Bilaga IV | Innehåll i planen för rött lag-testning (artikel 11.1)

Planen för rött lag-testning ska innehålla samtliga av följande uppgifter:

Kommunikationskanaler och kommunikationsrutiner.
Taktiker, teknik och förfaranden som är tillåtna respektive inte tillåtna att använda i angreppet, inklusive etiska gränser för social manipulering.
De riskhanteringsåtgärder som testarna ska följa.
En beskrivning av varje scenario, inklusive följande:
1. Den simulerade hotaktören.
2. Dennes avsikt, motivation och mål.
3. Funktionen eller funktionerna som är angreppsmål och stödjande IKT-system (ett eller flera).
4. Konfidentialitets-, integritets-, tillgänglighets- och autenticitetsaspekter som utgör mål.
5. Flaggor.
En detaljerad beskrivning av varje förväntad angreppsväg, inklusive förutsättningar och eventuella hjälpinsatser som ledningslaget kan tillhandahålla, inklusive tidsfrister för deras tillhandahållande och potentiella användning.
Planeringen av rött lag-aktiviteter, inklusive tidsplanering för genomförandet av varje scenario, åtminstone uppdelat i de tre faser som en testare genomgår under testfasen, närmare bestämt intrång i de finansiella entiteternas IKT-system, förflyttning genom IKT-systemen och slutligen genomförande av angrepp på målen samt därefter lämnande av IKT-systemen (faserna in, genom och ut).
Egenskaper hos de finansiella entiteternas infrastruktur som ska beaktas under testningen.
I förekommande fall, ytterligare information eller andra resurser som testarna behöver för att genomföra scenarierna.