Artikkel 11 Testimisetapp: punase tiimi test

1.   Pärast seda, kui ohuteabel põhineva läbistustestimise asutus on sihipärase ohuteadmuse aruande heaks kiitnud, peavad testijad koostama punase tiimi testimiskava, mis peab sisaldama IV lisas märgitud teavet. Testijad peavad kasutama ründestsenaariumide koostamiseks kohaldamisala kirjeldamise dokumenti ja sihipärast ohuteadmuse aruannet.

2.   Testijad peavad konsulteerima punase tiimi testimiskava asjus kontrollitiimi, ohuteadmuse pakkuja ja testijuhtidega, sh käsitledes teabevahetust, menetluslikku ja projektijuhtimise korraldust, toetava abi andmiseks ettevalmistumist ja selle kasutamise juhtusid ning kontrollitiimile ja testijuhtidele aruannete esitamise korraldust.

3.   Kui punase tiimi testimiskava on terviklik ja sellega tagatakse tulemuslik ohuteabel põhinev läbistustestimine, kiidavad kontrollitiim ja ohuteabel põhineva läbistustestimise asutus punase tiimi testimiskava heaks ning ohuteabel põhineva läbistustestimise asutus teavitab sellest kontrollitiimi juhti.

4.   Kui punase tiimi testimiskava on lõike 3 kohaselt heaks kiidetud, viivad testijad aktiivse punase tiimi testimisetapi ajal läbi ohuteabel põhineva läbistustestimise.

5.   Aktiivse punase tiimi testimisetapi kestus peab olema proportsionaalne ohuteabel põhineva läbistustestimise kohaldamisalaga ning ohuteabel põhinevas läbistustestimises osalevate finantssektori ettevõtjate ja kolmandast isikust IKT-teenuste osutajate või kontsernisiseste IKT-teenuste osutajate ulatuse, tegevuse, keerukuse ja arvuga ning igal juhul kestma vähemalt 12 nädalat. Ründestsenaariume võidakse rakendada üksteise järel või samal ajal. Kontrollitiim, ohuteadmuse pakkuja, testijad ja testijuhid peavad leppima kokku aktiivse punase tiimi testimisetapi lõpu.

6.   Kui on tagatud, et punase tiimi testimiskava jääb terviklikuks ja võimaldab tulemusliku ohuteabel põhineva läbistustestimise läbiviimist, kiidavad kontrollitiimi juht ja testijuhid heaks punase tiimi testimiskava mis tahes muudatused, mis tehti pärast selle heakskiitmist, sh ajakava, kohaldamisala, sihtsüsteemid või lipud.

7.   Kogu aktiivse punase tiimi testimisetapi ajal peavad testijad esitama vähemalt igal nädalal aruanded kontrollitiimile ja testijuhtidele ohuteabel põhineva läbistustestimise valdkonnas tehtud edusammude kohta ning ohuteadmuse pakkuja peab jääma konsulteerimiseks ja täiendava ohuteadmuse esitamiseks kättesaadavaks, kui kontrollitiim seda taotleb.

8.   Kontrollitiim peab andma õigel ajal punase tiimi testimiskava alusel loodud toetavat abi. Toetavat abi võidakse lisada või kohandada, kui sellele on saadud kontrollitiimi ja testijuhtide heakskiit.

9.   Kui mõni finantssektori ettevõtja või asjakohasel juhul tema kolmandast isikust IKT-teenuste osutaja või kontsernisisese IKT-teenuste osutaja töötajatest avastab testimise, siis peab kontrollitiim testijatega konsulteerides ning piiramata lõike 10 kohaldamist pakkuma välja ja esitama testijuhtidele valideerimiseks meetmed, mis võimaldavad ohuteabel põhinevat läbistustestimist jätkata, tagades samal ajal selle konfidentsiaalsuse.

10.   Erandolukordades, mis tekitavad riski mõjutada finantssektori ettevõtja enda, tema kolmandast isikust IKT-teenuste osutajate või kontsernisiseste IKT-teenuste osutajate andmeid, kahjustada vara ja häirida kriitilise tähtsusega või olulisi funktsioone, teenuseid või operatsioone või häirida tema vastaspooli või finantssektorit, võib kontrollitiimi juht peatada ohuteabel põhineva läbistustestimise või – viimase võimalusena, kui ohuteabel põhineva läbistustestimise jätkamine ei ole vastasel juhul võimalik ning tingimusel, et ohuteabel põhineva läbistustestimise asutus valideerib selle eelnevalt – jätkata ohuteabel põhinevat läbistustestimist piiratud sini-punatiimide simulatsiooni raames. Piiratud sini-punatiimide simulatsiooni tuleb lõikes 5 osutatud aktiivse punase tiimi testimisetapi 12-nädalase miinimumkestuse puhul arvesse võtta.