Článek 11 Fáze testování: testování metodou „červeného týmu“

1.   Po schválení zprávy o cílených operativních informacích o hrozbách orgánem pro penetrační testování na základě hrozeb připraví subjekty provádějící testování plán testování metodou „červeného týmu“, který obsahuje informace uvedené v příloze IV. Jako základ pro tvorbu scénářů útoku použijí subjekty provádějící testování dokument, který vymezuje rozsah, a zprávu o cílených operativních informacích o hrozbách.

2.   Subjekty provádějící testování konzultují s řídícím týmem, poskytovatelem operativních informací o hrozbách a vedoucími pracovníky pro testy plán testování metodou „červeného týmu“, včetně komunikace, procesního a projektového řízení, přípravy a případů použití pro aktivaci podpory a dohod o podávání zpráv řídícímu týmu a vedoucím pracovníkům pro testy.

3.   Pokud je plán testování metodou „červeného týmu“ úplný a zajišťuje provedení účinného penetračního testování na základě hrozeb, řídící tým a orgán pro penetrační testování na základě hrozeb schválí plán testování metodou „červeného týmu“ a informuje o tom vedoucího člena řídícího týmu.

4.   Po schválení plánu testování metodou „červeného týmu“ podle odstavce 3 provedou subjekty provádějící testování penetrační testování na základě hrozeb během fáze aktivního testování metodou „červeného týmu“.

5.   Doba trvání fáze aktivního testování metodou „červeného týmu“ je úměrná rozsahu penetračního testování na základě hrozeb, rozsahu, činnosti, složitosti a počtu finančních subjektů a poskytovatelů služeb IKT z řad třetích stran nebo poskytovatelů služeb IKT v rámci skupiny zapojených do penetračního testování na základě hrozeb a v každém případě trvá nejméně dvanáct týdnů. Scénáře útoku lze provádět postupně nebo současně. Řídící tým, poskytovatel operativních informací o hrozbách, subjekty provádějící testování a vedoucí pracovníci pro testy se dohodnou na ukončení fáze aktivního testování metodou „červeného týmu“.

6.   Vedoucí člen řídícího týmu a vedoucí pracovníci pro testy schvalují veškeré změny plánu testování metodou „červeného týmu“ po jeho schválení, včetně časového plánu, rozsahu, cílových systémů nebo příznaků pod podmínkou, že plán testování metodou „červeného týmu“ zůstane úplný a umožní provedení účinného penetračního testování na základě hrozeb.

7.   Během celé fáze aktivního testování metodou „červeného týmu“ podávají subjekty provádějící testování nejméně jednou týdně řídícímu týmu a vedoucím pracovníkům pro testy zprávy o pokroku dosaženém při penetračním testování na základě hrozeb a poskytovatel operativních informací o hrozbách musí být na žádost řídícího týmu k dispozici pro konzultace a za účelem poskytnutí dalších operativních informací o hrozbách.

8.   Řídící tým včas zajistí podporu navrženou na základě plánu testování metodou „červeného týmu“. Po schválení řídícím týmem a vedoucími pracovníky pro testy může být podpora přidána nebo upravena.

9.   V případě, že dojde k odhalení testovacích činností kterýmkoli zaměstnancem finančního subjektu nebo jeho poskytovatelů služeb IKT z řad třetích stran nebo případně poskytovatelů služeb IKT v rámci skupiny, řídící tým po konzultaci se subjekty provádějícími testování, aniž je dotčen odstavec 10, navrhne a předloží vedoucím pracovníkům pro testy k potvrzení opatření umožňující pokračování penetračního testování na základě hrozeb, která zajišťují jeho důvěrnost.

10.   Za výjimečných okolností, které zvyšují rizika dopadu na data, poškození aktiv a narušení zásadních nebo důležitých funkcí, služeb nebo operací samotného finančního subjektu, jeho poskytovatelů služeb IKT z řad třetích stran nebo poskytovatelů služeb IKT v rámci skupiny, nebo narušení jeho protistran nebo finančního sektoru, může vedoucí člen řídícího týmu pozastavit penetrační testování na základě hrozeb nebo v krajním případě, kdy pokračování penetračního testování na základě hrozeb není jinak možné, a po předchozím schválení orgánem pro penetrační testování na základě hrozeb, pokračovat v penetračním testování na základě hrozeb s využitím omezeného testování metodou „fialového týmu“. Doba trvání omezeného testování metodou „fialového týmu“ se započítává do minimální dvanáctitýdenní doby trvání fáze aktivního testování metodou „červeného týmu“ uvedené v odstavci 5.