+Άρθρο 7 1
|
Άρθρο 7 1
1. Η ομάδα ελέγχου λαμβάνει μέτρα για τη διαχείριση των κινδύνων που σχετίζονται με την TLPT και διασφαλίζει ειδικότερα ότι, για κάθε TLPT:
|
α)
|
ο πάροχος πληροφοριών για απειλές και οι εξωτερικοί δοκιμαστές παρέχουν στην ομάδα ελέγχου λεπτομερές βιογραφικό σημείωμα και αντίγραφα των πιστοποιήσεων που, σύμφωνα με τα αναγνωρισμένα πρότυπα της αγοράς, ενδείκνυνται για την εκτέλεση των δραστηριοτήτων τους·
|
|
β)
|
ο πάροχος πληροφοριών για απειλές και οι εξωτερικοί δοκιμαστές καλύπτονται δεόντως και πλήρως από σχετική ασφάλιση επαγγελματικής ευθύνης, μεταξύ άλλων έναντι κινδύνων παραπτωμάτων και αμέλειας·
|
|
γ)
|
ο πάροχος πληροφοριών για απειλές παρέχει τουλάχιστον τρεις συστάσεις από προηγούμενες αναθέσεις στο πλαίσιο δοκιμών παρείσδυσης και δοκιμών κόκκινης ομάδας·
|
|
δ)
|
οι εξωτερικοί δοκιμαστές παρέχουν τουλάχιστον πέντε συστάσεις από προηγούμενες αναθέσεις που σχετίζονται με δοκιμές παρείσδυσης και δοκιμές κόκκινης ομάδας·
|
|
ε)
|
τα μέλη του προσωπικού του παρόχου πληροφοριών για απειλές στα οποία έχει ανατεθεί η TLPT:
|
i)
|
περιλαμβάνουν τουλάχιστον έναν διαχειριστή με τουλάχιστον 5ετή πείρα στον τομέα των πληροφοριών για απειλές και τουλάχιστον ένα επιπλέον μέλος με τουλάχιστον 2ετή πείρα στον τομέα των πληροφοριών για απειλές·
|
|
ii)
|
διαθέτουν ευρύ φάσμα και κατάλληλο επίπεδο επαγγελματικών γνώσεων και δεξιοτήτων, συμπεριλαμβανομένων:
|
1)
|
τακτικών, τεχνικών και διαδικασιών συλλογής πληροφοριών·
|
|
2)
|
γεωπολιτικών, τεχνικών και τομεακών γνώσεων·
|
|
3)
|
επαρκών δεξιοτήτων επικοινωνίας για τη σαφή παρουσίαση και υποβολή εκθέσεων σχετικά με το αποτέλεσμα της ανάθεσης.
|
|
|
iii)
|
έχουν συμμετάσχει συνδυαστικά σε τουλάχιστον τρεις προηγούμενες αναθέσεις στον τομέα των πληροφοριών για απειλές στο πλαίσιο δοκιμών παρείσδυσης και δοκιμών κόκκινης ομάδας·
|
|
iv)
|
δεν εκτελούν ταυτόχρονα καθήκοντα μπλε ομάδας ή άλλες υπηρεσίες που ενδέχεται να προκαλέσουν σύγκρουση συμφερόντων όσον αφορά τη χρηματοοικονομική οντότητα, τον τρίτο πάροχο υπηρεσιών ΤΠΕ ή τον ενδοομιλικό πάροχο υπηρεσιών ΤΠΕ που συμμετέχει σε TLPT η οποία τους έχει ανατεθεί·
|
|
v)
|
διαχωρίζονται από το προσωπικό του ίδιου παρόχου TLPT που παρέχει εξωτερικούς δοκιμαστές για την ίδια TLPT και δεν υποβάλλουν αναφορά σε αυτό·
|
|
|
στ)
|
όσον αφορά τους εξωτερικούς δοκιμαστές, η κόκκινη ομάδα στην οποία έχει ανατεθεί η TLPT:
|
i)
|
απαρτίζεται από τουλάχιστον έναν διαχειριστή, με τουλάχιστον 5ετή πείρα σε δοκιμές παρείσδυσης και δοκιμές κόκκινης ομάδας, καθώς και τουλάχιστον δύο επιπλέον δοκιμαστές, καθένας από τους οποίους διαθέτει τουλάχιστον 2ετή πείρα σε δοκιμές παρείσδυσης και δοκιμές κόκκινης ομάδας·
|
|
ii)
|
διαθέτει ευρύ φάσμα και κατάλληλο επίπεδο επαγγελματικών γνώσεων και δεξιοτήτων, συμπεριλαμβανομένων γνώσεων σχετικά με την επιχειρηματική δραστηριότητα της χρηματοοικονομικής οντότητας, την αναγνώριση, τη διαχείριση κινδύνων, την αξιοποίηση της ανάπτυξης, τη φυσική παρείσδυση, την κοινωνική μηχανική, την ανάλυση ευπαθειών, καθώς και επαρκείς δεξιότητες επικοινωνίας για τη σαφή παρουσίαση και υποβολή εκθέσεων σχετικά με το αποτέλεσμα της ανάθεσης·
|
|
iii)
|
έχει συμμετάσχει συνδυαστικά σε τουλάχιστον πέντε προηγούμενες αναθέσεις που σχετίζονται με δοκιμές παρείσδυσης και δοκιμές κόκκινης ομάδας·
|
|
iv)
|
δεν απασχολείται ούτε παρέχει υπηρεσίες σε πάροχο πληροφοριών για απειλές που εκτελεί ταυτόχρονα καθήκοντα μπλε ομάδας είτε για χρηματοοικονομική οντότητα, είτε για τρίτο πάροχο υπηρεσιών ΤΠΕ είτε για ενδοομιλικό πάροχο υπηρεσιών ΤΠΕ που συμμετέχει στην TLPΤ·
|
|
v)
|
διαχωρίζεται από το προσωπικό του ίδιου παρόχου TLPT που παρέχει ταυτόχρονα υπηρεσίες πληροφοριών για απειλές για την ίδια TLPT.
