149,895 matches
-
cerințele prezentului regulament. (2) BNR poate solicita ajustarea perioadei de realizare a testului pentru a asigura eficiența monitorizării acestuia. Articolul 20 (1) În vederea testării, WT documentează sfera de cuprindere a testului, identificând cel puțin următoarele: a) funcțiile critice ale entității testate; ... b) toate resursele de personal, informații, tehnologii și proceduri care contribuie la furnizarea funcțiilor critice ale entității testate, inclusiv acele sisteme/procese/servicii externalizate către terți; ... c) țintele și obiectivele pe care echipa RT trebuie să le atingă în timpul testului
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
acestuia. Articolul 20 (1) În vederea testării, WT documentează sfera de cuprindere a testului, identificând cel puțin următoarele: a) funcțiile critice ale entității testate; ... b) toate resursele de personal, informații, tehnologii și proceduri care contribuie la furnizarea funcțiilor critice ale entității testate, inclusiv acele sisteme/procese/servicii externalizate către terți; ... c) țintele și obiectivele pe care echipa RT trebuie să le atingă în timpul testului. ... (2) Obiectivele testului trebuie să fie formulate în sensul de a demonstra că integritatea, confidențialitatea sau disponibilitatea resurselor
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
către terți; ... c) țintele și obiectivele pe care echipa RT trebuie să le atingă în timpul testului. ... (2) Obiectivele testului trebuie să fie formulate în sensul de a demonstra că integritatea, confidențialitatea sau disponibilitatea resurselor care susțin funcțiile critice ale entității testate pot fi afectate de un atacator, fără să afecteze buna funcționare a entității. (3) Documentul privind sfera de cuprindere a testului este aprobat de către consiliul de administrație al entității testate. Articolul 21 (1) WT achiziționează serviciile furnizorilor TI
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
în timpul testului. ... (2) Obiectivele testului trebuie să fie formulate în sensul de a demonstra că integritatea, confidențialitatea sau disponibilitatea resurselor care susțin funcțiile critice ale entității testate pot fi afectate de un atacator, fără să afecteze buna funcționare a entității. (3) Documentul privind sfera de cuprindere a testului este aprobat de către consiliul de administrație al entității testate. Articolul 21 (1) WT achiziționează serviciile furnizorilor TI și furnizorilor RT după ce verifică îndeplinirea de către aceștia a cerințelor din prezentul
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
confidențialitatea sau disponibilitatea resurselor care susțin funcțiile critice ale entității testate pot fi afectate de un atacator, fără să afecteze buna funcționare a entității. (3) Documentul privind sfera de cuprindere a testului este aprobat de către consiliul de administrație al entității testate. Articolul 21 (1) WT achiziționează serviciile furnizorilor TI și furnizorilor RT după ce verifică îndeplinirea de către aceștia a cerințelor din prezentul regulament. (2) WT prezintă BNR toate documentele și informațiile necesare din care rezultă că furnizorii TI și
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
RT și, respectiv, coordonatorii și membrii echipelor TI și RT contractați pentru derularea testului îndeplinesc cerințele minime prevăzute în prezentul regulament. Secţiunea a 2-a Realizarea testului Articolul 22 Furnizorul TI realizează o analiză exactă a amenințărilor și vulnerabilităților specifice entității testate evaluate, pe baza sferei de cuprindere a testului, a celor mai noi informații referitoare la vulnerabilitățile și amenințările de natură cibernetică la nivel internațional și/sau asupra sectorului financiar național, precum și pe baza raționamentului profesional. Articolul 23 (1) În
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
cuprindere a testului, a celor mai noi informații referitoare la vulnerabilitățile și amenințările de natură cibernetică la nivel internațional și/sau asupra sectorului financiar național, precum și pe baza raționamentului profesional. Articolul 23 (1) În urma analizei amenințărilor și vulnerabilităților specifice entității testate, furnizorul TI elaborează raportul TI, pe care furnizorul RT îl va folosi în faza de testare. (2) Etapa de analiză și elaborare a raportului TI trebuie să fie una corespunzătoare complexității entității testate, nu mai mică de 5 săptămâni
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
În urma analizei amenințărilor și vulnerabilităților specifice entității testate, furnizorul TI elaborează raportul TI, pe care furnizorul RT îl va folosi în faza de testare. (2) Etapa de analiză și elaborare a raportului TI trebuie să fie una corespunzătoare complexității entității testate, nu mai mică de 5 săptămâni, iar colectarea de informații trebuie să se desfășoare exclusiv în mod pasiv, pentru a nu alerta BT. (3) WT pune la dispoziția furnizorului TI rezumatele rapoartelor de test, elaborate la testele anterioare de
