+7 straipsnis TLPT paslaugų teikėjų atranka
---+7 straipsnis 1
---+7 straipsnis 2

7 straipsnis TLPT paslaugų teikėjų atranka

-

1. Apžvalga

,
7 straipsnis 1

1.   Kontrolės grupė imasi priemonių su TLPT susijusiai rizikai valdyti ir visų pirma užtikrina, kad atliekant kiekvieną TLPT:

a)

žvalgybos informacijos apie grėsmes teikėjas ir išorės testuotojai kontrolės grupei pateiktų išsamius gyvenimo aprašymus ir sertifikatų, kurie pagal pripažintus rinkos standartus yra tinkami jų veiklai vykdyti, kopijas;

b)

žvalgybos informacijos apie grėsmes teikėjas ir išorės testuotojas būtų tinkamai ir visiškai apdrausti atitinkamu profesinės civilinės atsakomybės draudimu, įskaitant draudimą nuo netinkamo elgesio ir aplaidumo rizikos;

c)

žvalgybos informacijos apie grėsmes teikėjas nurodytų bent tris anksčiau įgyvendintus projektus, susijusius su skverbimosi testavimu ir raudonųjų komandų testavimu;

d)

išorės testuotojai nurodytų bent penkis anksčiau įgyvendintus projektus, susijusius su skverbimosi testavimu ir raudonųjų komandų testavimu;

e)

vykdyti TLPT paskirti žvalgybos informacijos apie grėsmes teikėjo darbuotojai:

i)

būtų bent vadovas, turintis ne mažiau kaip penkerių metų žvalgybos informacijos apie grėsmes teikimo patirtį, ir bent vienas papildomas narys, turintis ne mažiau kaip dvejų metų žvalgybos informacijos apie grėsmes teikimo patirtį;

ii)

turėtų įvairių ir tinkamo lygio profesinių žinių ir įgūdžių, įskaitant:

1)

žinias apie žvalgybos informacijos rinkimo taktiką, metodus ir procedūras;

2)

geopolitines, technines ir su sektoriais susijusias žinias;

3)

tinkamus bendravimo įgūdžius, kad galėtų aiškiai pristatyti veiklos rezultatus ir apie juos informuoti;

iii)

bendrai būtų dalyvavę ne mažiau kaip trijose ankstesnėse užduotyse, susijusiose su žvalgybos informacija apie grėsmes, teikiama atliekant skverbimosi testavimą ir raudonosios komandos testavimą;

iv)

tuo pat metu nevykdytų jokių mėlynosios komandos užduočių ar neteiktų kitų paslaugų, dėl kurių gali kilti interesų konfliktas, susijęs su TLPT, kuriam jie yra priskirti, dalyvaujančiu finansų sektoriaus subjektu, IRT paslaugas teikiančia trečiąja šalimi ar grupės vidaus IRT paslaugų teikėju;

v)

būtų atskirti nuo TLPT paslaugų teikėjo, parūpinančio išorės testuotojus tam pačiam TLPT atlikti, darbuotojų ir nebūtų jiems pavaldūs;

f)

jeigu tai išorės testuotojai, TLPT paskirta raudonoji komanda:

i)

būtų bent vadovas, turintis ne mažiau kaip penkerių metų skverbimosi testavimo ir raudonųjų komandų testavimo patirtį, ir bent du papildomi testuotojai, kiekvienas turintis ne mažiau kaip dvejų metų skverbimosi testavimo ir raudonųjų komandų testavimo patirtį;

ii)

turėtų įvairių ir tinkamo lygio profesinių žinių ir įgūdžių, įskaitant žinias apie finansų sektoriaus subjekto veiklą, išžvalgymą, rizikos valdymą, spragų išnaudojimo priemonių kūrimą, fizinį įsiskverbimą, socialinę inžineriją, pažeidžiamumo analizę, taip pat tinkamus bendravimo įgūdžius, kad galėtų aiškiai pristatyti veiklos rezultatus ir apie juos pranešti;

