+Artikel 7 1
|
Artikel 7 1
1. Het control team neemt maatregelen om de aan de TLPT verbonden risico’s te beheersen en zorgt er met name voor dat voor elke TLPT:
|
a)
|
de aanbieder van dreigingsinformatie en externe testers het control team een gedetailleerd curriculum vitae en kopieën van certificeringen overleggen die, volgens erkende marktnormen, passend zijn voor de uitvoering van hun activiteiten;
|
|
b)
|
de aanbieder van dreigingsinformatie en externe testers naar behoren en volledig zijn gedekt door passende beroepsaansprakelijkheidsverzekeringen, onder meer tegen het risico van fouten en nalatigheid;
|
|
c)
|
de aanbieder van dreigingsinformatie ten minste drie referenties van eerdere opdrachten in het kader van penetratietests en red-teamtests overlegt;
|
|
d)
|
de externe testers ten minste vijf referenties van eerdere opdrachten in verband met penetratietests en red-teamtests overleggen;
|
|
e)
|
het aan de TLPT toegewezen personeel van de aanbieder van dreigingsinformatie:
|
i)
|
bestaat uit ten minste één manager met ten minste vijf jaar ervaring op het gebied van dreigingsinformatie en ten minste één ander lid met ten minste twee jaar ervaring op het gebied van dreigingsinformatie;
|
|
ii)
|
beschikt over een breed scala aan, en een passend niveau van, professionele kennis en vaardigheden, waaronder:
|
1)
|
tactieken, technieken en procedures voor het verzamelen van inlichtingen;
|
|
2)
|
geopolitieke, technische en sectorale kennis;
|
|
3)
|
adequate communicatievaardigheden om het resultaat van de opdracht op heldere wijze te presenteren en er over te rapporteren;
|
|
|
iii)
|
gezamenlijk heeft deelgenomen aan ten minste drie eerdere opdrachten op het gebied van dreigingsinformatie in het kader van penetratietests en red-teamtests;
|
|
iv)
|
niet tegelijkertijd blue-teamtaken of andere diensten uitvoert die kunnen leiden tot een belangenconflict met betrekking tot de financiële entiteit, de derde aanbieder van ICT-diensten of een intragroepsaanbieder van ICT-diensten die betrokken is bij een TLPT waaraan dat personeel is toegewezen;
|
|
v)
|
is gescheiden van en niet rapporteert aan personeel van dezelfde TLPT-aanbieder die externe testers voor dezelfde TLPT levert;
|
|
|
f)
|
in geval van externe testers, het aan de TLPT toegewezen red team:
|
i)
|
bestaat uit ten minste één manager, met ten minste vijf jaar ervaring op het gebied van penetratietests en red-teamtests, en ten minste twee andere testers, elk met ten minste twee jaar ervaring op het gebied van penetratietests en red-teamtests;
|
|
ii)
|
beschikt over een breed scala aan en een passend niveau van professionele kennis en vaardigheden, waaronder kennis over de bedrijfsactiviteiten van de financiële entiteit, reconnaissance, risicomanagement, exploit development, fysieke penetratie, social engineering en kwetsbaarheidsanalyse, alsmede adequate communicatievaardigheden om het resultaat van de opdracht op heldere wijze te presenteren en te rapporteren;
|
|
iii)
|
heeft gezamenlijk deelgenomen aan ten minste vijf eerdere opdrachten op het gebied van penetratietests en red-teamtests;
|
|
iv)
|
niet in dienst is van, noch diensten verleent aan, een aanbieder van dreigingsinformatie die tegelijkertijd blue-teamtaken uitvoert voor een financiële entiteit, een derde aanbieder van ICT-diensten of een intragroepsaanbieder van ICT-diensten die bij de TLPT betrokken is;
|
|
v)
|
is gescheiden van het personeel van dezelfde TLPT-aanbieder dat tegelijkertijd dreigingsinformatiediensten verleent voor dezelfde TLPT;
|
|
|
g)
|
de testers en de aanbieder van dreigingsinformatie aan het einde van de test herstelprocedures uitvoeren, zoals het veilig verwijderen van informatie over wachtwoorden, credentials en andere geheime sleutels die tijdens de TLPT zijn gecompromitteerd, beveiligde communicatie met de financiële entiteiten van de gecompromitteerde accounts en het beveiligd verzamelen, opslaan, beheren en verwijderen van andere tijdens het testen verzamelde data;
|
|
h)
|
de testers, naast de herstelprocedures aan het einde van de testwerkzaamheden als bedoeld in punt g), de volgende herstelprocedures uitvoeren:
|
i)
|
commando- en controledeactivering;
|
|
ii)
|
scope en datum van kill-switches;
|
|
iii)
|
verwijderen van achterdeuren en andere malware;
|
|
iv)
|
kennisgeving van mogelijke inbreuken;
|
|
v)
|
procedures voor toekomstige terugzetting van back-ups, waarbij het kan gaan om tijdens de test geïnstalleerde malware of tools;
|
|
vi)
|
monitoren van de activiteiten van het blue team en verstrekken van informatie aan het control team over mogelijke ontdekkingen;
|
|
|
i)
|
testers en de aanbieder van dreigingsinformatie geen van de volgende activiteiten uitvoeren of daar aan deelnemen:
|
i)
|
ongeoorloofde vernietiging van apparatuur van de financiële entiteit en van haar derde aanbieders van ICT-diensten, in voorkomend geval;
|
|
ii)
|
ongecontroleerde wijziging van informatie en ICT-activa van de financiële entiteit en van haar derde aanbieders van ICT-diensten, in voorkomend geval;
|
|
iii)
|
het doelbewust compromitteren van de continuïteit van kritieke of belangrijke functies van de financiële entiteit;
|
|
iv)
|
het ongeoorloofde opnemen van systemen van buiten de scope;
|
|
v)
|
ongeoorloofde openbaarmaking van testresultaten.
|
|
1. Overzicht
1.1 Referenties
1.2 Geïdentificeerde eisen
1.3 Gerelateerde standaarden
2. Geïdentificeerde eisen
3. Gerelateerde standaarden
|