+Članak 7. Odabir pružatelja usluga TLPT-a
---+Članak 7. 1
---+Članak 7. 2

Članak 7. Odabir pružatelja usluga TLPT-a

1. Pregled

,
Članak 7. 1

1.   Kontrolni tim poduzima mjere za upravljanje rizicima povezanima s TLPT-om i posebno osigurava da za svaki TLPT:

(a)

pružatelj saznanja o prijetnjama i vanjski provoditelji testiranja kontrolnom timu dostave detaljan životopis i preslike potvrda koje, u skladu s priznatim tržišnim standardima, dokazuju primjerenost za obavljanje njihovih djelatnosti;

(b)

pružatelj saznanja o prijetnjama i vanjski provoditelj testiranja imaju propisna i cjelovita osiguranja od profesionalne odgovornosti, što uključuje rizike od protupravnog i nemarnog postupanja;

(c)

pružatelj saznanja o prijetnjama dostavi najmanje tri preporuke iz prethodnih angažmana u kontekstu penetracijskih testiranja i testiranja crvenog tima;

(d)

vanjski provoditelji testiranja dostave najmanje pet preporuka iz prethodnih angažmana povezanih s penetracijskim testiranjem i testiranjem crvenog tima;

(e)

osoblje pružatelja saznanja o prijetnjama koje radi na TLPT-u:

i.

uključuje najmanje jednog voditelja s najmanje pet godina iskustva u području saznanja o prijetnjama i najmanje jednog dodatnog člana s najmanje dvije godine iskustva u području saznanja o prijetnjama;

ii.

posjeduje širok raspon i odgovarajuću razinu stručnog znanja i vještina, uključujući:

1.

taktike, tehnike i postupke za prikupljanje saznanja;

2.

geopolitička, tehnička i sektorska znanja;

3.

odgovarajuće komunikacijske vještine za jasno iznošenje rezultata angažmana i izvješćivanje o njima;

iii.

zajednički ima iskustva u sudjelovanju u najmanje tri prethodna angažmana u području prikupljanja saznanja o prijetnjama u kontekstu penetracijskog testiranja i testiranja crvenog tima;

iv.

ne obavlja istodobno zadaće plavog tima niti pruža druge usluge koje bi mogle dovesti do sukoba interesa u odnosu na financijski subjekt, treću stranu pružatelja IKT usluga ili pružatelja IKT usluga unutar grupe koji je uključen u TLPT na kojem rade;

v.

djeluje odvojeno od osoblja i ne odgovara osoblju pružatelja usluga TLPT-a ako je taj pružatelj usluga isti kao onaj koji osigurava vanjske provoditelje testiranja za isti TLPT;

(f)

kad je riječ o vanjskim provoditeljima testiranja, crveni tim dodijeljen TLPT-u:

i.

uključuje najmanje jednog voditelja s najmanje pet godina iskustva u području penetracijskog testiranja i testiranja crvenog tima te najmanje dva dodatna provoditelja testiranja, od kojih svaki ima najmanje dvije godine iskustva u području penetracijskog testiranja i testiranja crvenog tima;

ii.

posjeduje širok raspon i odgovarajuću razinu stručnog znanja i vještina, uključujući znanje o poslovanju financijskog subjekta, izviđanju, upravljanju rizicima, razvoju otkrivanja i iskorištavanja ranjivosti, fizičkoj penetraciji, socijalnom inženjeringu i analizi ranjivosti, kao i odgovarajuće komunikacijske vještine za jasno iznošenje rezultata angažmana i izvješćivanje o njima;

iii.

zajednički ima iskustva u sudjelovanju u najmanje pet prethodnih angažmana povezanih s penetracijskim testiranjem i testiranjem crvenog tima;

iv.

nije zaposlen u pružatelju saznanja o prijetnjama niti pruža usluge tom pružatelju koji istodobno obavlja zadaće plavog tima za financijski subjekt, treću stranu pružatelja IKT usluga ili pružatelja IKT usluga unutar grupe koji je uključen u TLPT;

v.

djeluje odvojeno od osoblja pružatelja usluga TLPT-a koji istodobno pruža usluge saznanja o prijetnjama za isti TLPT;

(g)

provoditelji testiranja i pružatelj saznanja o prijetnjama provode postupke ponovne uspostave po završetku testiranja, među ostalim sigurno brisanje informacija povezanih s lozinkama, vjerodajnicama i drugim tajnim ključevima koji su kompromitirani tijekom TLPT-a, sigurnu komunikaciju s financijskim subjektima o kompromitiranim računima, sigurno prikupljanje, pohranu i uklanjanje drugih podataka prikupljenih tijekom testiranja te upravljanje njima;

(h)

provoditelji testiranja uz postupke ponovne uspostave po završetku testiranja iz točke (g) provode i sljedeće postupke ponovne uspostave:

i.

deaktivaciju sustava za upravljanje i kontrolu;

ii.

uspostavu mehanizama za prestanak testiranja na temelju opsega i datuma;

iii.

uklanjanje programa za neovlašten pristup sustavu („stražnji ulaz”) i drugog zlonamjernog softvera;

iv.

slanje obavijesti o mogućem upadu u sustav;

v.

postupke za buduću ponovnu uspostavu na temelju sigurnosnih kopija koje se mogu odnositi na zlonamjerni softver ili alate instalirane tijekom testiranja;

vi.

praćenje aktivnosti plavog tima i obavješćivanje kontrolnog tima o mogućim otkrivanjima testiranja;

(i)

provoditelji testiranja i pružatelj saznanja o prijetnjama ne obavljaju nijednu od sljedećih aktivnosti niti u njima sudjeluju:

i.

neovlašteno uništenje opreme financijskog subjekta i njegovih trećih strana pružatelja IKT usluga, ako postoje;

ii.

nekontrolirane izmjene informacija i IKT imovine financijskog subjekta i njegovih trećih strana pružatelja IKT usluga, ako postoje;

iii.

namjerno ugrožavanje kontinuiteta ključnih ili važnih funkcija financijskog subjekta;

iv.

neovlašteno uključivanje sustava koji nisu obuhvaćeni testiranjem;

v.

neovlašteno otkrivanje rezultata testiranja.
Članak 7. 2

2.   Kontrolni tim vodi evidenciju o dokumentaciji koju su dostavili provoditelji testiranja i pružatelji saznanja o prijetnjama kako bi dokazali usklađenost sa stavkom 1. točkama od (a) do (f).

U iznimnim okolnostima financijski subjekti mogu angažirati vanjske provoditelje testiranja i pružatelje saznanja o prijetnjama koji ne ispunjavaju jedan ili više zahtjeva iz stavka 1. točaka od (a) do (f), pod uvjetom da ti financijski subjekti donesu odgovarajuće mjere za ublažavanje rizika koji proizlaze iz neusklađenosti s tim točkama i evidentiraju te mjere.

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani standardi

Standardi