+Artikel 23 2.

Artikel 23 2.

Mekanismen för att snabbt upptäcka onormal verksamhet, inbegripet frågor som rör IKT-nätverkens prestanda och IKT-relaterade incidenter, som avses i artikel 10.1 i förordning (EU) 2022/2554, ska göra det möjligt för finansiella entiteter att

a) 

samla in, övervaka och analysera

i) 

interna och externa faktorer, inklusive åtminstone de loggar som samlats in i enlighet med artikel 12 i denna förordning, information från affärsfunktioner och IKT-funktioner samt eventuella problem som rapporterats av användare av den finansiella entiteten,

ii) 

potentiella interna och externa cyberhot, med beaktande av scenarier som vanligtvis används av fientliga aktörer och scenarier baserade på underrättelser om hot,

iii) 

underrättelser från en tredjepartsleverantör av IKT-tjänster till den finansiella entiteten om IKT-relaterade incidenter som upptäckts i IKT-system och IKT-nätverk hos tredjepartsleverantören av IKT-tjänster och som kan beröra den finansiella entiteten,

b) 

identifiera onormal verksamhet och onormalt beteende, och införa verktyg som utfärdar varningar för onormal verksamhet och onormalt beteende, åtminstone för IKT-tillgångar och informationstillgångar som stöder kritiska eller viktiga funktioner,

c) 

prioritera de varningar som avses i led b för att möjliggöra hantering av de upptäckta IKT-relaterade incidenterna inom den förväntade åtgärdstiden, enligt vad som anges av finansiella entiteter, både under och utanför arbetstid,

d) 

registrera, analysera och utvärdera all relevant information om all onormal verksamhet och allt onormalt beteende automatiskt eller manuellt.

Vid tillämpning av led b ska de verktyg som avses i det ledet innehålla verktyg som tillhandahåller automatiska varningar baserade på fördefinierade regler för att identifiera avvikelser som påverkar datakällornas eller logginsamlingens fullständighet och integritet.

1. Översikt

,

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

Krav

3. Relaterade standarder

Standarder
NOREA Security Monitoring (SIEM)

Put in place mechanisms to detect anomalous activities, including network performance issues, incidents (reported by the third-parties in the services that they provide), and potential material single points of failure. The mechanisms shall enable multi-layers of control, define alerting thresholds, monitoring on specific events and criteria to automatically trigger incident response. Identify and implement tools generating alerts of anomalous activities and behaviour, at least for ICT assets and information assets supporting critical or important functions. Devote sufficient resources to detection and monitoring activities, especially to cybersecurity attacks.
NOREA Event Identification for Logging

Identify events to be logged, covering logical access, physical access, identity management, capacity management, change management, ICT operation (including system activity), and network traffic activities (including network performance). Determine the level of detail for the logs, aligning with the purpose for which the logs were created and to enable effective detection of anomalous activities. Define retention periods for logs, considering business and security objectives, the purpose of recording logs, and risk assessments.

*Data reporting service providers shall, in addition, have in place systems that can effectively check trade reports for completeness, identify omissions and obvious errors, and request re-transmission of those reports.
NOREA Secure Handling of Log Data
Implement measures to secure and handle log data, taking into account the purpose for which the logs were created. Establish measures to detect failures in logging systems. Protect the recording of anomalous activities against tampering and unauthorised access at rest, in use, where relevant, and in transit.