11 straipsnis Testavimo etapas. Raudonosios komandos testavimas

1.   TLPT institucijai patvirtinus tikslinės žvalgybos informacijos apie grėsmes ataskaitą, testuotojai parengia raudonosios komandos testavimo planą, kuriame pateikiama IV priede nurodyta informacija. Kaip pagrindą išpuolių scenarijams parengti testuotojai naudoja aprėpties aprašymą ir tikslinės žvalgybos informacijos apie grėsmes ataskaitą.

2.   Rengdami raudonosios komandos testavimo planą testuotojai konsultuojasi su kontrolės grupe, žvalgybos informacijos apie grėsmes teikėju ir testavimo vadovais, be kita ko, dėl komunikacijos, procedūrų ir projekto valdymo tvarkos, pasiruošimo ir naudojimo scenarijų, susijusių su pagalbinių paslaugų aktyvavimu, ir susitarimų dėl ataskaitų teikimo su kontrolės grupe ir testavimo vadovais.

3.   Jei raudonosios komandos testavimo planas yra išsamus ir juo užtikrinamas veiksmingas TLPT, kontrolės grupė ir TLPT institucija raudonosios komandos testavimo planą patvirtina, o TLPT institucija apie tai informuoja kontrolės grupės vadovą.

4.   Pagal 3 dalį patvirtinus raudonosios komandos testavimo planą, testuotojai atlieka TLPT aktyviojo raudonosios komandos testavimo etapo metu.

5.   Aktyviojo raudonosios komandos testavimo etapo trukmė turi būti proporcinga TLPT aprėpčiai, finansų sektoriaus subjektų ir IRT paslaugas teikiančios trečiosios šalies arba grupės vidaus IRT paslaugų teikėjų, dalyvaujančių TLPT, mastui, veiklai, sudėtingumui ir skaičiui ir bet kuriuo atveju ne trumpesnė kaip 12 savaičių. Išpuolių scenarijai gali būti vykdomi paeiliui arba tuo pačiu metu. Kontrolės grupė, žvalgybos informacijos apie grėsmes teikėjas, testuotojai ir testavimo vadovai susitaria dėl aktyviojo raudonosios komandos testavimo etapo pabaigos.

6.   Jeigu užtikrinamas raudonosios komandos testavimo plano išsamumas ir sudaromos sąlygos atlikti veiksmingą TLPT, kontrolės grupės vadovas ir testavimo vadovai patvirtina visus raudonosios komandos testavimo plano pakeitimus, įskaitant pakeitimus, susijusius su tvarkaraščiu, aprėptimi, konkrečiomis sistemomis ar grėsmėmis.

7.   Per visą aktyviojo raudonosios komandos testavimo etapą testuotojai bent kartą per savaitę kontrolės grupei ir testavimo vadovams praneša apie padarytą TLPT pažangą, o žvalgybos informacijos apie grėsmes teikėjas kontrolės grupės prašymu teikia konsultacijas ir papildomą žvalgybos informaciją apie grėsmes.

8.   Kontrolės grupė laiku suteikia pagal raudonosios komandos testavimo planą parengtas pagalbines paslaugas. Pagalbines paslaugas galima pridėti arba pritaikyti kontrolės grupei ir testavimo vadovams pritarus.

9.   Jei bet kuris finansų sektoriaus subjekto, jam IRT paslaugas teikiančių trečiųjų šalių arba, kai aktualu, grupės vidaus IRT paslaugų teikėjo darbuotojas nustato, kad vykdomas testavimas, kontrolės grupė, pasikonsultavusi su testuotojais ir nedarydama poveikio 10 daliai, pasiūlo ir pateikia priemones, kurias pritaikius būtų galima tęsti TLPT, kartu užtikrinant jo slaptumą testavimo vadovams, kad jį būtų galima laikyti galiojančiu.

10.   Išimtinėmis aplinkybėmis, dėl kurių kyla poveikio duomenims, žalos turtui ir paties finansų sektoriaus subjekto, jam IRT paslaugas teikiančių trečiųjų šalių ar grupės vidaus IRT paslaugų teikėjų ypatingos svarbos ar svarbių funkcijų, paslaugų ar operacijų sutrikdymo arba jo partnerių ar finansų sektoriaus veiklos sutrikdymo rizika, kontrolės grupės vadovas gali sustabdyti TLPT arba kraštutiniu atveju, kai TLPT kitaip tęsti nebeįmanoma ir jei gaunamas išankstinis TLPT institucijos patvirtinimas, toliau atlikti TLPT vykdant ribotus purpurinės komandos veiksmus. Ribotų purpurinės komandos veiksmų trukmė skaičiuojama nustatant minimalią aktyviojo raudonosios komandos testavimo etapo 12 savaičių trukmę, kaip nurodyta 5 dalyje.