(1) Entitățile financiare stabilesc toate modalitățile următoare pentru utilizarea entităților interne de testare:
|
(a)
|
instituirea și punerea în aplicare a unei politici de gestionare a entităților interne de testare în cadrul unui TLPT;
|
|
(b)
|
măsuri prin care să se asigure că utilizarea entităților interne de testare pentru a efectua un TLPT nu are un impact negativ asupra capacităților generale de apărare sau de reziliență ale entității financiare în ceea ce privește incidentele legate de TIC sau nu are un impact semnificativ asupra disponibilității resurselor dedicate sarcinilor legate de TIC pe durata unui TLPT;
|
|
(c)
|
măsuri pentru a se asigura că entitățile interne de testare dispun de resurse și capacități suficiente pentru a efectua un TLPT.
|
Politica menționată la litera (a):
|
(a)
|
conține criterii de evaluare a caracterului adecvat, a competenței și a potențialelor conflicte de interese ale entităților interne de testare și specifică responsabilitățile de gestionare în procesul de testare;
|
|
(b)
|
este documentată și revizuită periodic;
|
|
(c)
|
prevede că entitatea internă de testare include un conducător al testului și cel puțin doi membri suplimentari;
|
|
(d)
|
impune ca toți membrii echipei de testare să fi fost angajați de entitatea financiară sau de un furnizor de servicii TIC intragrup în ultimele 12 luni;
|
|
(e)
|
include dispoziții privind formarea cu privire la modul de efectuare a testelor de penetrare și a testării de tipul „echipa roșie” de către entitățile interne de testare.
|