1. Les entités financières mettent en place l’ensemble des modalités suivantes en ce qui concerne le recours à des testeurs internes:
|
a)
|
l’établissement et la mise en œuvre d’une politique de gestion des testeurs internes dans le cadre d’un TIFM;
|
|
b)
|
des mesures visant à garantir que le recours à des testeurs internes pour effectuer un TIFM n’a pas d’incidence négative sur les capacités générales de défense ou de résilience de l’entité financière en ce qui concerne les incidents liés aux TIC ni d’incidence significative sur la disponibilité des ressources consacrées aux tâches liées aux TIC durant un TIFM;
|
|
c)
|
des mesures visant à garantir que les testeurs internes disposent de ressources et de capacités suffisantes pour effectuer un TIFM.
|
La politique visée au point a):
|
a)
|
contient des critères permettant d’évaluer l’adéquation, les compétences et les conflits d’intérêts potentiels des testeurs internes et précise les responsabilités de gestion dans le cadre du processus de test;
|
|
b)
|
est documentée et réexaminée périodiquement;
|
|
c)
|
prévoit que l’équipe de test interne est composée d’un chef et d’au moins deux autres membres;
|
|
d)
|
exige que tous les membres de l’équipe de test aient fait partie des salariés de l’entité financière ou d’un prestataire de services TIC intra-groupe pendant les 12 derniers mois;
|
|
e)
|
prévoit des dispositions concernant la formation des testeurs internes à la réalisation de tests d’intrusion et de tests en équipe rouge.
|