+Članak 7. 1

Članak 7. 1

1.   Kontrolni tim poduzima mjere za upravljanje rizicima povezanima s TLPT-om i posebno osigurava da za svaki TLPT:

(a)

pružatelj saznanja o prijetnjama i vanjski provoditelji testiranja kontrolnom timu dostave detaljan životopis i preslike potvrda koje, u skladu s priznatim tržišnim standardima, dokazuju primjerenost za obavljanje njihovih djelatnosti;

(b)

pružatelj saznanja o prijetnjama i vanjski provoditelj testiranja imaju propisna i cjelovita osiguranja od profesionalne odgovornosti, što uključuje rizike od protupravnog i nemarnog postupanja;

(c)

pružatelj saznanja o prijetnjama dostavi najmanje tri preporuke iz prethodnih angažmana u kontekstu penetracijskih testiranja i testiranja crvenog tima;

(d)

vanjski provoditelji testiranja dostave najmanje pet preporuka iz prethodnih angažmana povezanih s penetracijskim testiranjem i testiranjem crvenog tima;

(e)

osoblje pružatelja saznanja o prijetnjama koje radi na TLPT-u:

i.

uključuje najmanje jednog voditelja s najmanje pet godina iskustva u području saznanja o prijetnjama i najmanje jednog dodatnog člana s najmanje dvije godine iskustva u području saznanja o prijetnjama;

ii.

posjeduje širok raspon i odgovarajuću razinu stručnog znanja i vještina, uključujući:

1.

taktike, tehnike i postupke za prikupljanje saznanja;

2.

geopolitička, tehnička i sektorska znanja;

3.

odgovarajuće komunikacijske vještine za jasno iznošenje rezultata angažmana i izvješćivanje o njima;

iii.

zajednički ima iskustva u sudjelovanju u najmanje tri prethodna angažmana u području prikupljanja saznanja o prijetnjama u kontekstu penetracijskog testiranja i testiranja crvenog tima;

iv.

ne obavlja istodobno zadaće plavog tima niti pruža druge usluge koje bi mogle dovesti do sukoba interesa u odnosu na financijski subjekt, treću stranu pružatelja IKT usluga ili pružatelja IKT usluga unutar grupe koji je uključen u TLPT na kojem rade;

v.

djeluje odvojeno od osoblja i ne odgovara osoblju pružatelja usluga TLPT-a ako je taj pružatelj usluga isti kao onaj koji osigurava vanjske provoditelje testiranja za isti TLPT;

(f)

kad je riječ o vanjskim provoditeljima testiranja, crveni tim dodijeljen TLPT-u:

i.

uključuje najmanje jednog voditelja s najmanje pet godina iskustva u području penetracijskog testiranja i testiranja crvenog tima te najmanje dva dodatna provoditelja testiranja, od kojih svaki ima najmanje dvije godine iskustva u području penetracijskog testiranja i testiranja crvenog tima;

ii.

posjeduje širok raspon i odgovarajuću razinu stručnog znanja i vještina, uključujući znanje o poslovanju financijskog subjekta, izviđanju, upravljanju rizicima, razvoju otkrivanja i iskorištavanja ranjivosti, fizičkoj penetraciji, socijalnom inženjeringu i analizi ranjivosti, kao i odgovarajuće komunikacijske vještine za jasno iznošenje rezultata angažmana i izvješćivanje o njima;

iii.

zajednički ima iskustva u sudjelovanju u najmanje pet prethodnih angažmana povezanih s penetracijskim testiranjem i testiranjem crvenog tima;

iv.

nije zaposlen u pružatelju saznanja o prijetnjama niti pruža usluge tom pružatelju koji istodobno obavlja zadaće plavog tima za financijski subjekt, treću stranu pružatelja IKT usluga ili pružatelja IKT usluga unutar grupe koji je uključen u TLPT;

v.

djeluje odvojeno od osoblja pružatelja usluga TLPT-a koji istodobno pruža usluge saznanja o prijetnjama za isti TLPT;

(g)

provoditelji testiranja i pružatelj saznanja o prijetnjama provode postupke ponovne uspostave po završetku testiranja, među ostalim sigurno brisanje informacija povezanih s lozinkama, vjerodajnicama i drugim tajnim ključevima koji su kompromitirani tijekom TLPT-a, sigurnu komunikaciju s financijskim subjektima o kompromitiranim računima, sigurno prikupljanje, pohranu i uklanjanje drugih podataka prikupljenih tijekom testiranja te upravljanje njima;

(h)

provoditelji testiranja uz postupke ponovne uspostave po završetku testiranja iz točke (g) provode i sljedeće postupke ponovne uspostave:

i.

deaktivaciju sustava za upravljanje i kontrolu;

ii.

uspostavu mehanizama za prestanak testiranja na temelju opsega i datuma;

iii.

uklanjanje programa za neovlašten pristup sustavu („stražnji ulaz”) i drugog zlonamjernog softvera;

iv.

slanje obavijesti o mogućem upadu u sustav;

v.

postupke za buduću ponovnu uspostavu na temelju sigurnosnih kopija koje se mogu odnositi na zlonamjerni softver ili alate instalirane tijekom testiranja;

vi.

praćenje aktivnosti plavog tima i obavješćivanje kontrolnog tima o mogućim otkrivanjima testiranja;

(i)

provoditelji testiranja i pružatelj saznanja o prijetnjama ne obavljaju nijednu od sljedećih aktivnosti niti u njima sudjeluju:

i.

neovlašteno uništenje opreme financijskog subjekta i njegovih trećih strana pružatelja IKT usluga, ako postoje;

ii.

nekontrolirane izmjene informacija i IKT imovine financijskog subjekta i njegovih trećih strana pružatelja IKT usluga, ako postoje;

iii.

namjerno ugrožavanje kontinuiteta ključnih ili važnih funkcija financijskog subjekta;

iv.

neovlašteno uključivanje sustava koji nisu obuhvaćeni testiranjem;

v.

neovlašteno otkrivanje rezultata testiranja.

1. Pregled

,

1.1 Reference

1.2 Utvrđeni zahtjevi

1.3 Povezani standardi

2. Utvrđeni zahtjevi

Zahtjevi

3. Povezani standardi

Standardi