+Security Monitoring (SIEM)

Security Monitoring (SIEM)

Put in place mechanisms to detect anomalous activities, including network performance issues, incidents (reported by the third-parties in the services that they provide), and potential material single points of failure. The mechanisms shall enable multi-layers of control, define alerting thresholds, monitoring on specific events and criteria to automatically trigger incident response. Identify and implement tools generating alerts of anomalous activities and behaviour, at least for ICT assets and information assets supporting critical or important functions. Devote sufficient resources to detection and monitoring activities, especially to cybersecurity attacks.

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane regulacje

2. Zidentyfikowane wymagania

Wymagania

3. Powiązane regulacje

Regulacje
EULAW Artykuł 9 1.

W ramach polityk, procedur, protokołów i narzędzi w zakresie bezpieczeństwa ICT, o których mowa w art. 9 ust. 2 rozporządzenia (UE) 2022/2554, podmioty finansowe opracowują, dokumentują i wdrażają procedury zarządzania pojemnością i wydajnością dotyczące:

a) 

określenia wymogów w zakresie pojemności ich systemów ICT;

b) 

stosowania optymalizacji zasobów;

c) 

procedur monitorowania w celu utrzymania i poprawy:

(i) 

dostępności danych i systemów ICT;

(ii) 

efektywności systemów ICT;

(iii) 

zapobiegania niedoborom pojemności w zakresie ICT.
EULAW Artykuł 9 2.
Procedury zarządzania pojemnością i wydajnością, o których mowa w ust. 1, zapewniają, aby podmioty finansowe wdrażały środki, które należycie odpowiadają specyfice systemów ICT, w przypadku których procesy udzielania zamówień lub zatwierdzania są długie lub złożone, lub systemów ICT, które wymagają wielu zasobów.
EULAW Artykuł 12 2.

Procedury, protokoły i narzędzia rejestrowania, o których mowa w ust. 1, obejmują wszystkie następujące elementy:

a) 

identyfikację zdarzeń, które mają być rejestrowane, okres zatrzymywania rejestrów oraz środki służące zabezpieczeniu i przetwarzaniu danych z rejestru, z uwzględnieniem celu, w jakim rejestry zostały utworzone;

b) 

dostosowanie poziomu szczegółowości rejestrów do ich celu i wykorzystania, tak aby umożliwić skuteczne wykrywanie nietypowych działań, o których mowa w art. 24;

c) 

wymóg rejestrowania zdarzeń dotyczących wszystkich poniższych elementów:

(i) 

logicznej i fizycznej kontroli dostępu, o której mowa w art. 21, oraz zarządzania tożsamością;

(ii) 

zarządzania pojemnością;

(iii) 

zarządzania zmianą;

(iv) 

operacji ICT, w tym działań związanych z systemem ICT;

(v) 

działań związanych z ruchem w sieci, w tym wydajności sieci ICT;

d) 

środki mające na celu ochronę systemów rejestrowania i informacji o rejestrach przed manipulacją, usuwaniem i nieuprawnionym dostępem, gdy są one przechowywane, przesyłane oraz, w stosownych przypadkach, wykorzystywane;

e) 

środki umożliwiające wykrywanie awarii systemów rejestrowania;

f) 

bez uszczerbku dla wszelkich wymogów regulacyjnych mających zastosowanie na mocy prawa Unii lub prawa krajowego – synchronizację zegarów każdego z systemów ICT podmiotu finansowego zgodnie z udokumentowanym wiarygodnym źródłem czasu referencyjnego.

Do celów lit. a) podmioty finansowe określają okres zatrzymywania, uwzględniając cele biznesowe i cele w zakresie bezpieczeństwa informacji, powód zarejestrowania zdarzenia w rejestrach oraz wyniki oceny ryzyka związanego z ICT.
EULAW Article 10 1

1.   Financial entities shall have in place mechanisms to promptly detect anomalous activities, in accordance with Article 17, including ICT network performance issues and ICT-related incidents, and to identify potential material single points of failure.

