+Člen 7 1

Člen 7 1

1.   Nadzorna ekipa sprejme ukrepe za obvladovanje tveganj v zvezi s TLPT in zlasti zagotovi, da za vsak TLPT:

(a)

ponudnik obveščevalnih podatkov o grožnjah in zunanji preizkuševalci nadzorni ekipi predložijo podroben življenjepis in kopije certificiranj, ki so v skladu s priznanimi tržnimi standardi primerna za izvajanje njihovih dejavnosti;

(b)

ponudnik obveščevalnih podatkov o grožnjah in zunanji preizkuševalci imajo ustrezno in polno kritje z ustreznimi zavarovanji poklicne odgovornosti, vključno s kritjem tveganja kršitve in malomarnosti;

(c)

ponudnik obveščevalnih podatkov o grožnjah predloži vsaj tri reference iz prejšnjih nalog na področju TLPT in testiranja rdeče ekipe;

(d)

zunanji preizkuševalci predložijo vsaj pet referenc iz prejšnjih nalog, povezanih s TLPT in testiranjem rdeče ekipe;

(e)

ponudnik obveščevalnih podatkov o grožnjah za TLPT dodeli zaposlene, ki:

(i)

obsegajo najmanj vodjo, ki ima najmanj pet let izkušenj na področju obveščevalnih podatkov o grožnjah, in najmanj enega dodatnega člana, ki ima najmanj dve leti izkušenj na področju obveščevalnih podatkov o grožnjah;

(ii)

izkazujejo široko paleto in ustrezno raven strokovnega znanja in spretnosti, ki vključujejo:

(1)

taktike, tehnike in postopke zbiranja obveščevalnih podatkov;

(2)

geopolitično, tehnično in sektorsko znanje;

(3)

ustrezne komunikacijske spretnosti za jasno predstavitev rezultatov sodelovanja in poročanje o njih;

(iii)

imajo kombinirano udeležbo v najmanj treh prejšnjih nalogah na področju obveščevalnih podatkov o grožnjah v okviru penetracijskega testiranja in testiranja rdeče ekipe;

(iv)

hkrati ne opravljajo nalog modre ekipe ali drugih storitev, ki bi lahko pomenile nasprotje interesov v zvezi s finančnim subjektom, tretjim ponudnikom storitev IKT ali ponudnikom storitev IKT znotraj skupine, vključenim v TLPT, za katerega so dodeljeni;

(v)

so ločeni od zaposlenih istega ponudnika TLPT, ki zagotavlja zunanje preizkuševalce za isti TLPT, in jim ne poročajo;

(f)

za zunanje preizkuševalce se za TLP dodeli rdeča ekipa, ki:

(i)

obsega najmanj vodjo, ki ima najmanj pet let izkušenj s penetracijskim testiranjem in testiranjem rdeče ekipe, in najmanj dva dodatna preizkuševalca, od katerih ima vsak najmanj dve leti izkušenj s penetracijskim testiranjem in testiranjem rdeče ekipe;

(ii)

izkazuje široko paleto in ustrezno raven strokovnega znanja in spretnosti, vključno s poznavanjem poslovanja finančnega subjekta, izvidništva, obvladovanja tveganj, razvoja programov za izkoriščanje ranljivosti, fizičnega vdora, socialnega inženiringa in analize ranljivosti ter ustreznimi komunikacijskimi spretnostmi za jasno predstavitev rezultatov sodelovanja in poročanje o njih;

(iii)

ima kombinirano udeležbo v najmanj petih prejšnjih nalogah, povezanih s penetracijskim testiranjem in testiranjem rdeče ekipe;

(iv)

ni zaposlena pri ponudniku obveščevalnih podatkov o grožnjah, ki hkrati opravlja naloge modre ekipe za finančni subjekt, tretjega ponudnika storitev IKT ali ponudnika storitev IKT znotraj skupine, ki je vključen v TLPT, in zanj ne opravlja storitev;

(v)

je ločena od zaposlenih pri istem ponudniku TLPT, ki hkrati opravlja storitve obveščanja o grožnjah v okviru istega TLPT;

(g)

preizkuševalci in ponudnik obveščevalnih podatkov o grožnjah ob koncu testiranja izvedejo postopke za obnovitev, vključno z varnim izbrisom informacij v zvezi z gesli, poverilnicami in drugimi tajnimi ključi, ki so bili ogroženi med TLPT, varnim sporočanjem finančnim subjektom o ogroženih računih, varnim zbiranjem, shranjevanjem, upravljanjem in odstranjevanjem drugih podatkov, zbranih pri testiranju;

(h)

preizkuševalci poleg postopkov za obnovitev ob koncu testiranja iz točke (g) izvedejo naslednje postopke za obnovitev:

(i)

deaktiviranje poveljevanja in nadzora;

(ii)

nastavitve obsega in datuma pri stikalih za izklop v sili;

(iii)

odstranitev stranskih vrat in druge zlonamerne programske opreme;

(iv)

obveščanje o morebitnih zlorabah;

(v)

postopke za prihodnjo obnovitev iz varnostnih kopij, ki se lahko nanaša na zlonamerno programsko opremo ali orodja, nameščena med testiranjem;

(vi)

spremljanje dejavnosti modre ekipe in obveščanje nadzorne ekipe o morebitnih odkritjih;

(i)

preizkuševalci in ponudnik obveščevalnih podatkov o grožnjah ne izvajajo nobene od naslednjih dejavnosti in pri njih ne sodelujejo:

(i)

nepooblaščeno uničenje opreme finančnega subjekta in njegovih tretjih ponudnikov storitev IKT, če obstajajo;

(ii)

nenadzorovano spreminjanje informacijskih sredstev in sredstev IKT finančnega subjekta in njegovih tretjih ponudnikov storitev IKT, če obstajajo;

(iii)

namerno ogrožanje neprekinjenosti kritičnih ali pomembnih funkcij finančnega subjekta;

(iv)

nepooblaščena vključitev sistemov, ki ne spadajo v obseg testiranja;

(v)

nepooblaščeno razkritje rezultatov testiranja.

1. Pregled

,

1.1 Sklici

1.2 Ugotovljene zahteve

1.3 Povezani standardi

2. Ugotovljene zahteve

Zahteve

3. Povezani standardi

Standardi