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
perioadă rezonabilă de timp de un atacator avansat și persistent, în scopul de a reduce timpul necesar furnizorului TI pentru a formula un raport TI comprehensiv. Articolul 24 (1) Pe baza raportului TI, furnizorul RT elaborează planul de testare a entității testate, care detaliază minimum trei scenarii de atac cibernetic, cu identificarea tacticilor, tehnicilor și procedurilor ce vor fi utilizate pentru a atinge țintele și obiectivele stabilite în sfera de cuprindere a testului. (2) WT pune la dispoziția furnizorului RT rezumatele
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
instituții financiare și un scenariu nou, care să utilizeze elemente din mai multe atacuri reale. (4) Suplimentar celor stabilite la alin. (3) vor fi incluse și scenariile executate cu succes în cadrul ultimului test de tip TIBER, realizat de către entitate conform prezentului regulament. (5) Planul de testare trebuie să includă și modalități de acces fizic în cadrul entității testate și posibilitatea de a introduce în rețeaua entității testate dispozitive de către RT, respectiv orice obiect care în urma conectării cu
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
stabilite la alin. (3) vor fi incluse și scenariile executate cu succes în cadrul ultimului test de tip TIBER, realizat de către entitate conform prezentului regulament. (5) Planul de testare trebuie să includă și modalități de acces fizic în cadrul entității testate și posibilitatea de a introduce în rețeaua entității testate dispozitive de către RT, respectiv orice obiect care în urma conectării cu infrastructura tehnică a entității testate favorizează atingerea obiectivelor de atac ale RT. Articolul 25 (1) Testarea se realizează
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
executate cu succes în cadrul ultimului test de tip TIBER, realizat de către entitate conform prezentului regulament. (5) Planul de testare trebuie să includă și modalități de acces fizic în cadrul entității testate și posibilitatea de a introduce în rețeaua entității testate dispozitive de către RT, respectiv orice obiect care în urma conectării cu infrastructura tehnică a entității testate favorizează atingerea obiectivelor de atac ale RT. Articolul 25 (1) Testarea se realizează în mod controlat și documentat de către RT, cu
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
5) Planul de testare trebuie să includă și modalități de acces fizic în cadrul entității testate și posibilitatea de a introduce în rețeaua entității testate dispozitive de către RT, respectiv orice obiect care în urma conectării cu infrastructura tehnică a entității testate favorizează atingerea obiectivelor de atac ale RT. Articolul 25 (1) Testarea se realizează în mod controlat și documentat de către RT, cu respectarea planului de testare a entității testate, urmând toate fazele descrise în plan și utilizând doar personalul
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
respectiv orice obiect care în urma conectării cu infrastructura tehnică a entității testate favorizează atingerea obiectivelor de atac ale RT. Articolul 25 (1) Testarea se realizează în mod controlat și documentat de către RT, cu respectarea planului de testare a entității testate, urmând toate fazele descrise în plan și utilizând doar personalul stabilit în contract. (2) La cererea RT, WT poate decide să acorde sprijin echipei RT, prin furnizarea unor informații sau a unui cont de utilizator și/sau a unui echipament
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
fazele descrise în plan și utilizând doar personalul stabilit în contract. (2) La cererea RT, WT poate decide să acorde sprijin echipei RT, prin furnizarea unor informații sau a unui cont de utilizator și/sau a unui echipament instalat în cadrul entității testate, în vederea depășirii unor obstacole într-un timp rezonabil de către echipa RT, având în vedere faptul că un atacator avansat și persistent ar fi avut suficient timp și resurse la dispoziție pentru a accesa infrastructura entității testate. Articolul
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
în cadrul entității testate, în vederea depășirii unor obstacole într-un timp rezonabil de către echipa RT, având în vedere faptul că un atacator avansat și persistent ar fi avut suficient timp și resurse la dispoziție pentru a accesa infrastructura entității testate. Articolul 26 RT trebuie să realizeze testarea etapizat, pe o perioadă de cel puțin 10 săptămâni de la momentul începerii testării efective, pentru a limita probabilitatea de detecție de către echipa BT, și trebuie să informeze imediat WT, prin
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
canalele de comunicare agreate, în legătură cu atingerea fiecărui obiectiv. Articolul 27 În situația în care BT detectează atacul cibernetic simulat în cursul testării și intenționează să alerteze cu privire la acest incident partenerii externi, autoritățile de resort sau alte entități ori să informeze publicul, WT trebuie să împiedice escaladarea incidentului, să păstreze confidențialitatea testului față de BT și să informeze imediat RT și BNR. Secţiunea a 3-a Finalizarea testului și rapoartele de testare Articolul 28 În cel mult 10
