+Event Identification for Logging

Event Identification for Logging

Identify events to be logged, covering logical access, physical access, identity management, capacity management, change management, ICT operation (including system activity), and network traffic activities (including network performance). Determine the level of detail for the logs, aligning with the purpose for which the logs were created and to enable effective detection of anomalous activities. Define retention periods for logs, considering business and security objectives, the purpose of recording logs, and risk assessments.

*Data reporting service providers shall, in addition, have in place systems that can effectively check trade reports for completeness, identify omissions and obvious errors, and request re-transmission of those reports.

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Regulamentos relacionados

2. Requisitos identificados

Requisitos

3. Regulamentos relacionados

Regulamentos
EULAW Article 10 1

1.   Financial entities shall have in place mechanisms to promptly detect anomalous activities, in accordance with Article 17, including ICT network performance issues and ICT-related incidents, and to identify potential material single points of failure.

All detection mechanisms referred to in the first subparagraph shall be regularly tested in accordance with Article 25.
EULAW Article 10 2

2.   The detection mechanisms referred to in paragraph 1 shall enable multiple layers of control, define alert thresholds and criteria to trigger and initiate ICT-related incident response processes, including automatic alert mechanisms for relevant staff in charge of ICT-related incident response.
EULAW Article 10 3

3.   Financial entities shall devote sufficient resources and capabilities to monitor user activity, the occurrence of ICT anomalies and ICT-related incidents, in particular cyber-attacks.
EULAW Article 10 4

4.   Data reporting service providers shall, in addition, have in place systems that can effectively check trade reports for completeness, identify omissions and obvious errors, and request re-transmission of those reports.
EULAW Artigo 9.o 1.

No âmbito das políticas, procedimentos, protocolos e ferramentas de segurança no domínio das TIC a que se refere o artigo 9.o, n.o 2, do Regulamento (UE) 2022/2554, as entidades financeiras devem elaborar, documentar e aplicar procedimentos para gerir a capacidade e o desempenho em relação ao seguinte:

a) 

A identificação dos requisitos de capacidade dos seus sistemas de TIC;

b) 

A aplicação da otimização dos recursos;

c) 

Os procedimentos de monitorização para manter e melhorar:

i) 

a disponibilidade de dados e os sistemas de TIC,

ii) 

a eficiência dos sistemas de TIC,

iii) 

a prevenção da escassez de capacidade no domínio das TIC.
EULAW Artigo 9.o 2.
Os procedimentos de gestão da capacidade e do desempenho referidos no n.o 1 devem assegurar que as entidades financeiras tomam as medidas adequadas para ter em conta as especificidades dos sistemas de TIC com processos de adjudicação ou aprovação longos ou complexos ou de sistemas de TIC com utilização intensiva de recursos.
EULAW Artigo 12.o 1.
No âmbito das salvaguardas contra intrusões e utilização abusiva de dados, as entidades financeiras devem desenvolver, documentar e aplicar procedimentos, protocolos e ferramentas de registo.
EULAW Artigo 12.o 2.

Os procedimentos, protocolos e ferramentas de registo referidos no n.o 1 devem conter todos os elementos seguintes:

a) 

A identificação dos eventos a registar, o período de conservação dos registos e as medidas para proteger e tratar os dados dos registos, tendo em conta a finalidade para a qual os registos são criados;

b) 

O alinhamento do nível de pormenor dos registos com a sua finalidade e utilização, a fim de permitir a deteção eficaz de atividades anómalas, tal como referido no artigo 24.o;

c) 

O requisito de registar eventos relacionados com todos os elementos seguintes:

i) 

controlo lógico e físico do acesso, tal como referido no artigo 21.o, e gestão da identidade,

ii) 

gestão da capacidade,

iii) 

gestão das alterações,

iv) 

funcionamento das TIC, incluindo as atividades dos sistemas de TIC,

v) 

atividades de tráfego da rede, incluindo o desempenho da rede de TIC;

d) 

Medidas para proteger os sistemas de registo e as informações que constam dos registos contra a manipulação, a supressão e o acesso não autorizado aos dados conservados, em trânsito e, se for caso disso, em utilização;

e) 

Medidas para detetar uma falha nos sistemas de registo;

f) 

Sem prejuízo de quaisquer requisitos regulamentares aplicáveis ao abrigo do direito da União ou nacional, a sincronização dos relógios de cada um dos sistemas de TIC da entidade financeira com base numa referência temporal fiável e documentada.

