PŘÍLOHA IV Obsah plánu testování metodou „červeného týmu“ (čl. 11 odst. 1)

a)

komunikační kanály a postupy;

b)

taktiky, techniky a postupy povolené a nepovolené k použití při útoku, včetně etických hranic sociálního inženýrství;

c)

opatření k řízení rizik, která mají subjekty provádějící testování dodržovat;

d)

popis každého scénáře, včetně:

e)

podrobný popis každé předpokládané cesty útoku, včetně předběžných podmínek a možné podpory, kterou má řídící tým poskytnout, včetně lhůt pro její poskytnutí a možného využití;

f)

časové rozvržení činností v rámci testování metodou „červeného týmu“, včetně časového plánování provedení jednotlivých scénářů, minimálně rozdělených podle tří fází, které subjekt provádějící testování v průběhu fáze testování absolvuje, resp. vstup do systémů IKT finančních subjektů, pohyb skrze systémy IKT a nakonec provedení akcí na cílech a nakonec opuštění systémů IKT (fáze „dovnitř“, „skrze“ a „ven“);

g)

zvláštnosti infrastruktury finančních subjektů, které je třeba při testování zohlednit;

h)

případné další informace nebo jiné zdroje, které subjekty provádějící testování potřebují k provedení scénářů.