Załącznik IV

Plan testów z udziałem zespołu typu red team zawiera informacje na temat wszystkich poniższych elementów, do których zaliczają się:

a) kanały i procedury komunikacji;

b) taktyki, techniki i procedury, których stosowanie w ataku jest dozwolone i niedozwolone, w tym granice etyczne dla inżynierii społecznej;

c) środki zarządzania ryzykiem, które mają być stosowane przez testerów;

d) opis każdego scenariusza, w tym:

(i) symulowany agresor;

(ii) jego zamiary, motywacja i cele;

(iii) funkcje będące celem ataku lub wspierające je systemy ICT;

(iv) aspekty poufności, integralności, dostępności i autentyczności będące celem ataku;

(v) flagi;

e) szczegółowy opis każdej spodziewanej ścieżki ataku, w tym warunki wstępne i ewentualne ułatwienia, które ma zapewnić zespół typu control team, w tym terminy ich zapewnienia i potencjalne wykorzystanie;

f) harmonogram działań zespołu typu red team, w tym czas zaplanowany na realizację każdego scenariusza, podzielony co najmniej zgodnie z trzema etapami, które przechodzi tester w fazie testowania, a mianowicie wejściem do systemów ICT podmiotów finansowych, przejściem przez systemy ICT i wreszcie wykonaniem działań na celach i ostatecznym wydostaniem się z systemów ICT (etapy „wejścia”, „przejścia” i „wyjścia”);

g) szczególne cechy infrastruktury podmiotów finansowych, które należy uwzględnić podczas testów;

h) ewentualne dodatkowe informacje lub inne zasoby niezbędne testerom do realizacji scenariuszy.