+Articolul 7 Selectarea furnizorilor de TLPT
---+Articolul 7 1
---+Articolul 7 2

Articolul 7 Selectarea furnizorilor de TLPT

1. Prezentare generală

,
Articolul 7 1

(1)   Echipa de control ia măsuri pentru gestionarea riscurilor legate de TLPT și se asigură, în special, că, pentru fiecare TLPT:

(a)

furnizorul de date operative privind amenințările și entitățile externe de testare furnizează echipei de control un curriculum vitae detaliat și copii ale certificărilor care, în conformitate cu standardele de piață recunoscute, sunt adecvate pentru desfășurarea activităților lor;

(b)

furnizorul de date operative privind amenințările și entitatea externă de testare sunt acoperite în mod corespunzător și integral de asigurări adecvate de răspundere civilă profesională, inclusiv împotriva riscurilor de abatere și neglijență;

(c)

furnizorul de date operative privind amenințările furnizează cel puțin trei referințe din misiuni anterioare în contextul testelor de penetrare și al testării de tipul „echipa roșie”;

(d)

entitățile externe de testare furnizează cel puțin cinci referințe din misiuni anterioare legate de testele de penetrare și testarea de tipul „echipa roșie”;

(e)

personalul furnizorului de date operative privind amenințările repartizat pentru TLPT:

(i)

este alcătuit din cel puțin un manager cu cel puțin cinci ani de experiență în domeniul datelor operative privind amenințările și cel puțin un membru suplimentar cu cel puțin doi ani de experiență în domeniul datelor operative privind amenințările;

(ii)

prezintă o gamă largă și un nivel adecvat de cunoștințe și competențe profesionale, inclusiv:

1.

tactici, tehnici și proceduri de colectare a datelor operative;

2.

cunoștințe geopolitice, tehnice și sectoriale;

3.

competențe de comunicare adecvate pentru a prezenta în mod clar și a raporta cu privire la rezultatul angajamentului;

(iii)

are o participare combinată la cel puțin trei misiuni anterioare de date operative privind amenințările în contextul testelor de penetrare și al testării de tipul „echipa roșie”;

(iv)

nu îndeplinește simultan sarcini de tipul „echipa albastră” sau alte servicii care pot prezenta un conflict de interese în ceea ce privește entitatea financiară, furnizorul terț de servicii TIC sau un furnizor de servicii TIC intragrup implicat în TLPT la care este repartizat;

(v)

este separat de personalul aceluiași furnizor de TLPT care pune la dispoziție entități externe de testare pentru același TLPT și nu este subordonat acestuia;

(f)

pentru entitățile externe de testare, echipa roșie desemnată pentru TLPT:

(i)

este alcătuită din cel puțin un manager, cu cel puțin cinci ani de experiență în testarea de penetrare și testarea de tipul „echipa roșie”, precum și din cel puțin două entități de testare suplimentare, fiecare cu teste de penetrare și testare de tipul „echipa roșie” de cel puțin doi ani;

(ii)

prezintă o gamă largă și un nivel adecvat de cunoștințe și competențe profesionale, inclusiv cunoștințe despre activitatea entității financiare, recunoaștere, gestionarea riscurilor, dezvoltarea exploatării, penetrare fizică, inginerie socială, analiză a vulnerabilității, precum și competențe de comunicare adecvate pentru a prezenta în mod clar și a raporta cu privire la rezultatul angajamentului;

(iii)

are o participare combinată la cel puțin cinci misiuni anterioare în legătură cu teste de penetrare și testare de tipul „echipa roșie”;

(iv)

nu este angajată de un furnizor de date operative privind amenințările și nici nu furnizează servicii unui furnizor de date operative privind amenințările care îndeplinește simultan sarcini de tipul „echipa albastră” pentru o entitate financiară, un furnizor terț de servicii TIC sau un furnizor de servicii TIC intragrup care este implicat în TLPT;

(v)

este separată de orice personal al aceluiași furnizor de TLPT care furnizează simultan servicii de date operative privind amenințările pentru același TLPT.

(g)

entitățile de testare și furnizorul de date operative privind amenințările efectuează proceduri de restaurare la sfârșitul testării, inclusiv ștergerea securizată a informațiilor referitoare la parole, acreditări și alte chei secrete compromise în timpul TLPT, comunicarea securizată către entitățile financiare cu privire la conturile compromise, colectarea, stocarea, gestionarea și eliminarea în condiții de siguranță a altor date colectate în timpul testării;

(h)

pe lângă procedurile de restaurare la sfârșitul testării menționate la litera (g), entitățile de testare efectuează următoarele proceduri de restaurare:

(i)

dezactivarea comenzilor și a controalelor;

(ii)

mecanisme de dezactivare automată în funcție de sfera de aplicare și de dată;

(iii)

îndepărtarea ușilor secrete și a altor programe malware;

(iv)

potențiala notificare a încălcării;

(v)

proceduri de restaurare de rezervă viitoare care pot viza programe malware sau instrumente instalate în timpul testului;

(vi)

monitorizarea activităților de tipul „echipa albastră” și informarea echipei de control cu privire la oricare detectări posibile;

(i)

entitățile de testare și furnizorul de date operative privind amenințările nu desfășoară și nu participă la niciuna dintre următoarele activități:

(i)

distrugerea neautorizată a echipamentelor entității financiare și ale furnizorilor săi terți de servicii TIC, dacă este cazul;

(ii)

modificarea necontrolată a informațiilor și a activelor TIC ale entității financiare și ale furnizorilor săi terți de servicii TIC, dacă este cazul;

(iii)

compromiterea intenționată a continuității funcțiilor critice sau importante ale entității financiare;

(iv)

includerea neautorizată a sistemelor care nu intră în sfera de aplicare;

(v)

divulgarea neautorizată a rezultatelor testelor.
Articolul 7 2

(2)   Echipa de control ține evidența documentației furnizate de entitățile de testare și de furnizorii de date operative privind amenințările pentru a demonstra conformitatea cu alineatul (1) literele (a)-(f).

În circumstanțe excepționale, entitățile financiare pot contracta entități externe de testare și furnizori externi de date operative privind amenințările care nu îndeplinesc una sau mai multe dintre cerințele prevăzute la alineatul(1) literele (a)-(f), cu condiția ca entitățile financiare respective să adopte măsuri adecvate pentru a atenua riscurile legate de nerespectarea acestor puncte și să înregistreze măsurile respective.

1.1 Referințe

1.2 Cerințe identificate

1.3 Standarde asociate

2. Cerințe identificate

Cerințe

3. Standarde asociate

Standarde