Gebeurtenisgegevens worden verzameld en gecorreleerd vanuit meerdere bronnen en sensoren
Maatregel
De functionaliteit voor het loggen van activiteiten van beschermings-/detectiehardware of -software (bijv. firewalls, antivirus) moet worden ingeschakeld, er moet een back-up van worden gemaakt en deze moet worden beoordeeld.
Richtlijn
Van logbestanden moet een back-up worden gemaakt en ze moeten voor een vooraf bepaalde periode worden opgeslagen.
De logbestanden moeten worden beoordeeld op ongebruikelijke of ongewenste trends, zoals een groot gebruik van sociale media websites of een ongebruikelijk aantal virussen dat consequent op een bepaalde computer wordt aangetroffen. Deze trends kunnen duiden op een ernstiger probleem of op de noodzaak van sterkere bescherming op een bepaald gebied.