iii)

bendrai būtų dalyvavusi ne mažiau kaip penkiose ankstesnėse užduotyse, susijusiose su skverbimosi testavimu ir raudonųjų komandų testavimu;

iv)

nebūtų žvalgybos informacijos apie grėsmes teikėjo, kuris vienu metu teikia mėlynosios komandos paslaugas finansų sektoriaus subjektui, IRT paslaugas teikiančiai trečiajai šaliai arba grupės vidaus IRT paslaugų teikėjui, kurie dalyvauja atliekant TLPT, darbuotojas ir neteiktų jiems paslaugų;

v)

būtų atskirta nuo bet kurių to paties TLPT paslaugų teikėjo, kuris tuo pačiu metu teikia žvalgybos informacijos apie grėsmes paslaugas atliekant tą patį TLPT, darbuotojų;

g)

baigę testavimą testuotojai ir žvalgybos informacijos apie grėsmes teikėjas atlieka atkūrimo procedūras, įskaitant saugų informacijos, susijusios su slaptažodžiais, kredencialais ir kitais slaptais raktais, kuriems atliekant TLPT buvo sukeltas pavojus, pašalinimą, saugų pranešimą finansų sektoriaus subjektams apie paskyras, kurioms buvo sukeltas pavojus, bei saugų testuojant surinktų kitų duomenų rinkimą, saugojimą, valdymą ir pašalinimą;

h)

testuotojai atlieka ne tik atkūrimo procedūras baigus testavimą, nurodytas g punkte, bet ir toliau nurodytas atkūrimo procedūras:

i)

komandų ir kontrolės priemonių deaktyvavimas;

ii)

aprėpties ir datų avarinis stabdymas (angl. kill switches);

iii)

užpakalinių durų ir kitos kenkimo programinės įrangos pašalinimas;

iv)

pranešimas apie galimus pažeidimus;

v)

būsimo atsarginio atkūrimo procedūros, kurios gali būti susijusios su kenkimo programine įranga ar testavimo metu įdiegtomis priemonėmis;

vi)

mėlynosios komandos veiklos stebėsena ir kontrolės grupės informavimas apie galimus aptikimo atvejus;

i)

testuotojai ir žvalgybos informacijos apie grėsmes teikėjai nevykdo toliau nurodytos veiklos ir joje nedalyvauja:

i)

neteisėtas finansų sektoriaus subjekto ir jam IRT paslaugas teikiančių trečiųjų šalių, jei tokių yra, įrangos sunaikinimas;

ii)

nekontroliuojamas finansų sektoriaus subjekto ir jam IRT paslaugas teikiančių trečiųjų šalių, jei tokių yra, informacijos ir IRT turto pakeitimas;

iii)

tyčinis pakenkimas finansų sektoriaus subjekto ypatingos svarbos arba svarbių funkcijų tęstinumui;

iv)

neleistinas pagal testavimo aprėptį nenumatytų sistemų įtraukimas;

v)

neleistinas bandymų rezultatų atskleidimas.
7 straipsnis 2

2.   Kontrolės grupė registruoja testuotojų ir žvalgybos informacijos apie grėsmes teikėjų pateiktus dokumentus, kuriais įrodoma atitiktis 1 dalies a–f punktams.

Išskirtinėmis aplinkybėmis finansų sektoriaus subjektai gali sudaryti sutartis su išorės testuotojais ir žvalgybos informacijos apie grėsmes teikėjais, kurie neatitinka vieno ar daugiau iš 1 dalies a–f punktuose nustatytų reikalavimų, su sąlyga, kad tie finansų sektoriaus subjektai imasi tinkamų priemonių rizikai, susijusiai su tokių punktų nesilaikymu, sumažinti ir tas priemones užregistruoja.

1.1 Nuorodos

1.2 Nustatyti reikalavimai

1.3 Susiję standartai

2. Nustatyti reikalavimai

Reikalavimai

3. Susiję standartai

Standartai