BILAG IV Indhold af det røde teams testplan (artikel 11, stk. 1)

a)

kommunikationskanaler og -procedurer

b)

de taktikker, teknikker og procedurer, som det er tilladt og ikke tilladt at anvende i forbindelse med angrebet, herunder etiske grænser for social manipulation

c)

de risikostyringsforanstaltninger, som testerne skal følge

d)

en beskrivelse for hvert scenarie, herunder:

e)

en detaljeret beskrivelse af hver forventet angrebsvej, herunder forudsætninger og eventuelle forstærkninger, som kontrolteamet skal stille til rådighed, herunder frister for tilvejebringelse og potentiel anvendelse heraf

f)

planlægning af »red teaming«-aktiviteter, herunder tidsplanen for gennemførelsen af hvert scenarie, med en minimumsopdeling efter de tre faser, som en tester følger i løbet af testfasen, og som henholdsvis går ind i finansielle enheders IKT-systemer, bevæger sig gennem IKT-systemerne og i sidste ende gennemfører tiltag til opfyldelse af mål og i sidste ende trækker sig ud af IKT-systemerne (faserne »indtrængen, gennemførelse og tilbagetrækning«)

g)

særlige forhold ved de finansielle enheders infrastruktur, der skal tages i betragtning under testforløbet

h)

eventuelle yderligere oplysninger eller andre ressourcer, der er nødvendige for testerne til gennemførelse af scenarierne.