Articolo 11 Fase di test: test red team

1.   A seguito dell’approvazione della relazione sull’analisi mirata delle minacce da parte dell’autorità competente per il TLPT, i soggetti incaricati dello svolgimento dei test preparano il piano relativo al test red team che contiene le informazioni di cui all’allegato IV. I soggetti incaricati dello svolgimento dei test utilizzano il documento relativo alle specifiche dell’ambito di applicazione e la relazione sull’analisi mirata delle minacce come base per l’elaborazione degli scenari di attacco.

2.   I soggetti incaricati dello svolgimento dei test consultano il team di controllo, il soggetto che fornisce analisi delle minacce e i responsabili dei test in merito al piano relativo al test red team, comprese le disposizioni in materia di comunicazione, procedure e gestione del progetto, la preparazione e i casi d’uso per l’attivazione dei leg-up e gli accordi di comunicazione al team di controllo e ai responsabili dei test.

3.   Se il piano relativo al test red team è completo e garantisce lo svolgimento di un TLPT efficace, il team di controllo e l’autorità competente per il TLPT approvano il piano relativo al test red team e l’autorità competente per il TLPT ne informa il responsabile del team di controllo.

4.   Una volta approvato il piano relativo al test red team conformemente al paragrafo 3, i responsabili dei test conducono il TLPT durante la fase attiva di test red team.

5.   La durata della fase attiva di test red team è proporzionata all’ambito di applicazione del TLPT, alla portata, all’attività, alla complessità e al numero delle entità finanziarie e dei fornitori terzi o intragruppo di servizi TIC coinvolti nel TLPT e, in ogni caso, è di minimo 12 settimane. Gli scenari di attacco possono essere eseguiti in sequenza o contemporaneamente. Il team di controllo, il soggetto che fornisce analisi delle minacce, i soggetti incaricati dello svolgimento dei test e i responsabili dei test concordano la fine della fase attiva di test red team.

6.   Fermo restando il presupposto che il piano relativo al test red team debba rimanere completo e consentire lo svolgimento di un TLPT efficace, il responsabile del team di controllo e i responsabili dei test approvano eventuali modifiche al piano relativo al test red team in seguito alla sua approvazione, anche per quanto riguarda le tempistiche, l’ambito di applicazione, i sistemi di bersagli o i flag.

7.   Durante l’intera fase attiva di test red team, i soggetti incaricati dello svolgimento dei test riferiscono con cadenza almeno settimanale al team di controllo e ai responsabili dei test in merito ai progressi compiuti nel TLPT e il soggetto che fornisce analisi delle minacce rimane a disposizione a fini di consultazione e per fornire ulteriori analisi delle minacce su richiesta del team di controllo.

8.   Il team di controllo fornisce tempestivamente leg-up concepiti sulla base del piano relativo al test red team. I leg-up possono essere aggiunti o adattati previa approvazione del team di controllo e dei responsabili dei test.

9.   In caso di rilevamento delle attività di test da parte di qualsiasi membro del personale dell’entità finanziaria o dei suoi fornitori terzi di servizi di TIC o del suo fornitore intragruppo di servizi TIC, se del caso, il team di controllo, in consultazione con i soggetti incaricati dello svolgimento dei test e fatto salvo il paragrafo 10, propone e presenta ai responsabili dei test misure che consentano di proseguire il TLPT, garantendone nel contempo la segretezza, affinché possano convalidarle.

10.   In circostanze eccezionali che comportano rischi di impatti sui dati, danni alle attività e perturbazioni delle funzioni essenziali o importanti, delle operazioni o dei servizi dell’entità finanziaria stessa, dei suoi fornitori terzi di servizi TIC o fornitori intragruppo di servizi TIC, oppure perturbazioni delle sue controparti o del settore finanziario, il responsabile del team di controllo può sospendere il TLPT o, in ultima istanza, qualora il proseguimento del TLPT non sia altrimenti possibile e previa convalida da parte dell’autorità competente per il TLPT, può proseguire il TLPT utilizzando un esercizio limitato di purple teaming. La durata dell’esercizio limitato di purple teaming è conteggiata ai fini del rispetto della durata minima di 12 settimane della fase attiva di test red team di cui al paragrafo 5.