Articolo 4 Disposizioni organizzative per le entità finanziarie

a)

l’accesso alle informazioni relative a qualsiasi TLPT pianificato o in corso sia limitato, in base alla necessità di sapere, al team di controllo, all’organo di gestione, ai soggetti incaricati dello svolgimento dei test, al soggetto che fornisce analisi delle minacce e all’autorità competente per il TLPT;

b)

il team di controllo consulti i responsabili dei test prima di coinvolgere qualsiasi membro del blue team in un TLPT;

c)

il team di controllo sia informato di qualsiasi rilevamento del TLPT da parte di membri del personale dell’entità finanziaria o dei suoi fornitori terzi di servizi; in caso di escalation della conseguente risposta all’incidente, se necessario, il team di controllo contenga tale escalation;

d)

siano presenti disposizioni relative alla segretezza del TLPT, applicabili al personale dell’entità finanziaria, al personale dei fornitori terzi di servizi TIC interessati, ai soggetti incaricati dello svolgimento dei test e al soggetto che fornisce analisi delle minacce;

e)

il team di controllo fornisca ai responsabili dei test, su richiesta, tutte le informazioni relative al TLPT;

f)

ove possibile, le parti coinvolte nel TLPT facciano riferimento a quest’ultimo utilizzando solo il nome in codice.