11 artikla Testausvaihe: Punaisen tiimin testi

1.   Kun uhkaperusteisesta tunkeutumistestauksesta vastaava viranomainen on hyväksynyt kohdennetun uhkatiedusteluraportin, testaajien on laadittava punaisen tiimin testaussuunnitelma, jossa on liitteessä IV esitetyt tiedot. Testaajien on toteutettava hyökkäysskenaariot testauksen soveltamisalan määrittävän asiakirjan ja kohdennetun uhkatiedusteluraportin perusteella.

2.   Testaajien on kuultava testaustoimintaa johtavaa ryhmää, uhkatiedustelutietojen tarjoajaa ja testauspäälliköitä punaisen tiimin testaussuunnitelmasta, mukaan lukien viestintää, menettelyä ja projektinhallintaa koskevat järjestelyt, avustuksen aktivoinnin valmistelu ja sen käyttötapaukset sekä sopimukset, jotka koskevat raportointia testaustoimintaa johtavalle ryhmälle ja testauspäälliköille.

3.   Jos punaisen tiimin testaussuunnitelma on täydellinen ja sillä varmistetaan uhkaperusteisen tunkeutumistestauksen toteuttaminen tuloksellisesti, testaustoimintaa johtavan ryhmän ja uhkaperusteisesta tunkeutumistestauksesta vastaavan viranomaisen on hyväksyttävä punaisen tiimin testaussuunnitelma ja ilmoitettava asiasta testaustoimintaa johtavan ryhmän vetäjälle.

4.   Kun punaisen tiimin testaussuunnitelma on hyväksytty 3 kohdan mukaisesti, testaajien on toteutettava uhkaperusteinen tunkeutumistestaus punaisen tiimin aktiivisen testausvaiheen aikana.

5.   Punaisen tiimin aktiivisen testausvaiheen keston on oltava oikeassa suhteessa uhkaperusteisen tunkeutumistestauksen soveltamisalaan sekä siihen osallistuvien finanssiyhteisöjen ja TVT-palveluntarjoajana olevien kolmansien osapuolten tai konsernin sisäisten TVT-palveluntarjoajien laajuuteen, toimintaan, monitahoisuuteen ja lukumäärään, ja sen on joka tapauksessa kestettävä vähintään 12 viikkoa. Hyökkäysskenaariot voidaan toteuttaa peräkkäin tai samanaikaisesti. Testaustoimintaa johtavan ryhmän, uhkatiedustelutietojen tarjoajan, testaajien ja testauspäälliköiden on sovittava punaisen tiimin aktiivisen testausvaiheen päättymisestä.

6.   Edellyttäen, että varmistetaan, että punaisen tiimin testaussuunnitelma pysyy täydellisenä ja että sen avulla uhkaperusteinen tunkeutumistestaus voidaan toteuttaa tuloksellisesti, testaustoimintaa johtavan ryhmän vetäjän ja testauspäälliköiden on hyväksyttävä kaikki punaisen tiimin testaussuunnitelman muutokset, mukaan lukien testauksen aikatauluun, laajuuteen, kohteena oleviin järjestelmiin ja lippuihin liittyvät muutokset, jotka tehdään suunnitelman hyväksymisen jälkeen.

7.   Testaajien on koko punaisen tiimin aktiivisen testausvaiheen ajan raportoitava vähintään viikoittain testaustoimintaa johtavalle ryhmälle ja testauspäälliköille uhkaperusteisen tunkeutumistestauksen edistymisestä, ja uhkatiedustelupalvelujen tarjoajan on oltava käytettävissä testaustoimintaa johtavan ryhmän pyynnöstä kuulemista ja uusia uhkatiedustelutietoja varten.

8.   Testaustoimintaa johtavan ryhmän on toimitettava punaisen tiimin testaussuunnitelman perusteella suunniteltua avustusta oikea-aikaisesti. Avustusta voidaan lisätä tai mukauttaa testaustoimintaa johtavan ryhmän ja testauspäälliköiden suostumuksella.

9.   Jos jokin finanssiyhteisön tai sen TVT-palveluntarjoajana olevien kolmansien osapuolten tai konsernin sisäisen TVT-palveluntarjoajan henkilöstön jäsen havaitsee testaustoimet, testaustoimintaa johtavan ryhmän on testaajia kuullen ja rajoittamatta 10 kohdan soveltamista ehdotettava ja toimitettava testauspäälliköille vahvistamista varten toimenpiteitä, joilla mahdollistetaan uhkaperusteisen tunkeutumistestauksen jatkaminen ja varmistetaan sen salassa pysyminen.

10.   Poikkeuksellisissa olosuhteissa, joissa syntyy riskejä finanssiyhteisön, sen TVT-palveluntarjoajana olevien kolmansien osapuolten tai konsernin sisäisten TVT-palveluntarjoajien dataan kohdistuvista vaikutuksista, omaisuusvahingoista ja kriittisten tai tärkeiden toimintojen, palvelujen tai toiminnan häiriöistä tai joissa aiheutuu häiriöitä finanssiyhteisön vastapuolille tai finanssialalle, testaustoimintaa johtavan ryhmän vetäjä voi keskeyttää uhkaperusteisen tunkeutumistestauksen tai, jos uhkaperusteisen tunkeutumistestauksen jatkaminen ei muutoin ole mahdollista ja edellyttäen, että uhkaperusteisesta tunkeutumistestauksesta vastaava viranomainen on hyväksynyt asian etukäteen, viimeisenä vaihtoehtona jatkaa uhkaperusteista tunkeutumistestausta rajoitetulla purppuran tiimin harjoituksella. Rajoitetun purppuran tiimin harjoituksen kesto lasketaan mukaan 5 kohdassa tarkoitetun punaisen tiimin aktiivisen testausvaiheen 12 viikon vähimmäiskestoon.