Art. 7
Selezione dei fornitori di TLPT
In vigore dal 13 feb 2025
Selezione dei fornitori di TLPT
1. Il team di controllo adotta misure per gestire i rischi relativi al TLPT e garantisce in particolare che, per ciascun TLPT:
a)
il soggetto che fornisce analisi delle minacce e i soggetti incaricati dello svolgimento dei test esterni forniscano al team di controllo un curriculum vitae dettagliato e copie di certificazioni che, secondo gli standard di mercato riconosciuti, sono adeguate allo svolgimento delle loro attività;
b)
il soggetto che fornisce analisi delle minacce e i soggetti incaricati dello svolgimento dei test esterni siano debitamente e pienamente coperti da un’assicurazione di responsabilità professionale adeguata, anche contro i rischi di colpa e negligenza;
c)
il soggetto che fornisce analisi delle minacce fornisca almeno tre referenze relative a precedenti incarichi nel contesto dei test di penetrazione e dei test red team;
d)
i soggetti incaricati dello svolgimento dei test esterni forniscano almeno cinque referenze relative a precedenti incarichi riguardanti test di penetrazione e test red team;
e)
il personale del soggetto che fornisce analisi delle minacce assegnato al TLPT:
i)
sia composto da almeno un responsabile con minimo cinque anni di esperienza nell’analisi delle minacce e da almeno un altro membro con minimo due anni di esperienza nell’analisi delle minacce;
ii)
presenti un’ampia gamma e un livello adeguato di conoscenze e competenze professionali, tra cui:
1)
tattiche, tecniche e procedure per la raccolta di informazioni;
2)
conoscenze geopolitiche, tecniche e settoriali;
3)
adeguate capacità di comunicazione per presentare chiaramente i risultati dell’impegno e riferire in merito;
iii)
abbia partecipato in totale ad almeno tre precedenti incarichi di analisi delle minacce nel contesto dei test di penetrazione e dei test red team;
iv)
non svolga simultaneamente compiti appartenenti al blue team o altri servizi che possono presentare un conflitto di interessi nei confronti dell’entità finanziaria, del fornitore terzo di servizi di TIC o di un fornitore intragruppo di servizi TIC coinvolto nel TLPT cui è assegnato;
v)
sia separato dal personale dello stesso fornitore di TLPT che fornisce soggetti incaricati dello svolgimento dei test esterni per lo stesso TLPT, e non faccia capo a tale personale;
f)
per i soggetti incaricati dello svolgimento dei test esterni, il red team assegnato al TLPT:
i)
sia composto da almeno un responsabile, con minimo cinque anni di esperienza in test di penetrazione e test red team, nonché da almeno due ulteriori soggetti incaricati dello svolgimento dei test, ciascuno con minimo due anni di esperienza in test di penetrazione e test red team;
ii)
presenti un’ampia gamma e un livello adeguato di conoscenze e competenze professionali, comprese conoscenze sull’attività dell’entità finanziaria, in materia di ricognizione (reconnaissance), gestione dei rischi, sviluppo di exploit, penetrazione fisica, ingegneria sociale, analisi delle vulnerabilità, nonché adeguate capacità di comunicazione per presentare chiaramente i risultati dell’impegno e riferire in merito;
iii)
abbia partecipato in maniera combinata ad almeno cinque precedenti incarichi riguardanti test di penetrazione e test red team;
iv)
non sia alle dipendenze di un soggetto che fornisce analisi delle minacce che svolge simultaneamente compiti appartenenti al blue team per un’entità finanziaria, un fornitore terzo di servizi TIC o un fornitore intragruppo di servizi TIC coinvolto nel TLPT, né fornisca servizi a tale soggetto;
v)
sia separato dal personale dello stesso fornitore di TLPT che fornisce contemporaneamente servizi di analisi delle minacce per lo stesso TLPT;
g)
i soggetti incaricati dello svolgimento dei test e il soggetto che fornisce analisi delle minacce eseguano procedure di ripristino al termine dei test, anche per quanto riguarda la cancellazione sicura delle informazioni relative a password, credenziali e altre chiavi segrete compromesse durante il TLPT, la comunicazione sicura alle entità finanziarie dei conti compromessi, la raccolta, l’archiviazione, la gestione e l’eliminazione sicure di altri dati raccolti durante il test;
h)
i soggetti incaricati dello svolgimento dei test, oltre alle procedure di ripristino al termine dei test di cui alla lettera g), eseguano le procedure di ripristino seguenti:
i)
disattivazione del comando e del controllo;
ii)
attivazione di meccanismi di emergenza (kill switch) riguardanti ambito di applicazione e data;
iii)
rimozione di backdoor e altri malware;
iv)
notifica della potenziale violazione;
v)
procedure per il ripristino futuro di back-up che possono riguardare malware o strumenti installati durante il test;
vi)
monitoraggio delle attività del blue team e comunicazione al team di controllo di eventuali rilevamenti;
i)
i soggetti incaricati dello svolgimento dei test e il soggetto che fornisce analisi delle minacce non svolgano alcuna delle attività seguenti, né vi prendano parte:
i)
distruzione non autorizzata delle attrezzature dell’entità finanziaria e degli eventuali fornitori terzi di servizi TIC;
ii)
modifica incontrollata delle informazioni e delle risorse TIC dell’entità finanziaria e degli eventuali fornitori terzi di servizi TIC;
iii)
compromissione intenzionale della continuità di funzioni essenziali o importanti dell’entità finanziaria;
iv)
inclusione non autorizzata di sistemi esterni all’ambito di applicazione;
v)
divulgazione non autorizzata dei risultati dei test.
2. Il team di controllo registra la documentazione fornita dai soggetti incaricati dello svolgimento dei test e dai soggetti che forniscono analisi delle minacce per dimostrare la conformità con il paragrafo 1, lettere da a) a f).
In circostanze eccezionali, le entità finanziarie possono avvalersi di soggetti incaricati dello svolgimento dei test esterni e di soggetti che forniscono analisi delle minacce che non soddisfano uno o più dei requisiti di cui al paragrafo 1, lettere da a) a f), a condizione che tali entità finanziarie adottino misure adeguate per attenuare i rischi connessi alla mancata conformità con tali punti e registrino tali misure.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg_del:2025:1190:oj#art-7