1. Le entità finanziarie mettono in atto tutte le modalità seguenti per il ricorso a soggetti incaricati dello svolgimento dei test interni:
|
a)
|
l’istituzione e l’attuazione di una politica per la gestione dei soggetti incaricati dello svolgimento dei test interni in un TLPT;
|
|
b)
|
l’adozione di misure volte a garantire che il ricorso a soggetti incaricati dello svolgimento dei test interni per eseguire un TLPT non abbia un impatto negativo sulle capacità generali di difesa o resilienza dell’entità finanziaria per quanto riguarda gli incidenti connessi alle TIC o non incida in modo significativo sulla disponibilità di risorse destinate a compiti connessi alle TIC durante un TLPT;
|
|
c)
|
l’adozione di misure volte a garantire che i soggetti incaricati dello svolgimento dei test interni dispongano di risorse e capacità sufficienti per eseguire un TLPT.
|
La politica di cui alla lettera a):
|
a)
|
contiene criteri per valutare l’idoneità, la competenza e i potenziali conflitti di interesse dei soggetti incaricati dello svolgimento dei test interni e specifica le responsabilità di gestione nel processo di test;
|
|
b)
|
è documentata e riesaminata periodicamente;
|
|
c)
|
prevede che il team interno incaricato dello svolgimento del test comprenda un responsabile del test e almeno altri due membri;
|
|
d)
|
impone che tutti i membri del team incaricato dello svolgimento del test siano dipendenti dell’entità finanziaria o di un fornitore intragruppo di servizi TIC da almeno 12 mesi;
|
|
e)
|
contiene disposizioni in materia di formazione sulle modalità di esecuzione dei test di penetrazione e dei test di red team per i soggetti incaricati dello svolgimento dei test interni.
|