+7. pants 1
|
7. pants 1
1. Kontroles komanda veic pasākumus nolūkā pārvaldīt ar DVIT saistītos riskus, un jo īpaši nodrošina, ka attiecībā uz katru DVIT:
|
a)
|
draudu izlūkdatu sniedzējs un ārējie testētāji iesniedz kontroles komandai detalizētu curriculum vitae un sertifikātu kopijas, kas saskaņā ar atzītiem tirgus standartiem ir piemēroti to darbību veikšanai;
|
|
b)
|
draudu izlūkdatu sniedzējs un ārējais testētājs ir pienācīgi un pilnībā apdrošināts ar atbilstošu profesionālās darbības apdrošināšanu, tostarp pret ļaunprātīgas rīcības un nolaidības riskiem;
|
|
c)
|
draudu izlūkdatu sniedzējs nodrošina vismaz trīs atsauksmes no iepriekšējiem norīkojumiem ielaušanās testēšanas un sarkanās komandas testēšanas kontekstā;
|
|
d)
|
ārējie testētāji nodrošina vismaz piecas atsauksmes no iepriekšējiem norīkojumiem saistībā ar ielaušanās testēšanu un sarkanās komandas testēšanu;
|
|
e)
|
draudu izlūkdatu sniedzēja darbinieki, kas norīkoti veikt DVIT:
|
i)
|
to sastāvā ir pārvaldnieks ar vismaz piecu gadu pieredzi draudu izlūkdatu jomā un vismaz viens papildu loceklis ar vismaz divu gadu pieredzi draudu izlūkdatu jomā;
|
|
ii)
|
ir ar plašām un atbilstoša līmeņa profesionālajām zināšanām un prasmēm, tostarp tie:
|
1)
|
pārzina izlūkdatu vākšanas taktikas, paņēmienus un procedūras;
|
|
2)
|
ir ar ģeopolitiskām un tehniskām zināšanām un zināšanām par nozari;
|
|
3)
|
ar atbilstošām komunikācijas prasmēm skaidri izklāstīt iesaistes rezultātus un ziņot par tiem;
|
|
|
iii)
|
ir kopīgi piedalījušies vismaz trijos iepriekšējos norīkojumos draudu izlūkdatu jomā ielaušanās testēšanas un sarkanās komandas testēšanas kontekstā;
|
|
iv)
|
vienlaikus neveic zilās komandas uzdevumus vai citus pakalpojumus, kas var radīt interešu konfliktu attiecībā uz tādā DVIT iesaistīto finanšu vienību, trešo personu, kas sniedz IKT pakalpojumus, vai vienai grupai piederošu IKT pakalpojumu sniedzēju, kurai tie ir norīkoti;
|
|
v)
|
ir nošķirti no viena un tā paša DVIT pakalpojumu sniedzēja darbiniekiem, kas nodrošina ārējos testētājus vienai un tai pašai DVIT, un tiem neatskaitās;
|
|
|
f)
|
attiecībā uz ārējiem testētājiem – DIVIT veikšanai norīkotā sarkanā komanda:
|
i)
|
sastāv vismaz no pārvaldnieka ar vismaz piecu gadu pieredzi ielaušanās testēšanā un sarkanās komandas testēšanā, kā arī vismaz no diviem papildu testētāji, no kuriem katrs vismaz divus gadus ir veicis ielaušanās testēšanu un sarkanās komandas testēšanu;
|
|
ii)
|
ir ar plašām un atbilstoša līmeņa profesionālajām zināšanām un prasmēm, tostarp zināšanām par finanšu vienības darījumdarbību, izlūkošanu, riska pārvaldību, mūķu izstrādi, fizisku ielaušanos, sociālo inženieriju, ievainojamības analīzi, kā arī atbilstīgām komunikācijas prasmēm skaidri izklāstīt iesaistes rezultātus un ziņot par tiem;
|
|
iii)
|
ir kopīgi piedalījusies vismaz piecos iepriekšējos norīkojumos saistībā ar ielaušanās testēšanu un sarkanās komandas testēšanu;
|
|
iv)
|
nav nodarbināta un nesniedz pakalpojumus draudu izlūkdatu sniedzējam, kas vienlaikus veic zilās komandas uzdevumus vai nu DVIT iesaistītai finanšu vienībai, trešai personai, kas sniedz IKT pakalpojumus, vai IKT pakalpojumu sniedzējam, kurš pieder vienai grupai;
|
|
v)
|
ir nošķirta no visiem tā paša DVIT pakalpojumu sniedzēja, kas vienlaikus sniedz draudu izlūkdatu pakalpojumus vienai un tai pašai DVIT, darbiniekiem;
|
|
|
g)
|
testēšanas beigās testētāji un draudu izlūkdatu sniedzējs veic atjaunošanas procedūras, tostarp nodrošina informācijas dzēšanu saistībā ar parolēm, akreditācijas datiem un citām slepenām atslēgām, kas apdraudētas DVIT laikā, nodrošina saziņu ar finanšu vienībām par apdraudētajiem kontiem, nodrošina citu testēšanas laikā savākto datu drošu apkopošanu, glabāšanu, pārvaldību un iznīcināšanu;
|
|
h)
|
papildus g) apakšpunktā minētajām atjaunošanas procedūrām testēšanas beigās testētāji veic šādas atjaunošanas procedūras:
|
i)
|
vadības un kontroles deaktivēšana;
|
|
ii)
|
darbības jomas un datuma automātiska deaktivēšana;
|
|
iii)
|
lūku un citas ļaunprogrammatūras likvidēšana;
|
|
iv)
|
paziņojums par iespējamiem pārkāpumiem;
|
|
v)
|
procedūras turpmākai dublējumu atjaunošanai, kas var attiekties uz testa laikā instalētu ļaunprogrammatūru vai rīkiem;
|
|
vi)
|
zilās komandas darbību uzraudzība un kontroles komandas informēšana par jebkādiem iespējamiem atklājumiem;
|
|
|
i)
|
testētāji un draudu izlūkdatu sniedzējs neveic un nepiedalās nevienā no šādām darbībām:
|
i)
|
finanšu vienības un tās trešo personu, kas sniedz IKT pakalpojumus, aprīkojuma neatļauta iznīcināšana, ja tāda ir;
|
|
ii)
|
finanšu vienības un tās trešo personu, kas sniedz IKT pakalpojumus, informācijas un IKT aktīvu nekontrolēta pārveidošana, ja tāda ir;
|
|
iii)
|
finanšu vienības kritiski svarīgu vai svarīgu funkciju nepārtrauktības tīša apdraudēšana;
|
|
iv)
|
ārpus darbības jomas esošu sistēmu neatļauta izmantošana;
|
|
v)
|
testa rezultātu neatļauta izpaušana.
|
|
1. Pārskats
1.1 Atsauces
1.2 Identificētās prasības
1.3 Saistītie standarti
2. Identificētās prasības
3. Saistītie standarti
|