1. As entidades financeiras devem estabelecer todos os mecanismos indicados a seguir para a utilização de testadores internos:
|
a)
|
O estabelecimento e a aplicação de uma política de gestão dos testadores internos num TLPT;
|
|
b)
|
Medidas destinadas a assegurar que a utilização de testadores internos para realizar um TLPT não afeta negativamente as capacidades gerais defensivas ou de resiliência da entidade financeira no que respeita a incidentes relacionados com as TIC nem afeta significativamente a disponibilidade de recursos dedicados a funções relacionadas com as TIC durante um TLPT;
|
|
c)
|
Medidas para assegurar que os testadores internos dispõem de recursos e capacidades suficientes para realizar um TLPT.
|
A política referida na alínea a) deve:
|
a)
|
conter critérios para avaliar a adequação, competência e os potenciais conflitos de interesses dos testadores internos e especificar as responsabilidades de gestão no processo de teste;
|
|
b)
|
ser documentada e periodicamente revista;
|
|
c)
|
prever que a equipa de testadores internos inclua um chefe dos testadores e pelo menos dois membros adicionais;
|
|
d)
|
exigir que todos os membros da equipa de testadores tenham um vínculo contratual com a entidade financeira ou com um prestador de serviços de TIC intragrupo há pelo menos 12 meses;
|
|
e)
|
incluir disposições sobre a formação dos testadores internos em relação à forma de realizar testes de penetração e testes da equipa vermelha.
|