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
și comunicării acestui fapt, în scris, către BNR de către WT, furnizorul RT, în colaborare cu furnizorul TI, elaborează raportul de test, în care include: a) rezumatul testului; ... b) obiectivele atinse și recomandările privind măsurile urgente care trebuie întreprinse de entitate în vederea întăririi rezilienței cibernetice; ... c) lista cu toate acțiunile efectuate de către furnizorul RT în cadrul testului. Pentru fiecare acțiune, furnizorul RT documentează cel puțin, dar fără a se limita la acestea: (i) tacticile, tehnicile și procedurile de atac
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
cel puțin, dar fără a se limita la acestea: (i) tacticile, tehnicile și procedurile de atac utilizate; ... (ii) vulnerabilitățile vizate sau exploatate; ... (iii) condițiile necesare atacatorului pentru a îndeplini obiectivul de atac; ... (iv) modul de declanșare a acțiunii pe echipamentele entității testate; ... (v) efectul acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (vi) toate modificările efectuate în timpul acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (vii) modul în care se poate detecta acțiunea și/sau eventualele faze intermediare ale
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
tehnicile și procedurile de atac utilizate; ... (ii) vulnerabilitățile vizate sau exploatate; ... (iii) condițiile necesare atacatorului pentru a îndeplini obiectivul de atac; ... (iv) modul de declanșare a acțiunii pe echipamentele entității testate; ... (v) efectul acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (vi) toate modificările efectuate în timpul acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (vii) modul în care se poate detecta acțiunea și/sau eventualele faze intermediare ale acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (viii) modul
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
pentru a îndeplini obiectivul de atac; ... (iv) modul de declanșare a acțiunii pe echipamentele entității testate; ... (v) efectul acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (vi) toate modificările efectuate în timpul acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (vii) modul în care se poate detecta acțiunea și/sau eventualele faze intermediare ale acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (viii) modul în care se poate/pot preveni acțiunea și/sau eventualele faze intermediare ale acțiunii pe dispozitivele din
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
sistemul informatic al entității testate; ... (vi) toate modificările efectuate în timpul acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (vii) modul în care se poate detecta acțiunea și/sau eventualele faze intermediare ale acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (viii) modul în care se poate/pot preveni acțiunea și/sau eventualele faze intermediare ale acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (ix) modul de răspuns indicat pentru BT în cazul acțiunii și/sau al eventualelor faze intermediare ale acțiunii
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
în care se poate detecta acțiunea și/sau eventualele faze intermediare ale acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (viii) modul în care se poate/pot preveni acțiunea și/sau eventualele faze intermediare ale acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (ix) modul de răspuns indicat pentru BT în cazul acțiunii și/sau al eventualelor faze intermediare ale acțiunii pe dispozitivele din sistemul informatic al entității testate. ... ... Articolul 29 (1) BT este informată de către WT despre test și, pe baza
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
poate/pot preveni acțiunea și/sau eventualele faze intermediare ale acțiunii pe dispozitivele din sistemul informatic al entității testate; ... (ix) modul de răspuns indicat pentru BT în cazul acțiunii și/sau al eventualelor faze intermediare ale acțiunii pe dispozitivele din sistemul informatic al entității testate. ... ... Articolul 29 (1) BT este informată de către WT despre test și, pe baza raportului de test, realizează raportul de acțiune al BT, care documentează toate acțiunile întreprinse de către BT, aflate în strânsă legătură cu acțiunile de atac
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]
-
creează o echipă din care fac parte reprezentanți ai BT și reprezentanți ai RT, care vor participa la exercițiul de reconstituire a testului și vor colabora pentru a identifica: a) dacă toate acțiunile RT au generat în sistemul informatic al entității testate înregistrări în jurnalele de sistem sau alte informații relevante pentru a indica un posibil atac în desfășurare, astfel încât BT să declanșeze procedurile de răspuns la incidente; ... b) dacă toate acțiunile RT au generat alerte în sistemele de detecție
REGULAMENT nr. 6 din 12 aprilie 2022 () [Corola-llms4eu/Law/254625]