+7 artikla Uhkaperusteisen tunkeutumistestauksen palveluntarjoajien valinta
---+7 artikla 1
---+7 artikla 2

7 artikla Uhkaperusteisen tunkeutumistestauksen palveluntarjoajien valinta

-

1. Yleiskatsaus

,
7 artikla 1

1.   Testaustoimintaa johtavan ryhmän on hallittava uhkaperusteiseen tunkeutumistestaukseen liittyviä riskejä ja varmistettava kunkin uhkaperusteisen tunkeutumistestin osalta erityisesti, että

a)

uhkatiedustelutietojen tarjoaja ja ulkopuoliset testaajat toimittavat testaustoimintaa johtavalle ryhmälle yksityiskohtaisen ansioluettelon ja kopiot sertifioinneista, jotka tunnustettujen markkinastandardien mukaan ovat asianmukaiset niiden tehtäviin nähden;

b)

uhkatiedustelutietojen tarjoajilla ja ulkoisilla testaajilla on asianmukainen ja kattava ammatillinen vastuuvakuutus, joka kattaa myös väärinkäytöksistä ja huolimattomuudesta johtuvat riskit;

c)

uhkatiedustelutietojen tarjoaja esittää todistukset vähintään kolmesta aiemmin tekemästään tunkeutumistestaukseen ja punaisen tiimin testaukseen liittyvästä toimeksiannosta;

d)

ulkoiset testaajat esittävät todistukset vähintään viidestä aiemmin tekemästään tunkeutumistestaukseen ja punaisen tiimin toimintaan liittyvästä toimeksiannosta;

e)

uhkaperusteiseen tunkeutumistestaukseen osoitettu uhkatiedustelutietojen tarjoajan henkilöstö

i)

koostuu vähintään johtajasta, jolla on vähintään viiden vuoden kokemus uhkatiedustelusta, ja vähintään yhdestä muusta jäsenestä, jolla on vähintään kahden vuoden kokemus uhkatiedustelusta;

ii)

osoittaa, että sillä on laajat ja asianmukaiset ammatilliset tiedot ja taidot, jotka kattavat:

1)

tiedustelutaktiikat, -tekniikat ja -menettelyt;

2)

geopoliittisen, teknisen ja alakohtaisen tietämyksen;

3)

riittävät viestintätaidot, jotta harjoituksen tulokset voidaan esitellä ja niistä voidaan raportoida selkeästi;

iii)

on osallistunut yhteenlaskettuna vähintään kolmeen aiempaan uhkatiedustelutoimeksiantoon tunkeutumisentestauksen ja punaisen tiimin testauksen yhteydessä;

iv)

ei suorita samanaikaisesti sinisen tiimin tehtäviä tai tarjoa muita palveluja, jotka voivat aiheuttaa eturistiriidan suhteessa sellaiseen finanssiyhteisöön, TVT-palveluntarjoajana olevaan kolmanteen osapuoleen tai konsernin sisäiseen TVT-palveluntarjoajaan, joka osallistuu henkilöstön kanssa samaan uhkaperusteiseen tunkeutumistestaukseen;

v)

on erotettu sellaisesta saman uhkaperusteisen tunkeutumistestauksen palveluntarjoajan henkilöstöstä, joka tarjoaa ulkoisia testaajia samaan uhkaperusteiseen tunkeutumistestaukseen, eikä se raportoi kyseiselle henkilöstölle;

f)

uhkaperusteiseen tunkeutumistestaukseen osoitettu ulkopuolisten testaajien punainen tiimi

i)

koostuu vähintään yhdestä johtajasta, jolla on vähintään viiden vuoden kokemus tunkeutumistestauksesta ja punaisen tiimin testauksesta, sekä vähintään kahdesta muusta testaajasta, joilla kummallakin on vähintään kahden vuoden kokemus tunkeutumistestauksesta ja punaisen tiimin testauksesta;

ii)

osoittaa, että sillä on laajat ja asianmukaiset ammatilliset tiedot ja taidot, mukaan lukien tiedot finanssiyhteisön liiketoiminnasta, tiedustelusta, riskien hallinnasta, haavoittuvuuksien hyödyntämisestä, fyysisestä tunkeutumisesta, käyttäjien manipuloinnista ja haavoittuvuusanalyysistä, sekä riittävät viestintätaidot, jotta harjoituksen tulokset voidaan esitellä ja niistä voidaan raportoida selkeästi;

