+Artikkel 7 Ohuteabel põhineva läbistustestimise teenuse osutajate valimine
---+Artikkel 7 1
---+Artikkel 7 2

Artikkel 7 Ohuteabel põhineva läbistustestimise teenuse osutajate valimine

-

1. Ülevaade

,
Artikkel 7 1

1.   Kontrollitiim peab võtma meetmeid, et juhtida ohuteabel põhineva läbistustestimisega seotud riske ning eelkõige tagada iga ohuteabel põhineva läbistustestimise puhul järgmine:

a)

ohuteadmuse pakkuja ja välistestijad esitavad kontrollitiimile üksikasjaliku elulookirjelduse ja koopiad tunnistustest, mis on tunnustatud turustandardite kohaselt nende ülesannete täitmiseks asjakohased;

b)

ohuteadmuse pakkuja ja välistestija on nõuetekohaselt ja täielikult kaetud asjakohase ametialase vastutuskindlustusega, sealhulgas väärkäitumise ja hooletuse riskide vastu;

c)

ohuteadmuse pakkuja esitab vähemalt kolm viidet varasematele läbistustestimistele ja punase tiimi testimistele;

d)

välistestijad esitavad vähemalt viis viidet varasematele läbistustestimistele ja punase tiimi testimistele;

e)

ohuteabel põhineva läbistustestimise jaoks määratud ohuteadmuse pakkuja töötajad peavad vastama järgmistele tingimustele:

i)

nende hulka kuuluvad vähemalt juht, kellel on ohuteadmuse valdkonnas vähemalt viis aastat kogemust, ja vähemalt üks täiendav liige, kellel on ohuteadmuse valdkonnas vähemalt kaks aastat kogemust;

ii)

neil peavad olema ulatuslikud ja piisavad kutseteadmised ning -oskused, sh järgmine:

1)

ohuteadmuse kogumise taktikad, võtted ja menetlused;

2)

geopoliitilised, tehnilised ja sektoripõhised teadmised;

3)

piisav suhtlemisoskus, et esitada selgelt oma ülesande tulemus ja selle kohta aru anda;

iii)

nad on ühiselt osalenud vähemalt kolme varasema ohuteadmuse valdkonna ülesande täitmisel läbistustestimise ja punase tiimi testimise kontekstis;

iv)

nad ei täida samal ajal sinise tiimi ülesandeid ega osuta muid teenuseid, mis võivad tekitada huvide konflikti selles ohuteabel põhinevas läbistustestimises osaleva finantssektori ettevõtja, kolmandast isikust IKT-teenuste osutaja või kontsernisisese IKT-teenuste osutaja puhul, kuhu nad on määratud;

v)

nad on eraldiseisvad sama ohuteabel põhineva läbistustestimise teenuse osutaja töötajatest, kes osutavad sama ohuteabel põhineva läbistustestimise puhul välistestimise teenuseid, ning ei anna neile aru;

f)

välistestijate puhul peab ohuteabel põhineva läbistustestimise jaoks määratud punane tiim vastama järgmistele nõuetele:

i)

nende hulka kuuluvad vähemalt juht, kellel on läbistustestimise ja punase tiimi testimise valdkonnas vähemalt viis aastat kogemust, ning vähemalt kaks täiendavat testijat, kes on kumbki tegutsenud läbistustestimise ja punase tiimi testimise valdkonnas vähemalt kaks aastat;

ii)

neil on ulatuslikud ja piisavad kutseteadmised ning -oskused, sh teadmised finantssektori ettevõtja tegevuse, rekke, riskijuhtimise, ärakasutatavate nõrkuste väljatöötamise, füüsilise läbistuse, sotsiaalse manipulatsiooni ja haavatavuste analüüsi kohta ning piisav suhtlemisoskus, et esitada selgelt oma ülesande tulemus ja selle kohta aru anda;

iii)

nad on ühiselt osalenud vähemalt viie varasema ülesande täitmisel läbistustestimise ja punase tiimi testimise kontekstis;

iv)

nad ei ole sellise ohuteadmuse pakkuja töötajad, kes täidab samal ajal sinise tiimi ülesandeid ohuteabel põhinevas läbistustestimises osaleva finantssektori ettevõtja, kolmandast isikust IKT-teenuste osutaja või kontsernisisese IKT-teenuste osutaja heaks, ega osuta talle teenuseid;

v)

nad on sama ohuteabel põhineva läbistustestimise jaoks samal ajal ohuteadmuse pakkuja teenuseid osutava sama ohuteabel põhineva läbistustestimise teenuse osutaja mis tahes töötajatest eraldiseisvad;

g)

testijad ja ohuteadmuse pakkuja viivad testimise lõpus ellu taastemenetlused, sh kustutavad turvalisel viisil teabe, mis on seotud ohuteabel põhineva läbistustestimise ajal ohtu seatud paroolide, mandaatide ja muude salajaste võtmetega, teavitavad turvaliselt finantssektori ettevõtjaid ohtu seatud kontodest ning koguvad, säilitavad, haldavad ja kõrvaldavad testimise ajal kogutud muid andmeid turvalisel viisil;

h)

testijad rakendavad lisaks punktis g osutatud testimise lõpus rakendatavatele taastemenetlustele järgmisi taastemenetlusi:

i)

juhtimissüsteemi peatamine;

ii)

kohaldamisala ja kuupäevaga seotud hädalülitid;

iii)

tagauste ja muu pahavara kõrvaldamine;

iv)

potentsiaalsetest rikkumistest teatamine;

v)

menetlused tulevaseks varundamistaasteks, mis võib hõlmata pahavara või testi ajal installitud vahendeid;

vi)

sinise tiimi tegevuse järelevalve ja kontrollitiimi teavitamine mis tahes võimalikest avastamistest;

i)

testijad ja ohuteadmuse pakkuja ei vii ellu ühtegi järgmistest tegevustest ega osale nendes:

i)

finantssektori ettevõtja ja tema kolmandast isikust IKT-teenuste osutajate (kui neid on) seadmete lubamatu hävitamine;

ii)

finantssektori ettevõtja ja tema kolmandast isikust IKT-teenuste osutajate (kui neid on) teabe ja IKT-vara kontrollimatu muutmine;

iii)

finantssektori ettevõtja kriitilise tähtsusega või oluliste funktsioonide talitluspidevuse tahtlik ohustamine;

iv)

kohaldamisalast väljaspool olevate süsteemide lubamatu kaasamine;

v)

testitulemuste lubamatu avalikustamine.
Artikkel 7 2

2.   Kontrollitiim peab pidama registrit testijate ja ohuteadmuse pakkujate esitatud dokumentidest, et tõendada lõike 1 punktide a–f järgimist.

Erandolukorras võivad finantssektori ettevõtjad sõlmida lepinguid välistestijate ja ohuteadmuse pakkujatega, kes ei vasta mõnele lõike 1 punktides a–f osutatud nõuetest, kui kõnealused finantssektori ettevõtjad võtavad meetmeid, mis sobivad kõnealustele punktidele mittevastavusega seotud riskide maandamiseks, ning registreerivad kõnealused meetmed.

1.1 Viited

1.2 Tuvastatud nõuded

1.3 Seotud standardid

2. Tuvastatud nõuded

Nõuded

3. Seotud standardid

Standardid