1. Financiële entiteiten stellen alle volgende regelingen vast voor het inzetten van interne testers:
|
a)
|
de vaststelling en implementering van een beleid voor het beheer van interne testers in een TLPT;
|
|
b)
|
maatregelen die moeten voorkomen dat het inzetten van interne testers voor het uitvoeren van een TLPT de algemene verdedigings- of weerbaarheidscapaciteiten van de financiële entiteit bij ICT-incidenten negatief beïnvloedt of aanzienlijke impact heeft op de beschikbaarheid van middelen voor ICT-taken tijdens een TLPT;
|
|
c)
|
maatregelen om ervoor te zorgen dat interne testers de beschikking hebben over voldoende middelen en capaciteiten om een TLPT uit te voeren.
|
Het in punt a) bedoelde beleid:
|
a)
|
omvat criteria om de geschiktheid, bekwaamheid en potentiële belangenconflicten van de interne testers te beoordelen en de managementverantwoordelijkheden in het testproces te specificeren;
|
|
b)
|
wordt gedocumenteerd en wordt periodiek herzien;
|
|
c)
|
voorziet erin dat het interne testteam bestaat uit een testleider en ten minste twee andere leden;
|
|
d)
|
vereist dat alle leden van het testteam gedurende de voorgaande twaalf maanden in dienst zijn geweest bij de financiële entiteit of bij een intragroepsaanbieder van ICT-diensten;
|
|
e)
|
omvat bepalingen inzake het opleiden van interne testers voor het uitvoeren van penetratietests en red-teamtests.
|