Článek 4 Organizační uspořádání finančních subjektů

a)

přístup k informacím týkajícím se jakéhokoli plánovaného nebo probíhajícího penetračního testování na základě hrozeb byl omezen na základě potřeby „vědět jen to nejnutnější“ na řídící tým, vedoucí orgán, subjekty provádějící testování, poskytovatele operativních informací o hrozbách a orgán pro penetrační testování na základě hrozeb;

b)

řídící tým konzultoval vedoucí pracovníky pro testy před zapojením kteréhokoli člena modrého týmu do penetračního testování na základě hrozeb;

c)

řídící tým byl informován o každém zjištění v rámci penetračního testování na základě hrozeb zaměstnanci finančního subjektu nebo jeho poskytovatelů služeb z řad třetích stran; v případě potřeby eskalace reakce na vzniklý incident řídící tým tuto eskalaci omezil;

d)

byla zavedena opatření týkající se zachování důvěrnosti penetračního testování na základě hrozeb, která se vztahují na zaměstnance finančního subjektu, zaměstnance dotčených poskytovatelů služeb IKT z řad třetích stran, subjekty provádějící testování a poskytovatele operativních informací o hrozbách;

e)

řídící tým na požádání poskytl vedoucím pracovníkům pro testy veškeré informace týkající se penetračního testování na základě hrozeb;

f)

zúčastněné strany zapojené do penetračního testování na základě hrozeb na toto testování odkazovaly pouze názvem kódu.