Άρθρο 10 Στάδιο δοκιμών: πληροφορίες για απειλές

1.   Μετά την έγκριση του εγγράφου προσδιορισμού του πεδίου από την αρχή TLPT, ο πάροχος πληροφοριών για απειλές αναλύει γενικές και ειδικές ανά τομέα πληροφορίες για απειλές που αφορούν τη χρηματοοικονομική οντότητα. Όταν η αρχή TLPT παρέχει ένα γενικό τοπίο απειλών για τον χρηματοοικονομικό τομέα ενός κράτους μέλους, ο πάροχος πληροφοριών για απειλές μπορεί να χρησιμοποιήσει το εν λόγω τοπίο ως βάση αναφοράς για το εθνικό τοπίο απειλών. Ο πάροχος πληροφοριών για απειλές εντοπίζει κυβερνοαπειλές και υφιστάμενες ή πιθανές ευπάθειες που αφορούν τη χρηματοοικονομική οντότητα. Επιπλέον, ο πάροχος πληροφοριών για απειλές συλλέγει πληροφορίες και αναλύει συγκεκριμένες, αξιοποιήσιμες και συναφείς πληροφορίες για τους στόχους και τις απειλές που αφορούν τη χρηματοοικονομική οντότητα, μεταξύ άλλων μέσω διαβούλευσης με την ομάδα ελέγχου και τους διαχειριστές δοκιμής.

2.   Ο πάροχος πληροφοριών για απειλές παρουσιάζει τις σχετικές απειλές και τις στοχευμένες πληροφορίες για απειλές και προτείνει τα απαιτούμενα σενάρια στην ομάδα ελέγχου, στους δοκιμαστές και στους διαχειριστές δοκιμής. Τα προτεινόμενα σενάρια διαφέρουν σε σχέση με τους εντοπισθέντες παράγοντες απειλής και τις συναφείς τακτικές, τεχνικές και διαδικασίες και στοχεύουν κάθε κρίσιμη ή σημαντική λειτουργία που εμπίπτει στο πεδίο της TLPT.

3.   Ο επικεφαλής της ομάδας ελέγχου επιλέγει τουλάχιστον τρία σενάρια για τη διενέργεια της TLPT με βάση όλα τα ακόλουθα στοιχεία:

4.   Μόνο ένα από τα επιλεγμένα σενάρια μπορεί να μη βασίζεται σε απειλές και μπορεί να βασίζεται σε μια μελλοντοστρεφή και δυνητικά πλασματική απειλή με υψηλή προγνωστική, προληπτική, καιροσκοπική ή προβαλλόμενη στο μέλλον αξία, δεδομένων των αναμενόμενων εξελίξεων του τοπίου των απειλών που αφορούν τη χρηματοοικονομική οντότητα.

Όσον αφορά τις ομαδικές TLPT, με την επιφύλαξη των σεναρίων που στοχεύουν άμεσα στις κρίσιμες ή σημαντικές λειτουργίες των χρηματοοικονομικών οντοτήτων που συμμετέχουν στις δοκιμές, τουλάχιστον ένα σενάριο περιλαμβάνει τα σχετικά υποκείμενα συστήματα, διαδικασίες και τεχνολογίες ΤΠΕ του τρίτου παρόχου υπηρεσιών ΤΠΕ που υποστηρίζουν τις κρίσιμες ή σημαντικές λειτουργίες των χρηματοοικονομικών οντοτήτων που εμπίπτουν στο πεδίο των δοκιμών.

Όταν η δοκιμή είναι κοινή TLPT στην οποία συμμετέχει ενδοομιλικός πάροχος υπηρεσιών ΤΠΕ, με την επιφύλαξη των σεναρίων που στοχεύουν άμεσα στις κρίσιμες ή σημαντικές λειτουργίες των χρηματοοικονομικών οντοτήτων που συμμετέχουν στη δοκιμή, τουλάχιστον ένα σενάριο περιλαμβάνει τα σχετικά υποκείμενα συστήματα, διαδικασίες και τεχνολογίες ΤΠΕ του ενδοομιλικού παρόχου υπηρεσιών ΤΠΕ που υποστηρίζουν τις κρίσιμες ή σημαντικές λειτουργίες των χρηματοοικονομικών οντοτήτων που εμπίπτουν στο πεδίο των δοκιμών.

5.   Ο πάροχος πληροφοριών για απειλές παρέχει στην ομάδα ελέγχου τη στοχευμένη έκθεση πληροφοριών για απειλές, συμπεριλαμβανομένων των σεναρίων που επιλέχθηκαν σύμφωνα με τις παραγράφους 3 και 4. Η έκθεση πληροφοριών για απειλές περιέχει τις πληροφορίες που ορίζονται στο παράρτημα III.

6.   Η ομάδα ελέγχου υποβάλλει τη στοχευμένη έκθεση πληροφοριών για απειλές στον διαχειριστή δοκιμών προς έγκριση. Όταν η στοχευμένη έκθεση πληροφοριών για απειλές είναι πλήρης και διασφαλίζει την εκτέλεση αποτελεσματικής TLPT, η αρχή TLPT εγκρίνει την εν λόγω στοχευμένη έκθεση πληροφοριών για απειλές και ενημερώνει σχετικά τον επικεφαλής της ομάδας ελέγχου.