1. Las entidades financieras establecerán todas las disposiciones siguientes para el recurso a probadores internos:
|
a)
|
el establecimiento y la aplicación de una política para la gestión de probadores internos en el marco de una prueba de penetración basada en amenazas;
|
|
b)
|
medidas para garantizar que el recurso a probadores internos para llevar a cabo una prueba de penetración basada en amenazas no afecte negativamente a las capacidades generales defensivas o de resiliencia de la entidad financiera frente a incidentes relacionados con las TIC ni afecte de manera significativa a la disponibilidad de recursos dedicados a tareas relacionadas con las TIC durante una prueba de esta naturaleza;
|
|
c)
|
medidas para garantizar que los probadores internos dispongan de recursos y capacidades suficientes para llevar a cabo una prueba de penetración basada en amenazas.
|
La política a que se refiere la letra a):
|
a)
|
contendrá criterios para evaluar la idoneidad, la competencia y los posibles conflictos de intereses de los probadores internos, así como para especificar las responsabilidades de gestión en el proceso de la prueba;
|
|
b)
|
se documentará y será objeto de revisiones periódicas;
|
|
c)
|
dispondrá que el equipo de pruebas interno incluya un responsable y al menos dos miembros adicionales;
|
|
d)
|
exigirá que todos los miembros del equipo de pruebas hayan sido contratados por la entidad financiera o por un proveedor intragrupo de servicios de TIC durante los 12 meses anteriores;
|
|
e)
|
incluirá disposiciones relativas a la formación sobre cómo los probadores internos han de realizar pruebas de penetración y pruebas de equipo rojo.
|