Článok 11 Testovacia fáza: test červeného tímu

1.   Testovacie subjekty po schválení cielenej správy o spravodajských informáciách o hrozbách orgánom TLPT vypracujú plán testu červeného tímu, ktorý obsahuje informácie stanovené v prílohe IV. Ako základ pre vypracovanie scenárov útoku používajú testovacie subjekty dokument so špecifikáciou rozsahu a cielenú správu o spravodajských informáciách o hrozbách.

2.   Testovacie subjekty konzultujú s kontrolným tímom, poskytovateľom spravodajských informácií o hrozbách a testovacími manažérmi plán testu červeného tímu vrátane komunikácie, procedurálnych opatrení a opatrení projektového riadenia, prípravy a prípadov použitia aktivácie opôr a dohôd o podávaní správ kontrolnému tímu a testovacím manažérom.

3.   Ak je plán testu červeného tímu úplný a zabezpečuje sa ním vykonanie účinného TLPT, kontrolný tím a orgán TLPT schvália plán testu červeného tímu a TLPT to oznámi vedúcemu kontrolného tímu.

4.   Po schválení plánu testu červeného tímu v súlade s odsekom 3 testovacie subjekty vykonajú TLPT počas fázy aktívneho testovania prostredníctvom červeného tímu.

5.   Trvanie fázy aktívneho testovania prostredníctvom červeného tímu musí byť primerané rozsahu pôsobnosti TLPT, rozsahu, činnosti, zložitosti a počtu finančných subjektov a externých poskytovateľov IKT služieb alebo vnútroskupinových poskytovateľov IKT služieb zapojených do TLPT a v každom prípade trvá aspoň 12 týždňov. Scenáre útoku sa môžu uskutočňovať postupne alebo súčasne. Kontrolný tím, poskytovateľ spravodajských informácií o hrozbách, testovacie subjekty a testovacie manažéri sa zhodnú na ukončení fázy aktívneho testovania prostredníctvom červeného tímu.

6.   Pod podmienkou, že plán testu červeného tímu zostane úplný a umožní sa ním vykonanie účinného TLPT, vedúci kontrolného tímu a testovací manažéri schvália všetky zmeny plánu testu červeného tímu po jeho schválení vrátane harmonogramu, rozsahu pôsobnosti, cieľových systémov alebo vlajok.

7.   Počas celej fázy aktívneho testovania prostredníctvom červeného tímu testovacie subjekty podávajú aspoň raz týždenne kontrolnému tímu a testovacím manažérom správu o pokroku dosiahnutom v rámci TLPT a poskytovateľ spravodajských informácií o hrozbách musí na požiadanie kontrolného tímu zostať k dispozícii na konzultácie a poskytnutie dodatočných spravodajských informácií o hrozbách.

8.   Kontrolný tím včas poskytuje opory navrhnuté na základe plánu testu červeného tímu. Opory sa môžu pridávať alebo upravovať po schválení kontrolným tímom a testovacími manažérmi.

9.   V prípade odhalenia testovacích činností ktorýmkoľvek zamestnancom finančného subjektu alebo jeho externých poskytovateľov IKT služieb, prípadne vnútroskupinového poskytovateľa IKT služieb, kontrolný tím po konzultácii s testovacími subjektmi a bez toho, aby bol dotknutý odsek 10, navrhne a predloží testovacím manažérom na validáciu opatrenia, ktoré umožnia pokračovať v TLPT, pričom zabezpečuje jeho utajenie.

10.   Za výnimočných okolností, ktoré vyvolávajú riziká vplyvu na údaje, škody na aktívach a narušenia kritických alebo dôležitých funkcií, služieb alebo operácií samotného finančného subjektu, jeho externých poskytovateľov IKT služieb alebo vnútroskupinových poskytovateľov IKT služieb, alebo narušenia jeho protistrán alebo finančného sektora, môže vedúci kontrolného tímu pozastaviť TLPT, alebo v krajnom prípade, ak pokračovanie TLPT nie je inak možné a pod podmienkou predchádzajúceho potvrdenia orgánom TLPT, pokračovať v TLPT a použiť pritom obmedzené fialové tímové cvičenie. Trvanie obmedzeného fialového tímového cvičenia sa počíta na účely minimálneho 12-týždňového trvania fázy aktívneho testovania prostredníctvom červeného tímu uvedenej v odseku 5.