Článek 10 Fáze testování: operativní informace o hrozbách

1.   Po schválení dokumentu, který vymezuje rozsah, orgánem pro penetrační testování na základě hrozeb poskytovatel operativních informací o hrozbách analyzuje obecné a odvětvové operativní informace o hrozbách relevantní pro finanční subjekt. Pokud orgán pro penetrační testování na základě hrozeb poskytl generické prostředí hrozeb pro finanční sektor členského státu, může poskytovatel operativních informací o hrozbách toto prostředí použít jako výchozí bod pro vnitrostátní prostředí hrozeb. Poskytovatel operativních informací o hrozbách identifikuje kybernetické hrozby a stávající nebo potenciální zranitelnosti týkající se finančního subjektu. Poskytovatel operativních informací o hrozbách dále shromažďuje informace o konkrétních, využitelných a do kontextu zasazených operativních informacích o cílech a hrozbách, které se týkají finančního subjektu, a analyzuje je, a to i prostřednictvím konzultací s řídícím týmem a vedoucími pracovníky pro testy.

2.   Poskytovatel operativních informací o hrozbách předloží příslušné hrozby a cílené operativní informace o hrozbách a navrhne požadované scénáře řídícímu týmu, subjektům provádějícím testy a vedoucím pracovníkům pro testy. Navrhované scénáře se liší s ohledem na identifikované aktéry hrozeb a související taktiky, techniky a postupy a zaměřují se na každou zásadní nebo důležitou funkci v rámci penetračního testování na základě hrozeb.

3.   Vedoucí člen řídícího týmu vybere nejméně tři scénáře pro provedení penetračního testování na základě hrozeb na základě všech následujících prvků:

4.   Maximálně jeden z vybraných scénářů nemusí být založen na hrozbách a může být založen na výhledové a potenciálně fiktivní hrozbě s vysokou prediktivní, anticipační, oportunistickou nebo prospektivní hodnotou vzhledem k předpokládanému vývoji prostředí hrozeb, které se týkají finančního subjektu.

Aniž jsou u společného penetračního testování na základě hrozeb dotčeny scénáře zaměřené přímo na zásadní nebo důležité funkce finančních subjektů zapojených do testování, musí alespoň jeden scénář zahrnovat příslušné základní systémy, procesy a technologie IKT poskytovatele služeb IKT z řad třetích stran, které podporují zásadní nebo důležité funkce finančních subjektů v rozsahu testování.

Pokud se jedná o sdružené penetrační testování na základě hrozeb zahrnující poskytovatele služeb IKT v rámci skupiny, aniž jsou dotčeny scénáře zaměřené přímo na zásadní nebo důležité funkce finančních subjektů zapojených do testu, musí alespoň jeden scénář zahrnovat příslušné základní systémy, procesy a technologie IKT poskytovatele služeb IKT v rámci skupiny, které podporují zásadní nebo důležité funkce finančních subjektů v rozsahu testování.

5.   Poskytovatel operativních informací o hrozbách poskytne řídícímu týmu zprávu o cílených operativních informacích o hrozbách, včetně scénářů vybraných podle odstavců 3 a 4. Zpráva o operativních informacích o hrozbách obsahuje informace uvedené v příloze III.

6.   Řídící tým předloží zprávu o cílených operativních informacích o hrozbách vedoucímu pracovníkovi pro testy ke schválení. Pokud je zpráva o cílených operativních informacích o hrozbách úplná a zajišťuje provedení účinného penetračního testování na základě hrozeb, orgán pro penetrační testování na základě hrozeb zprávu o cílených operativních informacích o hrozbách schválí a informuje o tom vedoucího člena řídícího týmu.