Die Entscheidung, bei der Ihnen dieser Leitfaden hilft
Der Abschlussbericht muss den Angriffsweg, die Abwehrmaßnahmen und die Auswirkungen auf die getesteten Funktionen erläutern. Halten Sie Einschränkungen und nicht getestete Folgen fest und weisen Sie jede Maßnahme einem Verantwortlichen mit überprüfbarem Ergebnis zu. Berichtswesen und Nachweise für die Behebung müssen während des gesamten Tests vorbereitet werden.
Für die verantwortliche Person des Auftrags. Verknüpfen Sie den Angriffspfad, die Beobachtungen der Verteidigung und den Betriebskontext mit Maßnahmen, Verantwortlichen und überprüfbaren Ergebnissen. Beim Abschluss muss dokumentiert bleiben, was die Übung feststellen konnte und was nicht.
Der Abschluss sollte Ergebnisse erläutern und nicht nur Schwachstellen auflisten
Ein aussagekräftiger TLPT-Bericht verknüpft die Testziele mit den durchgeführten Maßnahmen und der Reaktion der Organisation. Er erläutert, welche Kontrollen Aktivitäten verhindert, erkannt oder eingedämmt haben, wo dies nicht der Fall war und welche Bedeutung das für die getesteten Funktionen hat.
Die RTS legen Anforderungen an die Berichterstattung und den Abschluss fest. Betrachten Sie die Berichte von Anfang an als geplante Ergebnisse und verankern Sie die Beweiserhebung sowie die Zuständigkeit für Dokumente im Auftrag. Ereignisse erst nach Ende der Tests zu rekonstruieren, führt zu vermeidbaren Lücken.
Diagrammtext lesen
- Angriffspfad
- Technische Maßnahmen und Bedingungen
- Abwehrperspektive
- Erkennung, Eskalation und Reaktion
- Behandlung
- Verantwortete Änderungen mit beobachtbaren Ergebnissen
Angriffs- und Verteidigungsteams zusammenbringen
Der Red-Team-Bericht hält die Perspektive der Tester fest. Der Blue-Team-Bericht beschreibt, was die Verteidiger beobachtet und wie sie gehandelt haben. Unterschiede zwischen diesen Perspektiven sind oft der nützlichste Ausgangspunkt für Verbesserungen.
Wiedergabe und Purple Teaming können helfen zu erklären, warum eine Erkennung ausblieb, ein Alarm nicht eskaliert wurde oder eine Reaktion ihr beabsichtigtes Ziel verfehlte. Sie können auch wirksame Kontrollen aufdecken, die beibehalten oder ausgeweitet werden sollten.
Einen Befund in eine Maßnahme überführen
| Element | Eine sinnvolle Frage |
|---|---|
| Betroffene Funktion | Welches Betriebsergebnis könnte durch das Problem beeinträchtigt werden? |
| Ursache | Liegt die Lücke in der Technologie, im Prozess, in der Zuständigkeit, im Wissen oder in einer Kombination daraus? |
| Aktion | Welche konkrete Änderung wird das Risiko verringern? |
| Verantwortliche Person und Zeitplan | Wer ist verantwortlich und welche Abhängigkeiten bestimmen den Zieltermin? |
| Validierung | Welche Nachweise belegen, dass die Verbesserung funktioniert? |
| Verbleibendes Risiko | Was ist noch ungeklärt und wer übernimmt die Verantwortung dafür oder eskaliert es? |
Ein Plan, der lediglich „Überwachung verbessern“ vorgibt, lässt wichtige Entscheidungen offen. Ein umsetzbarerer Plan benennt die fehlende Sichtbarkeit, die anzupassende Erkennungslogik oder den operativen Schritt sowie das Team, das die Änderung validieren soll.
Diagrammtext lesen
- Technische Änderung
- Begrenzte technische Validierung
- Betriebsverfahren
- Einschlägige Prozess- oder Übungsnachweise
- Verbleibende Gefährdung
- Ausdrückliche Festlegung der verantwortlichen Person und der Prüfentscheidung
Regulatorische Fristen im Blick behalten
Die RTS-Artikel 12 und 13 behandeln den Abschluss und die Anforderungen an die Behebung, einschließlich des Zeitplans für die Dokumentation. Für Red-Team- und Blue-Team-Berichte, die Prüfung durch die zuständige Behörde, die Testzusammenfassung und die Dokumentation der Behebung gelten jeweils eigene Schritte und Auslöser.
Benennen Sie eine Person, die diese Pflichten und die Kommunikation nachverfolgt. Gehen Sie weder davon aus, dass die Einreichung eines technischen Berichts die Pflichten des Unternehmens erfüllt, noch dass die Verfügbarkeit eines Anbieters die interne Verantwortung entfallen lässt.
