+7. cikk A TLPT-szolgáltatók kiválasztása
---+7. cikk 1
---+7. cikk 2

7. cikk A TLPT-szolgáltatók kiválasztása

1. Áttekintés

,
7. cikk 1

(1)   Az ellenőrzést végző csapat intézkedéseket hoz a TLPT-vel kapcsolatos kockázatok kezelésére és különösen a következőket biztosítja minden egyes TLPT esetében:

a)

a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató és a külső tesztelők az ellenőrzést végző csapat rendelkezésére bocsátanak egy részletes önéletrajzot és azon tanúsítványok másolatát, amelyek az elismert piaci szabványoknak megfelelően feljogosítják őket tevékenységeik végzésére;

b)

a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató és a külső tesztelő releváns szakmai felelősségbiztosítások révén megfelelően és teljeskörűen biztosítva van, többek között a szakmai kötelezettségmulasztás és a gondatlanság kockázataival szemben;

c)

a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató legalább három, korábbi megbízatásokból származó, behatolási teszteléssel és vörös csapat által végzett teszteléssel összefüggő referenciával szolgál;

d)

a külső tesztelők legalább öt, korábbi megbízatásokból származó, behatolási teszteléssel és vörös csapat által végzett teszteléssel kapcsolatos referenciával szolgálnak;

e)

a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató TLPT elvégzésére kijelölt személyzete:

i.

legalább egy olyan vezetőből áll, aki legalább 5 éves tapasztalattal rendelkezik a fenyegetettséggel kapcsolatos hírszerzés terén, valamint legalább egy további tagból, aki legalább 2 éves tapasztalattal rendelkezik a fenyegetettséggel kapcsolatos hírszerzés terén;

ii.

széles körű és megfelelő szintű szakmai ismeretekkel és készségekkel rendelkezik, beleértve a következőket:

1.

hírszerzési adatgyűjtési taktikák, módszerek és eljárások;

2.

geopolitikai, műszaki és ágazati ismeretek;

3.

megfelelő kommunikációs készségek a megbízatás eredményének jól érthető bemutatásához és az arról való jelentéstételhez;

iii.

együttesen legalább három korábbi, behatolási teszteléssel és vörös csapat által végzett teszteléssel összefüggő megbízatásban vett részt a fenyegetettséggel kapcsolatos hírszerzés terén;

iv.

nem végez egyidejűleg olyan, a kék csapat által végzendő feladatokat vagy egyéb szolgáltatásokat, amelyek összeférhetetlenséget eredményezhetnek a megbízatásban szereplő TLPT-ben részt vevő pénzügyi szervezettel, harmadik fél IKT-szolgáltatóval vagy csoporton belüli IKT-szolgáltatóval szemben;

v.

elkülönül az ugyanahhoz a TLPT-hez külső tesztelőket biztosító ugyanazon TLPT-szolgáltató alkalmazottaitól, és nem ezek beosztottja;

f)

külső tesztelők esetében a TLPT elvégzésére kijelölt vörös csapat:

i.

legalább egy olyan vezetőből áll, aki legalább 5 éves tapasztalattal rendelkezik a behatolási tesztelés és vörös csapat által végzett tesztelés terén, valamint legalább két további tesztelőből, akik legalább 2 éves tapasztalattal rendelkeznek a behatolási tesztelés és vörös csapat által végzett tesztelés terén;

ii.

széles körű és megfelelő szintű szakmai ismeretekkel és készségekkel rendelkezik, beleértve a pénzügyi szervezet üzleti tevékenységére, a felderítésre, a kockázatkezelésre, a sérülékenységek kiaknázására, a fizikai behatolásra, a pszichológiai manipulációra, a sebezhetőségek elemzésére vonatkozó ismereteket, valamint megfelelő kommunikációs készségekkel a megbízatás eredményének jól érthető bemutatásához és az arról való jelentéstételhez;

iii.

együttesen legalább öt korábbi, behatolási teszteléssel és vörös csapat által végzett teszteléssel kapcsolatos megbízatásban vett részt;

iv.

nem áll olyan fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató alkalmazásában, amely egyidejűleg a kék csapat feladatait végzi a TLPT-ben részt vevő pénzügyi szervezet, harmadik fél IKT-szolgáltató vagy csoporton belüli IKT-szolgáltató számára, illetve nem nyújt szolgáltatásokat ilyen számára;

v.

elkülönül az ugyanahhoz a TLPT-hez fenyegetettséggel kapcsolatos hírszerzési szolgáltatásokat biztosító ugyanazon TLPT-szolgáltató alkalmazottaitól;

g)

a tesztelők és a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató a tesztelés végén visszaállítási eljárásokat végeznek, beleértve a TLPT során veszélybe került jelszavakkal, hitelesítő adatokkal és más titkos kulcsokkal kapcsolatos információk biztonságos törlését, a veszélybe került fiókok pénzügyi szervezettel való biztonságos közlését, a tesztelés során gyűjtött egyéb adatok biztonságos gyűjtését, tárolását, kezelését és ártalmatlanítását;

h)

a tesztelők a tesztelés végén elvégzett, a g) pontban említett visszaállítási eljárások mellett a következő visszaállítási eljárásokat is elvégzik:

i.

a támadást irányító (command and control) szerver inaktiválása;

ii.

leállító kapcsolók (hatókör, időpont);

iii.

a hátsó ajtók és más rosszindulatú szoftverek eltávolítása;

iv.

lehetséges biztonsági sérülésekkel kapcsolatos értesítés;

v.

a jövőbeli biztonsági visszaállításra vonatkozó eljárások, amelyek rosszindulatú szoftvereket vagy a teszt során telepített eszközöket érinthetnek;

vi.

a kék csapat tevékenységeinek nyomon követése és az ellenőrzést végző csapat tájékoztatása a lehetséges észlelésekről;

i)

a tesztelők és a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató az alábbi tevékenységek egyikét sem végzik, illetve nem vesznek részt azokban:

i.

a pénzügyi szervezet és adott esetben a harmadik fél IKT-szolgáltatója berendezéseinek engedély nélküli megsemmisítése;

ii.

a pénzügyi szervezet és adott esetben a harmadik fél IKT-szolgáltatója információinak és IKT-eszközeinek ellenőrzés nélküli módosítása;

iii.

a pénzügyi szervezet kritikus vagy fontos funkciói folytonosságának szándékos veszélyeztetése;

iv.

olyan rendszerek engedély nélküli bevonása a tesztbe, amelyre az nem terjed ki;

v.

a teszteredmények jogosulatlan közlése.
7. cikk 2

(2)   Az ellenőrzést végző csapat nyilvántartást vezet a tesztelők és a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatók által az (1) bekezdés a)–f) pontjának való megfelelés igazolására benyújtott dokumentációról.

Kivételes körülmények között a pénzügyi szervezetek olyan külső tesztelőket és fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltatókat is megbízhatnak, akik nem felelnek meg az (1) bekezdés a)–f) pontjában meghatározott egy vagy több követelménynek, feltéve, hogy az említett pénzügyi szervezetek olyan intézkedéseket fogadnak el, amelyek alkalmasak az említett pontoknak való meg nem feleléssel kapcsolatos kockázatok csökkentésére, és nyilvántartást vezetnek ezekről az intézkedésekről.

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

Követelmények

3. Kapcsolódó szabványok

Szabványok