Artikel 11 Testfase: red-teamtest

1.   Nadat de TLPT-autoriteit het Target Threat Intelligence Report heeft goedgekeurd, stellen de testers het testplan voor het red team op, dat de in bijlage IV vermelde informatie bevat. De testers gebruiken het scoping-document en het Target Threat Intelligence Report als basis voor het opstellen van de aanvalsscenario’s.

2.   De testers raadplegen het control team, de aanbieder van dreigingsinformatie en de testmanagers over het testplan voor het red team, met inbegrip van de communicatie-, procedurele en projectmanagementregelingen, de voorbereiding op en de use-cases voor activering van leg-ups, en de regelingen voor rapportage aan het control team en de testmanagers.

3.   Indien het testplan voor het red team volledig is en de uitvoering van een doeltreffende TLPT waarborgt, keuren het control team en de TLPT-autoriteit het testplan voor het red team goed en stelt de TLPT-autoriteit de leider van het control team daarvan in kennis.

4.   Na goedkeuring van het testplan voor het red team overeenkomstig lid 3 voeren de testers de TLPT uit tijdens de actieve red-teamtestfase.

5.   De duur van de actieve red-teamtestfase is evenredig aan de scope van de TLPT, het aantal, de schaal, de activiteit en de complexiteit van de financiële entiteiten en derde aanbieders van ICT-diensten of intragroepsaanbieders van ICT-diensten die bij de TLPT zijn betrokken, en bedraagt hoe dan ook ten minste twaalf weken. Aanvalsscenario’s kunnen sequentieel of gelijktijdig worden uitgevoerd. Het control team, de aanbieder van dreigingsinformatie, de testers en de testmanagers komen overeen wanneer de actieve red-teamtestfase eindigt.

6.   Op voorwaarde dat het testplan voor het red team volledig blijft en de uitvoering van een doeltreffende TLPT mogelijk maakt, geven de leider van het control team en de testmanagers goedkeuring voor alle wijzigingen in het testplan na de vaststelling ervan, met inbegrip van het tijdschema, de scope, de doelwitsystemen of flags.

7.   Gedurende de gehele actieve red-teamtestfase rapporteren de testers ten minste wekelijks aan het control team en de testmanagers over de voortgang bij de TLPT en blijft de aanbieder van dreigingsinformatie beschikbaar voor overleg en voor aanvullende dreigingsinformatie wanneer het control team daarom verzoekt.

8.   Het control team verstrekt tijdig leg-ups die zijn ontworpen op basis van het testplan voor het red team. Leg-ups kunnen worden toegevoegd of aangepast na goedkeuring van het control team en de testmanagers.

9.   In het geval dat testwerkzaamheden worden ontdekt door een personeelslid van de financiële entiteit of van haar derde aanbieders van ICT-diensten of intragroepsaanbieder van ICT-diensten, al naargelang, stelt het control team, in overleg met de testers en onverminderd lid 10, de testmanagers ter validatie maatregelen voor waarmee de TLPT kan worden voortgezet maar toch geheim kan worden gehouden.

10.   In buitengewone omstandigheden die risico’s veroorzaken van impact op data, schade aan activa en verstoring van kritieke of belangrijke functies, diensten of operaties van de financiële entiteit zelf, van haar derde aanbieders van ICT-diensten of intragroepsaanbieders van ICT-diensten, of verstoringen van haar tegenhangers of van de financiële sector, kan de leider van het control team de TLPT opschorten of, als laatste redmiddel, indien de voortzetting van de TLPT anders niet mogelijk is en met inachtneming van voorafgaande validatie door de TLPT-autoriteit, de TLPT voortzetten met behulp van een beperkte purple teaming-oefening. De duur van de beperkte purple teaming-oefening wordt meegeteld voor de minimumduur van twaalf weken van de actieve red-teamtestfase waarvan sprake in lid 5.