip van ten minste de overeenkomstig artikel 12 van deze verordening verzamelde logbestanden, informatie afkomstig van bedrijfs- en ICT-functies en problemen gemeld door gebruikers van de financiële entiteit;

ii) 

potentiële interne en externe cyberdreigingen, rekening houdende met scenario’s die doorgaans door threat actors worden gebruikt, en op bedreigingsinformatie gebaseerde scenario’s;

iii) 

notificatie door een derde aanbieder van ICT-diensten van de financiële entiteit van een ICT-incident dat is gedetecteerd in de ICT-systemen en netwerken van de derde aanbieder van ICT-diensten en dat op de financiële entiteit van invloed kan zijn;

b) 

afwijkende activiteiten en gedragingen te identificeren en tools te implementeren die afwijkende activiteiten en gedragingen signaleren (“alerts”), ten minste voor ICT-assets en informatieassets die kritieke of belangrijke functies ondersteunen;

c) 

de in punt b) bedoelde alerts te prioriteren zodat de gedetecteerde ICT-incidenten kunnen worden behandeld binnen de verwachte tijd om deze oplossen, zoals gespecificeerd door financiële entiteiten, zowel binnen als buiten werktijd;

d) 

relevante informatie over alle afwijkende activiteiten en gedragingen automatisch of handmatig vast te leggen, te analyseren en te evalueren.

Voor de toepassing van punt b) omvatten de in dat punt bedoelde tools de tools die automatische alerts afgeven die zijn gebaseerd op vooraf vastgestelde regels om afwijkingen te identificeren die van invloed zijn op de volledigheid en integriteit van de gegevensbronnen of het bijhouden van logs.
EULAW Artikel 23 3.
Financiële entiteiten beschermen vastleggingen van de afwijkende activiteiten tegen manipulatie en ongeautoriseerde toegang in rust, in transit en, in voorkomend geval, in gebruik.
EULAW Artikel 23 4.

Financiële entiteiten loggen alle relevante informatie voor elke gedetecteerde afwijkende activiteit zodat daarmee:

a) 

de datum en het tijdstip van de afwijkende activiteit kunnen worden geïdentificeerd;

b) 

de datum en het tijdstip waarop de afwijkende activiteit is gedetecteerd, kunnen worden geïdentificeerd;

c) 

het soort afwijkende activiteit kan worden geïdentificeerd.