Diagrammtext lesen
- Beobachtung
- Was tatsächlich nachgewiesen wurde
- Zustand
- Unterstützung, Version und Betriebsgrenzen
- Entscheidung
- Priorität, Verantwortlichkeit und akzeptierte Unsicherheit
Kontrollsensibler Nachweis
Berichte können Angriffspfade und Sicherheitslücken beschreiben, die nicht breit gestreut werden sollten. Stimmen Sie Zugriff, sichere Übertragung, Aufbewahrung und Schwärzung auf Zielgruppe und Zweck ab. Management-Zusammenfassungen können Entscheidungen unterstützen, ohne jedes technische Detail wiederzugeben.
Nehmen Sie keine tatsächlichen Feststellungen in ein öffentliches Kontaktformular oder eine Marketing-Fallstudie auf. Jede externe Fallstudie erfordert eine gesonderte Prüfung der Vertraulichkeit und der erforderlichen Genehmigungen.
Festlegen, was nach dem Abschluss geschieht
Behebungsmaßnahmen und etwaige Wiederholungstests müssen klar zugewiesen und abgegrenzt sein. Klären Sie, ob die Validierung im Anschluss vertraglich enthalten ist, welche Nachweise das Unternehmen vorlegen wird und wie ungelöste Probleme eskaliert werden.
Ein abgeschlossenes TLPT bildet eine Grundlage für Verbesserungen. Es garantiert nicht, dass alle Schwachstellen gefunden wurden, und entbindet das Unternehmen nicht von seinen umfassenderen Pflichten gemäß DORA.
Technische Feststellungen und Erkenntnisse zur Resilienz getrennt betrachten
Eine einzelne Schwachstelle kann zu einem umfassenderen Angriffspfad beitragen, der Identität, Erkennung, Eskalation und Reaktion umfasst. Dokumentieren Sie den technischen Zustand mit reproduzierbaren Nachweisen und erläutern Sie anschließend, wie er mit dem Szenario und den Beobachtungen der Verteidiger zusammenhängt. Machen Sie den Einfluss von Unterstützung, Zeitplanung und betrieblichen Einschränkungen sichtbar. Ein technisch erfolgreicher Schritt belegt nicht automatisch alle nachgelagerten Auswirkungen; ebenso weist ein erkannter Schritt für sich genommen keine wirksame Reaktion nach.
Der Leitfaden zur Behebung von Ergebnissen aus Bank-Penetrationstests bietet ein praktisches Modell zur Definition eines technisch nachvollziehbaren Abschlusses. Nutzen Sie diese Vorgehensweise innerhalb des umfassenderen TLPT-Berichts- und Behandlungsprozesses, statt eine Liste geschlossener Schwachstellentickets als Gesamtergebnis zu betrachten.
Die Validierung auf die angestrebte Verbesserung ausrichten
Geben Sie für jede Maßnahme an, welcher Kontrollmechanismus oder Prozess sich ändern soll, wer dafür verantwortlich ist und welche Nachweise eine Verbesserung belegen würden. Für eine Richtlinienaktualisierung, eine technische Änderung und eine betriebliche Übung können unterschiedliche Validierungsmethoden erforderlich sein. Dokumentieren Sie Abhängigkeiten zwischen Maßnahmen, damit das Programm nicht einzelne Aufgaben abschließt, während der Gesamtpfad ungeklärt bleibt. Halten Sie die vereinbarte Priorisierung und die Begründung für jedes akzeptierte Restrisiko fest.
Schnelllebige Plattformen benötigen auch einen Release-Kontext. Der Leitfaden zu Fintech-Berichten und Retests nach Releases erläutert, wie sich eine Beobachtung, eine Änderung und ein späteres Ergebnis verknüpfen lassen, ohne den Versionsverlauf zu verlieren. Bei der abschließenden Übergabe ist klar zwischen abgeschlossenen Beobachtungen, vorgeschlagener Validierung und ungeprüften Annahmen zu unterscheiden. So erhält das Management einen nachvollziehbaren Maßnahmenplan und eine solide Grundlage, um zu prüfen, ob die angestrebten Resilienzverbesserungen tatsächlich eingetreten sind.
Diagrammtext lesen
- Verbesserung festlegen
- Beschreiben Sie das beabsichtigte Kontrollverhalten
- Abhängige Aktionen verknüpfen
- Den vollständigen Ablauf sichtbar halten
- Validieren und überprüfen
- Ergebnisse und noch ausstehende Entscheidungen dokumentieren
Setzen Sie Ihre Vorbereitung fort
Primärquellen
Allgemeine Informationen, keine Rechtsberatung. Bestätigen Sie die geltenden Anforderungen und Testvereinbarungen mit der zuständigen Behörde.
Dieser Leitfaden und die oben verlinkten Fachpublikationen werden von Atlant Security veröffentlicht. Die technischen Beispiele dienen der Planung und neigen sich nicht auf abgeschlossene Kundentests.
Veröffentlicht von Atlant Security. Quellen, redaktionelle Richtlinien und Korrekturen.
