+Článek 7 Výběr poskytovatelů penetračního testování na základě hrozeb
---+Článek 7 1
---+Článek 7 2

Článek 7 Výběr poskytovatelů penetračního testování na základě hrozeb

-

1. Přehled

,
Článek 7 1

1.   Řídící tým přijme opatření k řízení rizik souvisejících s penetračním testováním na základě hrozeb a zejména zajistí, aby v případě každého penetračního testování na základě hrozeb:

a)

poskytovatel operativních informací o hrozbách a externí subjekty provádějící testování poskytli řídícímu týmu podrobný životopis a kopie osvědčení, která jsou podle uznávaných tržních standardů vhodná pro výkon jejich činnosti;

b)

poskytovatel operativních informací o hrozbách a externí subjekt provádějící testování byli řádně a plně kryti vhodným pojištěním odpovědnosti za škody při výkonu povolání, včetně rizik pochybení a nedbalosti;

c)

poskytovatel operativních informací o hrozbách poskytl alespoň tři reference z předchozích úkolů v souvislosti s penetračním testováním a testováním metodou „červeného týmu“;

d)

externí subjekty provádějící testování poskytly alespoň pět referencí z předchozích úkolů týkajících se penetračního testování a testování metodou „červeného týmu“;

e)

zaměstnanci poskytovatele operativních informací o hrozbách přiděleného k penetračnímu testováním na základě hrozeb:

i)

zahrnovali alespoň vedoucího pracovníka s nejméně pětiletou praxí v oblasti operativních informací o hrozbách a alespoň jednoho dalšího člena s nejméně dvouletou praxí v oblasti operativních informací o hrozbách;

ii)

měli široký záběr a odpovídající úroveň odborných znalostí a dovedností, včetně:

1)

taktik, technik a postupů shromažďování operativních informací;

2)

geopolitických, technických a odvětvových znalostí;

3)

odpovídajících komunikačních dovedností, aby dokázali jasně informovat a podávat zprávy o výsledku svého zapojení;

iii)

byli kombinovaně zapojeni v nejméně třech předchozích úkolech v oblasti operativních informací o hrozbách v rámci penetračního testování a testování metodou „červeného týmu“;

iv)

současně nevykonávali žádné úkoly modrého týmu ani jiné služby, které by mohly představovat střet zájmů ve vztahu k finančnímu subjektu, poskytovateli služeb IKT z řad třetích stran nebo poskytovateli služeb IKT v rámci skupiny zapojenému do penetračního testováním na základě hrozeb, k němuž jsou přiděleni;

v)

byli odděleni od zaměstnanců téhož poskytovatele penetračního testování na základě hrozeb, který zajišťuje externí subjekty provádějící testování pro stejné penetrační testování na základě hrozeb, a nebyli těmto zaměstnancům podřízeni;

f)

pokud jde o externí subjekty provádějící testování, červený tým přidělený k penetračnímu testování na základě hrozeb:

i)

se skládal minimálně z vedoucího pracovníka s nejméně pětiletou praxí v oblasti penetračního testování a testování metodou „červeného týmu“ a z nejméně dvou dalších subjektů provádějících testování, z nichž každý má nejméně dvouletou praxi v oblasti penetračního testování a testování metodou „červeného týmu“;

ii)

měl široký záběr a odpovídající úroveň odborných znalostí a dovedností, včetně znalostí o podnikání finančního subjektu, průzkumu, řízení rizik, vývoji využití, fyzickém průniku, sociálním inženýrství, analýze zranitelností, jakož i odpovídající komunikační dovednosti, aby dokázal jasně informovat a podávat zprávy o výsledku svého zapojení;

iii)

byl kombinovaně zapojen v nejméně pěti předchozích úkolech týkajících se penetračního testování a testování metodou „červeného týmu“;

iv)

nebyl zaměstnán poskytovatelem operativních informací o hrozbách ani neposkytoval služby poskytovateli operativních informací o hrozbách, který současně plní úkoly modrého týmu buď pro finanční subjekt, nebo pro poskytovatele služeb IKT z řad třetích stran, nebo pro poskytovatele služeb IKT v rámci skupiny, který je zapojen do penetračního testování na základě hrozeb;

v)

byl oddělen od všech zaměstnanců téhož poskytovatele penetračního testování na základě hrozeb, který současně poskytuje služby týkající se operativních informací o hrozbách pro stejné penetrační testování na základě hrozeb;

g)

subjekty provádějící testování a poskytovatel operativních informací o hrozbách provedli na konci testování postupy obnovy, včetně bezpečného vymazání informací týkajících se hesel, přihlašovacích údajů a dalších tajných klíčů, které byly během penetračního testování na základě hrozeb ohroženy, informování finančního subjektu o ohrožených účtech bezpečnou cestou a bezpečného shromažďování, ukládání, správy a likvidace dalších údajů shromážděných během testování;

h)

kromě postupů obnovy na konci testování uvedených v písmenu g) provedly subjekty provádějící testování následující postupy obnovy:

i)

deaktivaci ovládání a řízení;

ii)

nouzové vypínače („kill switches“) pro rozsah a datum;

iii)

odstranění zadních vrátek a dalšího škodlivého softwaru;

iv)

oznámení o možném narušení;

v)

postupy pro budoucí obnovu záloh, které se mohou týkat škodlivého softwaru nebo nástrojů nainstalovaných během testu;

vi)

sledování činnosti modrého týmu a informování řídícího týmu o případných zjištěních;

i)

subjekty provádějící testování a poskytovatel operativních informací o hrozbách neprováděli žádnou z následujících činností a ani se na nich nepodíleli:

i)

neoprávněné zničení zařízení finančního subjektu a jeho případných poskytovatelů služeb IKT z řad třetích stran;

ii)

neřízené úpravy informací a aktiv IKT finančního subjektu a jeho případných poskytovatelů služeb IKT z řad třetích stran;

iii)

záměrné narušení kontinuity zásadních nebo důležitých funkcí finančního subjektu;

iv)

neoprávněné zahrnutí systémů mimo stanovený rozsah;

v)

neoprávněné zveřejnění výsledků testů.
Článek 7 2

2.   Řídící tým vede záznamy o dokumentaci poskytnuté subjekty provádějícími testování a poskytovateli operativních informací o hrozbách, aby prokázal soulad s odst. 1 písm. a) až f).

Finanční subjekty mohou ve výjimečných případech uzavřít smlouvu s externími subjekty provádějícími testování a poskytovateli operativních informací o hrozbách, kteří nesplňují jeden nebo více požadavků uvedených v odst. 1 písm. a) až f), za předpokladu, že tyto finanční subjekty přijmou opatření, která jsou vhodná ke zmírnění rizik souvisejících s nesplněním těchto požadavků, a o těchto opatřeních pořídí záznamy.

1.1 Odkazy

1.2 Identifikované požadavky

1.3 Související standardy

2. Identifikované požadavky

Požadavky

3. Související standardy

Standardy