|
|
|
ζ)
|
οι δοκιμαστές και ο πάροχος πληροφοριών για απειλές εκτελούν διαδικασίες αποκατάστασης με την ολοκλήρωση των δοκιμών, συμπεριλαμβανομένης της ασφαλούς διαγραφής πληροφοριών που σχετίζονται με κωδικούς πρόσβασης, διαπιστευτήρια και άλλα μυστικά κλειδιά που παραβιάστηκαν κατά τη διάρκεια της TLPT, της ασφαλούς κοινοποίησης στις χρηματοοικονομικές οντότητες των λογαριασμών που παραβιάστηκαν, της ασφαλούς συλλογής, αποθήκευσης, διαχείρισης και διαγραφής άλλων δεδομένων που συλλέχθηκαν κατά τη διάρκεια των δοκιμών·
|
|
η)
|
οι δοκιμαστές, επιπλέον των διαδικασιών αποκατάστασης με την ολοκλήρωση των δοκιμών που αναφέρονται στο στοιχείο ζ), διενεργούν τις ακόλουθες διαδικασίες αποκατάστασης:
|
i)
|
απενεργοποίηση εντολών και ελέγχου·
|
|
ii)
|
διακόπτες τερματισμού του πεδίου εφαρμογής και της ημερομηνίας·
|
|
iii)
|
αφαίρεση κερκόπορτων και άλλων κακόβουλων λογισμικών·
|
|
iv)
|
κοινοποίηση πιθανής παραβίασης·
|
|
v)
|
διαδικασίες για μελλοντική αποκατάσταση εφεδρικών αντιγράφων που μπορεί να αφορούν κακόβουλο λογισμικό ή εργαλεία που εγκαταστάθηκαν κατά τη διάρκεια της δοκιμής·
|
|
vi)
|
παρακολούθηση των δραστηριοτήτων της μπλε ομάδας και ενημέρωση της ομάδας ελέγχου σχετικά με τυχόν εντοπισμούς·
|
|
|
θ)
|
οι δοκιμαστές και ο πάροχος πληροφοριών για απειλές δεν εκτελούν ούτε συμμετέχουν σε καμία από τις ακόλουθες δραστηριότητες:
|
i)
|
μη εξουσιοδοτημένη καταστροφή εξοπλισμού της χρηματοοικονομικής οντότητας και των οικείων τρίτων παρόχων υπηρεσιών ΤΠΕ, εάν υπάρχουν·
|
|
ii)
|
μη ελεγχόμενη τροποποίηση πληροφοριών και πόρων ΤΠΕ της χρηματοοικονομικής οντότητας και των οικείων τρίτων παρόχων υπηρεσιών ΤΠΕ, εάν υπάρχουν·
|
|
iii)
|
εκούσια παραβίαση της συνέχειας κρίσιμων ή σημαντικών λειτουργιών της χρηματοοικονομικής οντότητας·
|
|
iv)
|
μη εξουσιοδοτημένη συμπερίληψη συστημάτων εκτός πεδίου των δοκιμών·
|
|
v)
|
μη εξουσιοδοτημένη γνωστοποίηση των αποτελεσμάτων των δοκιμών.
|
|
1. Επισκόπηση
1.1 Παραπομπές
1.2 Εντοπισμένες απαιτήσεις
1.3 Σχετικά πρότυπα
2. Εντοπισμένες απαιτήσεις
3. Σχετικά πρότυπα
|