Článek 7 Výběr poskytovatelů penetračního testování na základě hrozeb

i)

zahrnovali alespoň vedoucího pracovníka s nejméně pětiletou praxí v oblasti operativních informací o hrozbách a alespoň jednoho dalšího člena s nejméně dvouletou praxí v oblasti operativních informací o hrozbách;

ii)

měli široký záběr a odpovídající úroveň odborných znalostí a dovedností, včetně:

iii)

byli kombinovaně zapojeni v nejméně třech předchozích úkolech v oblasti operativních informací o hrozbách v rámci penetračního testování a testování metodou „červeného týmu“;

iv)

současně nevykonávali žádné úkoly modrého týmu ani jiné služby, které by mohly představovat střet zájmů ve vztahu k finančnímu subjektu, poskytovateli služeb IKT z řad třetích stran nebo poskytovateli služeb IKT v rámci skupiny zapojenému do penetračního testováním na základě hrozeb, k němuž jsou přiděleni;

v)

byli odděleni od zaměstnanců téhož poskytovatele penetračního testování na základě hrozeb, který zajišťuje externí subjekty provádějící testování pro stejné penetrační testování na základě hrozeb, a nebyli těmto zaměstnancům podřízeni;

i)

se skládal minimálně z vedoucího pracovníka s nejméně pětiletou praxí v oblasti penetračního testování a testování metodou „červeného týmu“ a z nejméně dvou dalších subjektů provádějících testování, z nichž každý má nejméně dvouletou praxi v oblasti penetračního testování a testování metodou „červeného týmu“;

ii)

měl široký záběr a odpovídající úroveň odborných znalostí a dovedností, včetně znalostí o podnikání finančního subjektu, průzkumu, řízení rizik, vývoji využití, fyzickém průniku, sociálním inženýrství, analýze zranitelností, jakož i odpovídající komunikační dovednosti, aby dokázal jasně informovat a podávat zprávy o výsledku svého zapojení;

iii)

byl kombinovaně zapojen v nejméně pěti předchozích úkolech týkajících se penetračního testování a testování metodou „červeného týmu“;

iv)

nebyl zaměstnán poskytovatelem operativních informací o hrozbách ani neposkytoval služby poskytovateli operativních informací o hrozbách, který současně plní úkoly modrého týmu buď pro finanční subjekt, nebo pro poskytovatele služeb IKT z řad třetích stran, nebo pro poskytovatele služeb IKT v rámci skupiny, který je zapojen do penetračního testování na základě hrozeb;

v)

byl oddělen od všech zaměstnanců téhož poskytovatele penetračního testování na základě hrozeb, který současně poskytuje služby týkající se operativních informací o hrozbách pro stejné penetrační testování na základě hrozeb;

i)

deaktivaci ovládání a řízení;

ii)

nouzové vypínače („kill switches“) pro rozsah a datum;

iii)

odstranění zadních vrátek a dalšího škodlivého softwaru;

iv)

oznámení o možném narušení;

v)

postupy pro budoucí obnovu záloh, které se mohou týkat škodlivého softwaru nebo nástrojů nainstalovaných během testu;

vi)

sledování činnosti modrého týmu a informování řídícího týmu o případných zjištěních;

i)

neoprávněné zničení zařízení finančního subjektu a jeho případných poskytovatelů služeb IKT z řad třetích stran;

ii)

neřízené úpravy informací a aktiv IKT finančního subjektu a jeho případných poskytovatelů služeb IKT z řad třetích stran;

iii)

záměrné narušení kontinuity zásadních nebo důležitých funkcí finančního subjektu;

iv)

neoprávněné zahrnutí systémů mimo stanovený rozsah;

v)

neoprávněné zveřejnění výsledků testů.