Para efeitos da alínea a), as entidades financeiras devem estabelecer o período de conservação, tendo em conta os objetivos empresariais e de segurança da informação, o motivo para registar o evento nos registos e os resultados da avaliação do risco associado às TIC.
EULAW Artigo 23.o 2.

O mecanismo para detetar prontamente atividades anómalas, designadamente problemas de desempenho das redes de TIC e incidentes relacionados com as TIC, tal como referido no artigo 10.o, n.o 1, do Regulamento (UE) 2022/2554, deve permitir às entidades financeiras:

a) 

Recolher, monitorizar e analisar todos os elementos seguintes:

i) 

fatores internos e externos, incluindo, pelo menos, os registos recolhidos em conformidade com o artigo 12.o do presente regulamento, informações provenientes de funções operacionais e de TIC e qualquer problema comunicado pelos utilizadores da entidade financeira,

ii) 

potenciais ciberameaças internas e externas, tendo em conta os cenários geralmente utilizados pelos autores de ameaças e os cenários baseados na atividade de informações sobre ameaças,

iii) 

notificação de incidentes relacionados com as TIC por parte de um terceiro prestador de serviços de TIC da entidade financeira detetados nos sistemas e redes de TIC do terceiro prestador de serviços de TIC e que possam afetar a entidade financeira;

b) 

Identificar atividades e comportamentos anómalos e implementar ferramentas geradoras de alertas para atividades e comportamentos anómalos, pelo menos para os ativos de TIC e de informação que apoiem funções críticas ou importantes;

c) 

Atribuir prioridade aos alertas a que se refere a alínea b), a fim de permitir a gestão dos incidentes relacionados com as TIC detetados dentro do prazo de resolução previsto, conforme especificado pelas entidades financeiras, tanto durante como fora do horário de expediente;

d) 

Registar, analisar e avaliar, automática ou manualmente, quaisquer informações pertinentes sobre todas as atividades e comportamentos anómalos.

Para efeitos da alínea b), as ferramentas referidas nessa alínea devem incluir as ferramentas que emitem alertas automatizados com base em regras predefinidas para identificar anomalias que afetem a exaustividade e a integridade das fontes de dados ou da recolha de registos.
EULAW Artigo 23.o 3.
As entidades financeiras devem proteger qualquer registo das atividades anómalas contra a manipulação ilícita e o acesso não autorizado a dados inativos, em trânsito e, se for caso disso, em uso.
EULAW Artigo 23.o 4.

As entidades financeiras devem registar todas as informações pertinentes para cada atividade anómala detetada que permitam:

a) 

A identificação da data e da hora da ocorrência da atividade anómala;

b) 

A identificação da data e da hora de deteção da atividade anómala;

c) 

A identificação do tipo de atividade anómala.
  • NOREA -

    EN: DORA in Control Framework of NOREA, the Dutch professional association of IT auditors, https://www.norea.nl/. © NOREA. Reproduced with the permission of NOREA; converted into the GRCA format. Only the version published by NOREA is authoritative.

    DE: DORA in Control Framework von NOREA, dem niederländischen Berufsverband der IT-Auditoren, https://www.norea.nl/. © NOREA. Wiedergabe mit Genehmigung von NOREA; in das GRCA-Format umgewandelt. Maßgeblich ist allein die von NOREA veröffentlichte Fassung.