Άρθρο 11 Στάδιο δοκιμών: δοκιμή κόκκινης ομάδας

1.   Μετά την έγκριση της στοχευμένης έκθεσης πληροφοριών για απειλές από την αρχή TLPT, οι δοκιμαστές καταρτίζουν το σχέδιο δοκιμής κόκκινης ομάδας που περιέχει τις πληροφορίες που ορίζονται στο παράρτημα IV. Οι δοκιμαστές χρησιμοποιούν το έγγραφο προσδιορισμού του πεδίου και τη στοχευμένη έκθεση πληροφοριών για απειλές ως βάση για την υλοποίηση των σεναρίων επιθέσεων.

2.   Οι δοκιμαστές διαβουλεύονται με την ομάδα ελέγχου, τον πάροχο πληροφοριών για απειλές και τους διαχειριστές δοκιμής σχετικά με το σχέδιο δοκιμής κόκκινης ομάδας, συμπεριλαμβανομένων των ρυθμίσεων επικοινωνίας, διαδικασίας και διαχείρισης έργου, της προετοιμασίας και των περιπτώσεων χρήσης για την ενεργοποίηση πλεονεκτημάτων, καθώς και των συμφωνιών υποβολής εκθέσεων στην ομάδα ελέγχου και στους διαχειριστές δοκιμής.

3.   Όταν το σχέδιο δοκιμής κόκκινης ομάδας είναι πλήρες και διασφαλίζει την εκτέλεση αποτελεσματικής TLPT, η ομάδα ελέγχου και η αρχή TLPT εγκρίνουν το σχέδιο δοκιμής κόκκινης ομάδας και η TLPT ενημερώνει σχετικά τον επικεφαλής της ομάδας ελέγχου.

4.   Μετά την έγκριση του σχεδίου δοκιμής κόκκινης ομάδας σύμφωνα με την παράγραφο 3, οι δοκιμαστές διενεργούν την TLPT κατά τη διάρκεια του ενεργού σταδίου δοκιμής κόκκινης ομάδας.

5.   Η διάρκεια του ενεργού σταδίου δοκιμών κόκκινης ομάδα είναι αναλογική προς το πεδίο της TLPT, προς την κλίμακα, τη δραστηριότητα, την πολυπλοκότητα και τον αριθμό των χρηματοοικονομικών οντοτήτων και των τρίτων ή ενδοομιλικών παρόχων υπηρεσιών ΤΠΕ που συμμετέχουν στην TLPT και, σε κάθε περίπτωση, διαρκεί τουλάχιστον 12 εβδομάδες. Τα σενάρια επιθέσεων μπορούν να εκτελούνται διαδοχικά ή ταυτόχρονα. Η ομάδα ελέγχου, ο πάροχος πληροφοριών για απειλές, οι δοκιμαστές και οι διαχειριστές δοκιμής συμφωνούν την ολοκλήρωση του ενεργού σταδίου δοκιμής κόκκινης ομάδας.

6.   Με την επιφύλαξη της διασφάλισης ότι το σχέδιο δοκιμής κόκκινης ομάδας παραμένει πλήρες και επιτρέπει την εκτέλεση αποτελεσματικής TLPT, ο επικεφαλής της ομάδας ελέγχου και οι διαχειριστές δοκιμής εγκρίνουν τυχόν αλλαγές του σχεδίου δοκιμής κόκκινης ομάδας μετά την έγκρισή του, συμπεριλαμβανομένου του χρονοδιαγράμματος, του πεδίου, των στοχευμένων συστημάτων ή των ενδεικτών.

7.   Κατά τη διάρκεια του ενεργού σταδίου δοκιμών κόκκινης ομάδας, οι δοκιμαστές αναφέρουν τουλάχιστον σε εβδομαδιαία βάση στην ομάδα ελέγχου και στους διαχειριστές δοκιμής την πρόοδο που έχει σημειωθεί στην TLPT, και ο πάροχος πληροφοριών για απειλές παραμένει διαθέσιμος για διαβούλευση και πρόσθετες πληροφορίες για απειλές, όταν ζητηθεί από την ομάδα ελέγχου.

8.   Η ομάδα ελέγχου παρέχει εγκαίρως τα πλεονεκτήματα που έχουν σχεδιαστεί με βάση το σχέδιο δοκιμής κόκκινης ομάδας. Μπορούν να προστίθενται ή να προσαρμόζονται πλεονεκτήματα κατόπιν έγκρισης της ομάδας ελέγχου και των διαχειριστών δοκιμής.

9.   Σε περίπτωση που οι δραστηριότητες δοκιμών εντοπιστούν από οποιοδήποτε μέλος του προσωπικού της χρηματοοικονομικής οντότητας ή των οικείων τρίτων παρόχων υπηρεσιών ΤΠΕ ή του ενδοομιλικού παρόχου υπηρεσιών ΤΠΕ, κατά περίπτωση, η ομάδα ελέγχου, σε διαβούλευση με τους δοκιμαστές και με την επιφύλαξη της παραγράφου 10, προτείνει και υποβάλλει προς επικύρωση στους διαχειριστές δοκιμής μέτρα που επιτρέπουν τη συνέχιση της TLPT, διασφαλίζοντας παράλληλα τον απόρρητο χαρακτήρα της TLPT.

10.   Σε εξαιρετικές περιστάσεις οι οποίες συνεπάγονται κινδύνους επιπτώσεων στα δεδομένα, ζημία σε περιουσιακά στοιχεία και διαταραχή κρίσιμων ή σημαντικών λειτουργιών, υπηρεσιών ή δραστηριοτήτων της ίδιας της χρηματοοικονομικής οντότητας, των οικείων τρίτων παρόχων υπηρεσιών ΤΠΕ ή των ενδοομιλικών παρόχων υπηρεσιών ΤΠΕ, ή διαταραχές στους αντισυμβαλλομένους της ή στον χρηματοοικονομικό τομέα, ο επικεφαλής της ομάδας ελέγχου μπορεί να αναστείλει την TLPT ή, ως έσχατη λύση, όταν η συνέχιση της TLPT δεν είναι δυνατή με άλλον τρόπο και με την επιφύλαξη προηγούμενης επικύρωσης από την αρχή TLPT, να συνεχίσει την TLPT με τη χρήση περιορισμένης άσκησης δράσεων μωβ ομάδας. Η διάρκεια της περιορισμένης άσκησης δράσεων μωβ ομάδας προσμετράται για τον σκοπό της ελάχιστης διάρκειας των 12 εβδομάδων του ενεργού σταδίου δοκιμών κόκκινης ομάδας που αναφέρεται στην παράγραφο 5.