10 artikla Testausvaihe: Uhkatiedustelutiedot

1.   Kun uhkaperusteisesta tunkeutumistestauksesta vastaava viranomainen on hyväksynyt testauksen soveltamisalan määrittävän asiakirjan, uhkatiedustelutietojen tarjoajan on analysoitava finanssiyhteisön kannalta merkityksellisiä yleisiä ja alakohtaisia uhkatiedustelutietoja. Jos finanssialan uhkaperusteisesta tunkeutumistestauksesta vastaava jäsenvaltion viranomainen on laatinut yleisen uhkaympäristön, uhkatiedustelutietojen tarjoaja voi käyttää sitä kansallisen uhkaympäristön perustana. Uhkatiedustelutietojen tarjoajan on tunnistettava finanssiyhteisöä koskevat kyberuhat ja olemassa olevat tai mahdolliset haavoittuvuudet. Lisäksi uhkatiedustelutietojen tarjoajan on kerättävä finanssiyhteisöä koskevia konkreettisia, toteuttamiskelpoisia ja kontekstisidonnaisia kohde- ja uhkatiedustelutietoja ja analysoitava niitä muun muassa kuulemalla testaustoimintaa johtavaa ryhmää ja testauspäälliköitä.

2.   Uhkatiedustelutietojen tarjoajan on esitettävä asiaankuuluvat uhat ja kohdennetut uhkatiedustelutiedot ja ehdotettava tarvittavia skenaarioita testaustoimintaa johtavalle ryhmälle, testaajille ja testauspäälliköille. Erilaiset ehdotetut skenaariot on laadittava tunnistettujen uhkatoimijoiden ja niiden käyttämien taktiikoiden, tekniikoiden ja menettelyiden perusteella, ja skenaarioilla on katettava kaikki uhkaperusteisen tunkeutumistestauksen soveltamisalaan kuuluvat kriittiset tai tärkeät toiminnot.

3.   Testaustoimintaa johtavan ryhmän vetäjän on valittava uhkaperusteista tunkeutumistestausta varten vähintään kolme skenaariota kaikkien seuraavien tekijöiden perusteella:

4.   Valituista skenaarioista ainoastaan yksi voi olla muu kuin uhkaperusteinen ja perustua tulevaisuudessa esiintyvään ja mahdollisesti kuvitteelliseen uhkaan, jolla finanssiyhteisöä koskevan uhkaympäristön odotettavissa olevan kehityksen perusteella on merkittävä ennustava, ennakoiva ja opportunistinen arvo.

Yhdistettyjen uhkaperusteisten tunkeutumistestien osalta vähintään yhteen skenaarioon on sisällyttävä TVT-palveluntarjoajana olevan kolmannen osapuolen TVT-järjestelmät, -prosessit ja -teknologiat, joilla tuetaan finanssiyhteisön kriittisiä tai tärkeitä toimintoja, tämän kuitenkaan rajoittamatta skenaarioita, jotka kohdistuvat suoraan testaukseen osallistuvien finanssiyhteisöjen kriittisiin tai tärkeisiin toimintoihin.

Jos toteutetaan yhteinen uhkaperusteinen tunkeutumistestaus, johon osallistuu konsernin sisäinen TVT-palveluntarjoaja, vähintään yhteen skenaarioon on sisällyttävä konsernin sisäisen TVT-palveluntarjoajan TVT-järjestelmät, -prosessit ja -teknologiat, joilla tuetaan finanssiyhteisön kriittisiä tai tärkeitä toimintoja, tämän kuitenkaan rajoittamatta skenaarioita, jotka kohdistuvat suoraan testaukseen osallistuvien finanssiyhteisöjen kriittisiin tai tärkeisiin toimintoihin.

5.   Uhkatiedustelutietojen tarjoajan on toimitettava 3 ja 4 kohdan mukaisesti valitut skenaariot sisältävä kohdennettu uhkatiedusteluraportti testaustoimintaa johtavalle ryhmälle. Uhkatiedusteluraportissa on oltava liitteessä III esitetyt tiedot.

6.   Testaustoimintaa johtavan ryhmän on toimitettava kohdennettu uhkatiedusteluraportti testauspäällikön hyväksyttäväksi. Jos kohdennettu uhkatiedusteluraportti on täydellinen ja sillä varmistetaan uhkaperusteisen tunkeutumistestauksen toteuttaminen tuloksellisesti, uhkaperusteisesta tunkeutumistestauksesta vastaavan viranomaisen on hyväksyttävä kohdennettu uhkatiedusteluraportti ja ilmoitettava asiasta testaustoimintaa johtavan ryhmän vetäjälle.