DORA-TLPT-Kontrollteam: Rollen, Befugnis zum Teststopp und Eskalation

Die Entscheidung, bei der Ihnen dieser Leitfaden hilft

Das Kontrollteam benötigt die Befugnisse und Kontakte, um während des Tests handeln zu können, und nicht nur einen Platz im Projektorganigramm. Vereinbaren Sie, wer Aktivitäten stoppen darf, wie Ereignisse im Rahmen der Übung von realen Vorfällen unterschieden werden und wie Entscheidungen dokumentiert werden, ohne die Übung unnötig offenzulegen.

Das Kontrollteam verbindet Realitätsnähe mit Verantwortlichkeit

Das Kontrollteam ist die abgegrenzte Gruppe innerhalb des Finanzunternehmens, die über den Test informiert ist und ihn steuert. Sie koordiniert die Übung und erhält zugleich die Voraussetzungen, die für eine Beurteilung der Fähigkeiten der Verteidiger erforderlich sind. Ihre Leitung dient den Anbietern und den Testverantwortlichen der Behörde als zentrale Anlaufstelle.

Ein Kontrollteam sollte nicht erst nach der Beschaffung als Name in einen Projektplan aufgenommen werden. Seine Zusammensetzung, Befugnisse, Vertraulichkeitsregeln und Eskalationswege bestimmen, ob die Tests sicher durchgeführt werden können und aussagekräftige Nachweise liefern.

Vor dem Test: Entscheidungen umsetzbar machen

• Klären Sie, wer Aktivitäten genehmigen, den Prüfungsumfang ändern oder den Test stoppen darf.
• Sorgen Sie für sichere Kommunikation und ein Need-to-know-Prinzip.
• Verantwortliche für kritische Funktionen, betriebliche Einschränkungen und Abhängigkeiten von Anbietern zusammenbringen.
• Einsatzregeln, Vorfallbearbeitung und Notfallkontakte abstimmen.
• Planen Sie, welche Dokumente geprüft werden müssen und wie die Abstimmung mit den Behörden erfolgt.

Diese Entscheidungen sollten so dokumentiert werden, dass die Beteiligten sie auch unter Zeitdruck tatsächlich nutzen können. Unklare Zuständigkeiten verursachen die größten Kosten, wenn unerwartet ein Produktionsproblem auftritt.

Während der Durchführung: die Übung von einem realen Vorfall unterscheiden

Kontrollierte Tests schließen die Möglichkeit eines tatsächlichen Angriffs oder einer unabhängigen Dienstunterbrechung nicht aus. Das Kontrollteam benötigt ein Verfahren, um Ereignisse zu unterscheiden, Unsicherheiten zu eskalieren und Aktivitäten bei Bedarf zu pausieren.

Wesentliche Entscheidungen, Annahmen, Einschränkungen und Änderungen dokumentieren. Es geht nicht darum, um ihrer selbst willen Unterlagen zu erstellen, sondern festzuhalten, warum eine Maßnahme genehmigt wurde und wie das Risiko bewertet wurde. Vermeiden Sie, die Übung unnötig gegenüber dem breiteren Verteidigungsteam offenzulegen.

Zum Abschluss: Beobachtungen in Erkenntnisse umwandeln

Die Aufzeichnungen des Red Teams und die Erfahrung des Blue Teams können unterschiedliche Teile derselben Geschichte erzählen. Das Control Team hilft dabei, sie anhand des geltenden Berichts-, Replay- und Purple-Team-Prozesses miteinander in Einklang zu bringen.

Beispielsweise kann eine Aktion Telemetriedaten erzeugt haben, ohne eine Untersuchung auszulösen, oder eine Erkennung kann eine Reaktion nach sich gezogen haben, die das Szenario nicht eindämmte. Das sind unterschiedliche Ergebnisse, die jeweils andere Verbesserungen erfordern. Eine einheitliche Liste von Schwachstellen würde diesen Unterschied nicht erfassen.

Verantwortlichkeiten über das Abschlussgespräch hinaus sichern

Der Abschluss sollte vereinbarte Behebungsmaßnahmen, verantwortliche Personen und ein Verfahren zur Nachverfolgung der Umsetzung hervorbringen. Das Finanzunternehmen bleibt auch dann für seine regulatorischen Pflichten und deren Erfüllung verantwortlich, wenn ein Anbieter die Dokumentation unterstützt.

Planen Sie die Übergabe von der eingeschränkten Testgruppe an die Teams, die Verbesserungen umsetzen. Informationen sollten die Personen erreichen, die sie benötigen, während sensible Angriffsinformationen angemessen geschützt bleiben.

Ein realistisches Koordinationsproblem proben

Betrachten Sie ein unerwartetes Dienstsymptom während einer genehmigten Aktivität. Das Kontrollteam muss den betroffenen Verantwortlichen ermitteln, die aktuelle Testaktion verstehen und die Personen erreichen können, die sie aussetzen dürfen. Vereinbaren Sie, welche Bestätigung erforderlich ist und wie eine Entscheidung zur Wiederaufnahme dokumentiert wird. Üben Sie während der Durchführung auch den Umgang mit einem unabhängigen realen Vorfall. Das Koordinationsmodell sollte eine ordnungsgemäße Untersuchung ermöglichen, ohne davon auszugehen, dass jedes verdächtige Ereignis zum Test gehört.

Technische Einstiegspunkte erschweren diese Entscheidungen. Der Leitfaden zu privilegierten Zugriffsrechten bei Banken hilft dabei, die Identitäts-, Netzwerk- und Anwendungsverantwortlichen zu unterscheiden, die eine bestimmte Beobachtung möglicherweise erläutern müssen. Halten Sie die eingeschränkte Kontaktübersicht mit dem tatsächlichen Umfang abgestimmt.

Ein prägnantes Entscheidungsprotokoll führen

Dokumentieren Sie wesentliche Freigaben, Unterbrechungen, Unterstützungsleistungen, Änderungen und offene Fragen einschließlich ihrer Begründung und der verantwortlichen Beteiligten. Das Protokoll sollte eine nachvollziehbare Rekonstruktion des Ablaufs ermöglichen, ohne als Ablage für unnötige sensible Daten zu dienen. Verwenden Sie den vereinbarten vertraulichen Kommunikationskanal und die festgelegten Zugriffsbeschränkungen. Bei der Nachbereitung der Übung hilft diese Aufzeichnung, beobachtetes Kontrollverhalten von Ergebnissen zu unterscheiden, die durch Unterstützung oder betriebliche Einschränkungen beeinflusst wurden.

Für releaseabhängige Systeme erläutert der Leitfaden zu Fintech-Nachweisen und Nachtests, warum der Versionskontext zusammen mit einer Beobachtung festgehalten werden muss. Das Kontrollteam sollte relevante Änderungen während der Übung erkennen und in den geeigneten Prüfprozess einbringen können. Eine klare Koordination unterstützt aussagekräftige Erkenntnisse, da spätere Leser nachvollziehen können, unter welchen Bedingungen jedes Ergebnis erzielt wurde.

Setzen Sie Ihre Vorbereitung fort

• TLPT-Vorbereitungs-Checkliste
• Berichte und Ergebnisse zur Behebung