+Artikolu 7 1

Artikolu 7 1

1.   It-tim ta’ kontroll għandu jieħu miżuri biex jimmaniġġja r-riskji relatati mat-TLPT u għandu b’mod partikolari jiżgura li, għal kull TLPT:

(a)

il-fornitur tal-intelligence dwar it-theddid u t-testers esterni jipprovdu lit-tim ta’ kontroll b’curriculum vitae dettaljat u kopji taċ-ċertifikazzjonijiet li, skont standards tas-suq rikonoxxuti, ikunu xierqa għat-twettiq tal-attivitajiet tagħhom;

(b)

il-fornitur tal-intelligence dwar it-theddid u t-tester estern ikunu koperti kif xieraq u kompletament minn assigurazzjonijiet ta’ indennizz professjonali xierqa inkluż kontra riskji ta’ mġiba ħażina u negliġenza;

(c)

il-fornitur tal-intelligence dwar it-theddid jipprovdi mill-anqas tliet referenzi minn inkarigi preċedenti fil-kuntest tal-ittestjar tal-penetrazzjoni u tal-ittestjar tat-tim l-aħmar;

(d)

it-testers esterni jipprovdu mill-anqas ħames referenzi minn inkarigi preċedenti relatati mal-ittestjar tal-penetrazzjoni u mal-ittestjar tat-tim l-aħmar;

(e)

il-persunal tal-fornitur tal-intelligence dwar it-theddid assenjat għat-TLPT:

(i)

ikun magħmul tal-anqas minn maniġer b’mill-anqas 5 snin esperjenza fl-intelligence dwar it-theddid u tal-anqas membru addizzjonali wieħed b’mill-anqas sentejn esperjenza fl-intelligence dwar it-theddid;

(ii)

juri firxa wiesgħa u livell xieraq ta’ għarfien u ħiliet professjonali, inkluż:

(1)

tattiki, tekniki u proċeduri għall-ġbir ta’ intelligence;

(2)

għarfien ġeopolitiku, tekniku u settorjali;

(3)

ħiliet ta’ komunikazzjoni adegwati biex jippreżentaw u jirrapportaw b’mod ċar dwar ir-riżultat tal-ingaġġ.

(iii)

ikollu parteċipazzjoni kkombinata f’mill-anqas tliet inkarigi preċedenti fl-intelligence dwar it-theddid fil-kuntest tal-ittestjar tal-penetrazzjoni u tal-ittestjar tat-tim l-aħmar;

(iv)

fl-istess ħin ma jwettaq l-ebda kompitu tat-tim il-blu jew servizz ieħor li jista’ jippreżenta kunflitt ta’ interess fir-rigward tal-entità finanzjarja, tal-fornitur terz ta’ servizzi tal-ICT jew ta’ fornitur intragrupp ta’ servizzi tal-ICT involut f’TLPT li jkun assenjat lilu;

(v)

ikun separat mill-persunal tal-istess fornitur tat-TLPT li jipprovdi testers esterni għall-istess TLPT u ma jirrapportax lilu;

(f)

għal testers esterni, it-tim l-aħmar assenjat lit-TLPT:

(i)

ikun magħmul tal-anqas minn maniġer, b’mill-anqas 5 snin esperjenza fl-ittestjar tal-penetrazzjoni u fl-ittestjar tat-tim l-aħmar kif ukoll tal-anqas żewġ testers addizzjonali, kull wieħed b’ittestjar tal-penetrazzjoni u b’ittestjar tat-tim l-aħmar ta’ mill-anqas sentejn;

(ii)

juri firxa wiesgħa u livell xieraq ta’ għarfien u ħiliet professjonali, inkluż għarfien dwar in-negozju tal-entità finanzjarja, ir-rikonjizzjoni, il-ġestjoni tar-riskju, l-iżvilupp tal-isfruttament ta’ vulnerabbiltajiet, il-penetrazzjoni fiżika, is-social engineering, l-analiżi tal-vulnerabbiltà, kif ukoll ħiliet ta’ komunikazzjoni adegwati biex jippreżenta u jirrapporta b’mod ċar dwar ir-riżultat tal-ingaġġ;

(iii)

ikollu parteċipazzjoni kkombinata f’mill-anqas ħames inkarigi preċedenti relatati mal-ittestjar tal-penetrazzjoni u mal-ittestjar tat-tim l-aħmar;

(iv)

la jkun impjegat u lanqas ma jipprovdi servizzi lil fornitur tal-intelligence dwar it-theddid li fl-istess ħin ikun qed iwettaq kompiti tat-tim il-blu għal entità finanzjarja, għal fornitur terz ta’ servizzi tal-ICT, jew għal fornitur intragrupp ta’ servizzi tal-ICT li jkun involut fit-TLPT;

(v)

ikun separat minn kwalunkwe persunal tal-istess fornitur tat-TLPT li fl-istess ħin ikun qed jipprovdi servizzi tal-intelligence dwar it-theddid għall-istess TLPT;

(g)

it-testers u l-fornitur tal-intelligence dwar it-theddid iwettqu proċeduri ta’ restawr fi tmiem l-ittestjar, inkluż it-tħassir sikur ta’ informazzjoni relatata ma’ passwords, kredenzjali, u kjavi sigrieti oħrajn kompromessi matul it-TLPT, il-komunikazzjoni sikura lill-entitajiet finanzjarji tal-kontijiet kompromessi, il-ġbir, il-ħżin, il-ġestjoni, u d-disponiment sikuri ta’ data oħra miġbura matul l-ittestjar;

(h)

it-testers, minbarra l-proċeduri ta’ restawr fi tmiem l-ittestjar kif imsemmi fil-punt (g), iwettqu l-proċeduri ta’ restawr li ġejjin:

(i)

id-diżattivazzjoni tal-kmand u tal-kontroll;

(ii)

l-ambitu u d-date kill switches;

(iii)

it-tneħħija ta’ backdoors u ta’ malware ieħor;

(iv)

in-notifika ta’ ksur potenzjali;

(v)

il-proċeduri għar-restawr ta’ riżerva fil-futur li jista’ jikkonċerna malware jew għodod installati matul it-test;

(vi)

il-monitoraġġ tal-attivitajiet tat-tim il-blu u l-għoti ta’ informazzjoni lit-tim ta’ kontroll ta’ kwalunkwe individwazzjoni possibbli;

(i)

it-testers u l-fornitur tal-intelligence dwar it-theddid ma jwettqu jew ma jipparteċipaw fl-ebda waħda mill-attivitajiet li ġejjin:

(i)

il-qerda mhux awtorizzata ta’ tagħmir tal-entità finanzjarja u tal-fornituri terzi ta’ servizzi tal-ICT tagħha, jekk ikun hemm;

(ii)

il-modifika mhux ikkontrollata tal-informazzjoni u tal-assi tal-ICT tal-entità finanzjarja u tal-fornituri terzi ta’ servizzi tal-ICT tagħha, jekk ikun hemm;

(iii)

il-kompromess intenzjonali tal-kontinwità ta’ funzjonijiet kritiċi jew importanti tal-entità finanzjarja;

(iv)

l-inklużjoni mhux awtorizzata ta’ sistemi barra mill-ambitu;

(v)

id-divulgazzjoni mhux awtorizzata tar-riżultati tat-testijiet.

1. Ħarsa ġenerali

,

1.1 Referenzi

1.2 Rekwiżiti identifikati

1.3 Standards relatati

2. Rekwiżiti identifikati

Rekwiżiti

3. Standards relatati

Standards