+Artikel 7 1
|
Artikel 7 1
1. Kontrolteamet skal træffe foranstaltninger til at styre de risici, der er forbundet med TLPT'en, og skal navnlig for hver TLPT sikre, at:
|
a)
|
formidleren af trusselsefterretninger og de eksterne testere forsyner kontrolteamet med et udførligt curriculum vitæ og kopier af certificeringer, der i henhold til anerkendte markedsstandarder er velegnede med henblik på udøvelsen af deres aktiviteter
|
|
b)
|
formidleren af trusselsefterretninger og de eksterne testere er behørigt og fuldt ud dækket af de rette erhvervsansvarsforsikringer, herunder mod risici for forseelser og forsømmelighed
|
|
c)
|
formidleren af trusselsefterretninger forelægger mindst tre referencer fra tidligere opgaver med tilknytning til penetrationstest og »red team testing«
|
|
d)
|
de eksterne testere forelægger mindst fem referencer fra tidligere opgaver med tilknytning til penetrationstest og »red team testing«
|
|
e)
|
det personale hos formidleren af trusselsefterretninger, der er udpeget til at gennemføre TLPT'en:
|
i)
|
består af mindst én leder med mindst fem års erfaring inden for trusselsefterretninger og mindst ét yderligere medlem med mindst to års erfaring inden for trusselsefterretninger
|
|
ii)
|
besidder en bred vifte af og et passende niveau af faglig viden og færdigheder, herunder:
|
1)
|
taktikker, teknikker og procedurer vedrørende indsamling af efterretninger
|
|
2)
|
geopolitisk, teknisk og sektorspecifik viden
|
|
3)
|
tilstrækkelige kommunikationsfærdigheder til klart at fremlægge og rapportere om resultatet af indsatsen
|
|
|
iii)
|
samlet set har deltaget i mindst tre tidligere opgaver inden for trusselsefterretninger med tilknytning til penetrationstest og »red team testing«
|
|
iv)
|
ikke samtidig varetager blåt team-opgaver eller andre tjenesteydelser, der kan udgøre en interessekonflikt med hensyn til den finansielle enhed, tredjepartsudbyderen af IKT-tjenester eller en koncernintern IKT-tjenesteudbyder, der er involveret i TLPT, som de er udpeget til at gennemføre
|
|
v)
|
er adskilt fra og ikke rapporterer til personale hos den samme TLPT-udbyder, der stiller eksterne testere til rådighed for den samme TLPT
|
|
|
f)
|
med hensyn til eksterne testere gælder følgende det røde team, der er udpeget til at gennemføre TLPT'en:
|
i)
|
det består af mindst én leder, som har mindst fem års erfaring med penetrationstest og »red team testing« samt mindst to yderligere testere, som hver har mindst to års erfaring med penetrationstest og »red team testing«
|
|
ii)
|
det besidder en bred vifte af og et passende niveau af faglig viden og færdigheder, herunder viden om den finansielle enheds aktiviteter, rekognoscering, risikostyring, udviklingsudnyttelse, fysisk indtrængning, social manipulation, sårbarhedsanalyse samt tilstrækkelige kommunikationsfærdigheder til klart at fremlægge og rapportere om resultatet af indsatsen
|
|
iii)
|
det har samlet set deltaget i mindst fem tidligere opgaver med tilknytning til penetrationstest og »red team testing«
|
|
iv)
|
det er ikke ansat af eller leverer tjenester til en formidler af trusselsefterretninger, der samtidig udfører blåt team-opgaver for enten en finansiel enhed, en tredjepartsudbyder af IKT-tjenester eller en koncernintern IKT-tjenesteudbyder, der er involveret i TLPT'en
|
|
v)
|
det er adskilt fra alt personale hos samme TLPT-udbyder, der samtidig leverer trusselsefterretningstjenester med henblik på samme TLPT
|
|
|
g)
|
testeren og formidleren af trusselsefterretninger gennemfører gendannelsesprocedurer efter testforløbets afslutning, herunder sikker sletning af oplysninger vedrørende adgangskoder, identifikationsoplysninger og andre hemmelige nøgler, der er kompromitteret under TLPT'en, sikker meddelelse til de finansielle enheder af de konti, der er kompromitteret, sikker indsamling, lagring, forvaltning og bortskaffelse af andre data, der er indsamlet under testforløbet
|
|
h)
|
ud over gendannelsesprocedurerne ved testforløbets afslutning, jf. litra g), gennemfører testeren følgende gendannelsesprocedurer:
|
i)
|
deaktivering af kommando og kontrol
|
|
ii)
|
omfangs- og datobestemte nødstopmekanismer (»scope and date kill switches«)
|
|
iii)
|
fjernelse af »bagdøre« og andet malware
|
|
iv)
|
anmeldelse af potentielle brud
|
|
v)
|
procedurer for fremtidig gendannelse af sikkerhedskopiering, som kan vedrøre malware eller værktøj, der er installeret under testforløbet
|
|
vi)
|
overvågning af det blå teams aktiviteter og informering af kontrolteamet om eventuelle mulige detektioner
|
|
|
i)
|
testere og formidleren af trusselsefterretninger må ikke udøve eller deltage i nogen af følgende aktiviteter:
|
i)
|
uautoriseret destruktion af udstyr, som tilhører den finansielle enhed og dens eventuelle tredjepartsudbydere af IKT-tjenester
|
|
ii)
|
ukontrolleret ændring af oplysninger og IKT-tjenester, som tilhører den finansielle enhed og dens eventuelle tredjepartsudbydere af IKT-tjenester
|
|
iii)
|
forsætlig kompromittering af kontinuiteten i den finansielle enheds kritiske eller vigtige funktioner
|
|
iv)
|
uautoriseret inddragelse af systemer uden for anvendelsesområdet
|
|
v)
|
uautoriseret videregivelse af testresultater.
|
|
1. Oversigt
1.1 Referencer
1.2 Identificerede krav
1.3 Relaterede standarder
2. Identificerede krav
3. Relaterede standarder
|