iii)

on osallistunut yhteenlaskettuna vähintään viiteen aiempaan tunkeutumistestiin ja punaisen tiimin testiin;

iv)

ei ole sellaisen uhkatiedustelutietojen tarjoajan palveluksessa eikä toimita palveluja sellaiselle uhkatiedustelutietojen tarjoajalle, joka suorittaa samanaikaisesti sinisen tiimin tehtäviä uhkaperusteiseen tunkeutumistestaukseen osallistuvalle finanssiyhteisölle, TVT-palveluntarjoajana olevalle kolmannelle osapuolelle tai konsernin sisäiselle TVT-palveluntarjoajalle;

v)

on erotettu sellaisesta saman uhkaperusteisen tunkeutumistestauksen palveluntarjoajan henkilöstöstä, joka tuottaa samanaikaisesti uhkatiedustelupalveluja samaa uhkaperusteista tunkeutumistestausta varten;

g)

testaajat ja uhkatiedustelutietojen tarjoaja suorittavat testauksen lopussa palautusmenettelyt, mukaan lukien testin aikana vaarantuneisiin salasanoihin, käyttöoikeuksiin ja muihin salaisiin avaimiin liittyvien tietojen turvallinen poistaminen, suojattu viestintä finanssiyhteisöille vaarantuneista käyttäjätileistä sekä muiden testauksen aikana kerättyjen tietojen turvallinen kerääminen, tallentaminen, hallinta ja hävittäminen;

h)

testauksen lopuksi toteutettavien g alakohdassa tarkoitettujen palautusmenettelyjen lisäksi testaajien on toteutettava seuraavat palautusmenettelyt:

i)

järjestelmien hallinnasta luopuminen

ii)

soveltamisalaan ja määräaikaan liittyvät hätäpysäyttimet;

iii)

takaporttien ja muiden haittaohjelmien poistaminen;

iv)

mahdollisesta tietoturvaloukkauksesta ilmoittaminen;

v)

menettelyt sellaisten varmuuskopioiden tulevaa palauttamista varten, joihin testin aikana on kohdistettu haittaohjelmia tai asennettu työkaluja;

vi)

sinisen tiimin toiminnan seuranta ja mahdollisesta havaituksi tulemisesta ilmoittaminen testaustoimintaa johtavalle ryhmälle;

i)

testaajat ja uhkatiedustelutietojen tarjoaja eivät saa itse tehdä seuraavia toimia eivätkä osallistua seuraaviin toimiin:

i)

tuhota luvattomasti finanssiyhteisön ja sen mahdollisten TVT-palveluntarjoajana olevien kolmansien osapuolten laitteita;

ii)

muuttaa luvattomasti finanssiyhteisön ja sen mahdollisten TVT-palveluntarjoajana olevien kolmansien osapuolten tietoja;

iii)

vaarantaa tahallisesti finanssiyhteisön kriittisten tai tärkeiden toimintojen jatkuvuutta;

iv)

käsitellä luvattomasti testauksen soveltamisalan ulkopuolelle rajattuja järjestelmiä;

v)

paljastaa testituloksia ilman lupaa.
7 artikla 2

2.   Testaustoimintaa johtavan ryhmän on pidettävä kirjaa asiakirjoista, jotka testaajat ja uhkatiedustelutietojen tarjoajat ovat toimittaneet todisteeksi 1 kohdan a–f alakohdan noudattamisesta.

Finanssiyhteisöt voivat poikkeuksellisissa olosuhteissa tehdä sopimuksia sellaisten ulkoisten testaajien ja uhkatiedustelutietojen tarjoajien kanssa, jotka eivät täytä yhtä tai useampaa 1 kohdan a–f alakohdassa säädetyistä vaatimuksista, edellyttäen, että kyseiset finanssiyhteisöt toteuttavat asianmukaiset toimenpiteet lieventääkseen mainittujen kohtien noudattamatta jättämisestä aiheutuvia riskejä ja kirjaavat kyseiset toimenpiteet.

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät standardit

Standardit