Artículo 4 Disposiciones organizativas para las entidades financieras

a)

el acceso a la información relativa a cualquier prueba de penetración basada en amenazas prevista o en curso está limitado, en función de la necesidad de conocerla, al equipo de control, al órgano de dirección, a los probadores, al proveedor de inteligencia sobre amenazas y a la autoridad competente en relación con la prueba de penetración basada en amenazas;

b)

el equipo de control consulta a los gestores de la prueba antes de implicar a cualquier miembro del equipo azul en una prueba de penetración basada en amenazas;

c)

el equipo de control es informado de cualquier detección de la prueba de penetración basada en amenazas por parte de miembros del personal de la entidad financiera o de sus proveedores terceros de servicios; en caso de traslado de la respuesta al incidente resultante a un nivel de decisión superior, cuando sea necesario, el equipo de control bloquea dicho traslado;

d)

existen disposiciones relativas a la confidencialidad de la prueba de penetración basada en amenazas aplicables al personal de la entidad financiera, al personal de los proveedores terceros de servicios de TIC afectados, a los probadores y al proveedor de inteligencia sobre amenazas;

e)

el equipo de control facilita a los gestores de la prueba, previa solicitud, cualquier información relativa a la prueba de penetración basada en amenazas;

f)

en la medida de lo posible, las partes implicadas en la prueba solo hacen referencia a ella por su nombre clave.