+7. cikk 1

7. cikk 1

(1)   Az ellenőrzést végző csapat intézkedéseket hoz a TLPT-vel kapcsolatos kockázatok kezelésére és különösen a következőket biztosítja minden egyes TLPT esetében:

a)

a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató és a külső tesztelők az ellenőrzést végző csapat rendelkezésére bocsátanak egy részletes önéletrajzot és azon tanúsítványok másolatát, amelyek az elismert piaci szabványoknak megfelelően feljogosítják őket tevékenységeik végzésére;

b)

a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató és a külső tesztelő releváns szakmai felelősségbiztosítások révén megfelelően és teljeskörűen biztosítva van, többek között a szakmai kötelezettségmulasztás és a gondatlanság kockázataival szemben;

c)

a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató legalább három, korábbi megbízatásokból származó, behatolási teszteléssel és vörös csapat által végzett teszteléssel összefüggő referenciával szolgál;

d)

a külső tesztelők legalább öt, korábbi megbízatásokból származó, behatolási teszteléssel és vörös csapat által végzett teszteléssel kapcsolatos referenciával szolgálnak;

e)

a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató TLPT elvégzésére kijelölt személyzete:

i.

legalább egy olyan vezetőből áll, aki legalább 5 éves tapasztalattal rendelkezik a fenyegetettséggel kapcsolatos hírszerzés terén, valamint legalább egy további tagból, aki legalább 2 éves tapasztalattal rendelkezik a fenyegetettséggel kapcsolatos hírszerzés terén;

ii.

széles körű és megfelelő szintű szakmai ismeretekkel és készségekkel rendelkezik, beleértve a következőket:

1.

hírszerzési adatgyűjtési taktikák, módszerek és eljárások;

2.

geopolitikai, műszaki és ágazati ismeretek;

3.

megfelelő kommunikációs készségek a megbízatás eredményének jól érthető bemutatásához és az arról való jelentéstételhez;

iii.

együttesen legalább három korábbi, behatolási teszteléssel és vörös csapat által végzett teszteléssel összefüggő megbízatásban vett részt a fenyegetettséggel kapcsolatos hírszerzés terén;

iv.

nem végez egyidejűleg olyan, a kék csapat által végzendő feladatokat vagy egyéb szolgáltatásokat, amelyek összeférhetetlenséget eredményezhetnek a megbízatásban szereplő TLPT-ben részt vevő pénzügyi szervezettel, harmadik fél IKT-szolgáltatóval vagy csoporton belüli IKT-szolgáltatóval szemben;

v.

elkülönül az ugyanahhoz a TLPT-hez külső tesztelőket biztosító ugyanazon TLPT-szolgáltató alkalmazottaitól, és nem ezek beosztottja;

f)

külső tesztelők esetében a TLPT elvégzésére kijelölt vörös csapat:

i.

legalább egy olyan vezetőből áll, aki legalább 5 éves tapasztalattal rendelkezik a behatolási tesztelés és vörös csapat által végzett tesztelés terén, valamint legalább két további tesztelőből, akik legalább 2 éves tapasztalattal rendelkeznek a behatolási tesztelés és vörös csapat által végzett tesztelés terén;

ii.

széles körű és megfelelő szintű szakmai ismeretekkel és készségekkel rendelkezik, beleértve a pénzügyi szervezet üzleti tevékenységére, a felderítésre, a kockázatkezelésre, a sérülékenységek kiaknázására, a fizikai behatolásra, a pszichológiai manipulációra, a sebezhetőségek elemzésére vonatkozó ismereteket, valamint megfelelő kommunikációs készségekkel a megbízatás eredményének jól érthető bemutatásához és az arról való jelentéstételhez;

iii.

együttesen legalább öt korábbi, behatolási teszteléssel és vörös csapat által végzett teszteléssel kapcsolatos megbízatásban vett részt;

iv.

nem áll olyan fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató alkalmazásában, amely egyidejűleg a kék csapat feladatait végzi a TLPT-ben részt vevő pénzügyi szervezet, harmadik fél IKT-szolgáltató vagy csoporton belüli IKT-szolgáltató számára, illetve nem nyújt szolgáltatásokat ilyen számára;

v.

elkülönül az ugyanahhoz a TLPT-hez fenyegetettséggel kapcsolatos hírszerzési szolgáltatásokat biztosító ugyanazon TLPT-szolgáltató alkalmazottaitól;

g)

a tesztelők és a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató a tesztelés végén visszaállítási eljárásokat végeznek, beleértve a TLPT során veszélybe került jelszavakkal, hitelesítő adatokkal és más titkos kulcsokkal kapcsolatos információk biztonságos törlését, a veszélybe került fiókok pénzügyi szervezettel való biztonságos közlését, a tesztelés során gyűjtött egyéb adatok biztonságos gyűjtését, tárolását, kezelését és ártalmatlanítását;

h)

a tesztelők a tesztelés végén elvégzett, a g) pontban említett visszaállítási eljárások mellett a következő visszaállítási eljárásokat is elvégzik:

i.

a támadást irányító (command and control) szerver inaktiválása;

ii.

leállító kapcsolók (hatókör, időpont);

iii.

a hátsó ajtók és más rosszindulatú szoftverek eltávolítása;

iv.

lehetséges biztonsági sérülésekkel kapcsolatos értesítés;

v.

a jövőbeli biztonsági visszaállításra vonatkozó eljárások, amelyek rosszindulatú szoftvereket vagy a teszt során telepített eszközöket érinthetnek;

vi.

a kék csapat tevékenységeinek nyomon követése és az ellenőrzést végző csapat tájékoztatása a lehetséges észlelésekről;

i)

a tesztelők és a fenyegetettséggel kapcsolatos hírszerzést nyújtó szolgáltató az alábbi tevékenységek egyikét sem végzik, illetve nem vesznek részt azokban:

i.

a pénzügyi szervezet és adott esetben a harmadik fél IKT-szolgáltatója berendezéseinek engedély nélküli megsemmisítése;

ii.

a pénzügyi szervezet és adott esetben a harmadik fél IKT-szolgáltatója információinak és IKT-eszközeinek ellenőrzés nélküli módosítása;

iii.

a pénzügyi szervezet kritikus vagy fontos funkciói folytonosságának szándékos veszélyeztetése;

iv.

olyan rendszerek engedély nélküli bevonása a tesztbe, amelyre az nem terjed ki;

v.

a teszteredmények jogosulatlan közlése.

1. Áttekintés

,

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

Követelmények

3. Kapcsolódó szabványok

Szabványok