+Článok 7 1

Článok 7 1

1.   Kontrolný tím prijíma opatrenia na riadenie rizík súvisiacich s TLPT a predovšetkým zabezpečuje, aby pri každom TLPT:

a)

poskytovateľ spravodajských informácií o hrozbách a externé testovacie subjekty poskytli kontrolnému tímu podrobný životopis a kópie osvedčení, ktoré sú podľa uznávaných trhových noriem primerané pre výkon ich činností;

b)

poskytovateľ spravodajských informácií o hrozbách a externý testovací subjekt boli riadne a v plnom rozsahu krytí príslušnými poisteniami zodpovednosti za škodu spôsobenú pri výkone povolania, a to aj pre prípad pochybenia a nedbanlivosti;

c)

poskytovateľ spravodajských informácií o hrozbách poskytol aspoň tri referencie z predchádzajúcich zadaní v súvislosti s penetračným testovaním a testovaním prostredníctvom červeného tímu;

d)

externé testovacie subjekty poskytli aspoň päť referencií z predchádzajúcich zadaní súvisiacich s penetračným testovaním a testovaním prostredníctvom červeného tímu;

e)

zamestnanci poskytovateľa spravodajských informácií o hrozbách priradení k TLPT:

i)

pozostávali aspoň z manažéra s minimálne päťročnými skúsenosťami v oblasti spravodajských informácií o hrozbách a aspoň jedného ďalšieho člena s minimálne dvojročnými skúsenosťami v oblasti spravodajských informácií o hrozbách;

ii)

mali rozhľad a primeranú úroveň odborných znalostí a zručností vrátane:

1.

taktík, techník a postupov zhromažďovania spravodajských informácií;

2.

geopolitických, technických a sektorových znalostí;

3.

primeraných komunikačných zručností s cieľom jasne prezentovať svojho zapojenia a podávať o ňom správy;

iii)

mali kombinovanú účasť aspoň na troch predchádzajúcich zadaniach v oblasti spravodajských informácií o hrozbách v súvislosti s penetračným testovaním a testovaním prostredníctvom červeného tímu;

iv)

nevykonávali súčasne žiadne úlohy modrého tímu ani iné služby, ktoré by mohli predstavovať konflikt záujmov vo vzťahu k finančnému subjektu, externému poskytovateľovi IKT služieb alebo vnútroskupinovému poskytovateľovi IKT služieb zapojených do TLPT, ku ktorému sú priradení;

v)

boli oddelení od zamestnancov toho istého poskytovateľa TLPT, ktorý poskytuje externé testovacie subjekty pre ten istý TLPT, a neboli podriadení týmto zamestnancom;

f)

v prípade externých testovacích subjektov červený tím priradený k TLPT:

i)

pozostával aspoň z manažéra s minimálne päťročnými skúsenosťami s penetračným testovaním a testovaním prostredníctvom červeného tímu, ako aj aspoň z dvoch ďalších testovacích subjektov, pričom každý z nich má minimálne dvojročné skúsenosti s penetračným testovaním a testovaním prostredníctvom červeného tímu;

ii)

mal rozhľad a primeranú úroveň odborných znalostí a zručností vrátane znalostí o podnikaní finančného subjektu, prieskume, riadení rizík, rozvoja využitia, fyzickom prieniku, sociálnom inžinierstve, analýze zraniteľnosti, ako aj primeraných komunikačných zručností s cieľom jasne prezentovať výsledok svojho zapojenia a podávať o ňom správy;

iii)

mal kombinovanú účasť aspoň na piatich predchádzajúcich zadaniach súvisiacich s penetračným testovaním a testovaním prostredníctvom červeného tímu;

iv)

nebol zamestnaný poskytovateľom spravodajských informácií o hrozbách, ktorý súčasne vykonáva úlohy modrého tímu pre finančný subjekt, externého poskytovateľa IKT služieb alebo vnútroskupinového poskytovateľa IKT služieb, ktorý je zapojený do TLPT, ani mu neposkytoval služby;

v)

bol oddelený od všetkých zamestnancov toho istého poskytovateľa TLPT, ktorý súčasne poskytuje služby v oblasti spravodajských informáciách o hrozbách pre ten istý TLPT;

g)

testovacie subjekty a poskytovateľ spravodajských informácií o hrozbách na konci testovania vykonali postupy obnovy vrátane bezpečného vymazania informácií týkajúcich sa hesiel, prihlasovacích údajov a iných tajných kľúčov, ktoré boli napadnuté počas TLPT, zabezpečenej komunikácie s finančnými subjektmi o napadnutých účtoch, bezpečného zhromažďovania, uchovania, správy a likvidácie iných údajov zhromaždených počas testovania;

h)

testovacie subjekty okrem postupov obnovy na konci testovania uvedených v písmene g) vykonávali tieto postupy obnovy:

i)

deaktiváciu velenia a riadenia;

ii)

núdzové vypínače rozsahu a dátumu;

iii)

odstránenie zadných dvierok a iného malvéru;

iv)

oznámenie o možnom porušení;

v)

postupy obnovy záloh v budúcnosti, ktoré sa môžu týkať malvéru alebo nástrojov nainštalovaných počas testu;

vi)

monitorovanie činností modrého tímu a informovanie kontrolného tímu o všetkých možných odhaleniach;

i)

testovacie subjekty a poskytovateľ spravodajských informácií o hrozbách nevykonávali žiadnu z nasledujúcich činností ani sa na nich nezúčastňovali:

i)

prípadné neoprávnené zničenie vybavenia finančného subjektu a jeho prípadných externých poskytovateľov IKT služieb;

ii)

nekontrolovaná zmena informácií a IKT aktív finančného subjektu a jeho prípadných externých poskytovateľov IKT služieb;

iii)

úmyselné narušenie kontinuity kritických alebo dôležitých funkcií finančného subjektu;

iv)

neoprávnené vkladanie systémov mimo rozsahu pôsobnosti;

v)

neoprávnené zverejňovanie výsledkov testov.

1. Prehľad

,

1.1 Odkazy

1.2 Identifikované požiadavky

1.3 Súvisiace štandardy

2. Identifikované požiadavky

Požiadavky

3. Súvisiace štandardy

Štandardy