All detection mechanisms referred to in the first subparagraph shall be regularly tested in accordance with Article 25.
EULAW Article 10 2

2.   The detection mechanisms referred to in paragraph 1 shall enable multiple layers of control, define alert thresholds and criteria to trigger and initiate ICT-related incident response processes, including automatic alert mechanisms for relevant staff in charge of ICT-related incident response.
EULAW Article 10 3

3.   Financial entities shall devote sufficient resources and capabilities to monitor user activity, the occurrence of ICT anomalies and ICT-related incidents, in particular cyber-attacks.
EULAW Article 10 4

4.   Data reporting service providers shall, in addition, have in place systems that can effectively check trade reports for completeness, identify omissions and obvious errors, and request re-transmission of those reports.
EULAW Artykuł 12 1.
Przy wprowadzaniu zabezpieczeń przed włamaniami i wykorzystaniem danych niezgodnie z przeznaczeniem podmioty finansowe opracowują, dokumentują i wdrażają procedury, protokoły i narzędzia rejestrowania.
EULAW Artykuł 23 2.

Mechanizm pozwalający na szybkie wykrywanie nietypowych działań, w tym problemów związanych z wydajnością sieci ICT i incydentów związanych z ICT, o którym mowa w art. 10 ust. 1 rozporządzenia (UE) 2022/2554, umożliwia podmiotom finansowym:

a) 

gromadzenie, monitorowanie i analizowanie wszystkich poniższych elementów:

(i) 

czynników wewnętrznych i zewnętrznych, w tym co najmniej rejestrów zgromadzonych zgodnie z art. 12 niniejszego rozporządzenia, informacji pochodzących z funkcji biznesowych i funkcji ICT oraz wszelkich problemów zgłaszanych przez użytkowników podmiotu finansowego;

(ii) 

potencjalnych wewnętrznych i zewnętrznych cyberzagrożeń, z uwzględnieniem scenariuszy powszechnie stosowanych przez agresorów oraz scenariuszy opartych na analizie zagrożeń;

(iii) 

powiadomień o incydentach związanych z ICT od zewnętrznego dostawcy usług ICT podmiotu finansowego wykrytych w systemach i sieciach ICT zewnętrznego dostawcy usług ICT, które mogą mieć wpływ na podmiot finansowy;

b) 

identyfikowanie nietypowych działań i zachowań oraz wdrożenie narzędzi generujących ostrzeżenia o nietypowych działaniach i zachowaniach, przynajmniej w odniesieniu do zasobów ICT i zasobów informacyjnych wspierających krytyczne lub istotne funkcje;

c) 

priorytetowe traktowanie ostrzeżeń, o których mowa w lit. b), aby umożliwić zarządzanie wykrytymi incydentami związanymi z ICT w oczekiwanym czasie rozwiązania określonym przez podmioty finansowe, zarówno w godzinach pracy, jak i poza nimi;

d) 

rejestrowanie, analizowanie i ocenę wszelkich istotnych informacji na temat wszystkich nietypowych działań i zachowań – automatycznie lub ręcznie.

Do celów lit. b) narzędzia, o których mowa w tej literze, obejmują narzędzia zapewniające automatyczne ostrzeżenia oparte na wcześniej określonych zasadach w celu identyfikacji nieprawidłowości mających wpływ na kompletność i integralność źródeł danych lub gromadzenia rejestrów.
EULAW Artykuł 23 3.
Podmioty finansowe chronią wszelkie zapisy dotyczące nietypowych działań przed manipulacją i nieuprawnionym dostępem, gdy są one przechowywane, przesyłane oraz, w stosownych przypadkach, wykorzystywane.
EULAW Artykuł 23 4.

Podmioty finansowe rejestrują wszystkie istotne informacje dotyczące każdego wykrytego nietypowego działania, umożliwiające:

a) 

określenie daty i godziny wystąpienia nietypowego działania;

b) 

określenie daty i godziny wykrycia nietypowego działania;

c) 

określenie rodzaju nietypowego działania.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.