Alcance del TLPT de DORA: identificar las funciones críticas antes que los activos

La decisión que le ayudará a tomar esta guía

Empiece por la función que debe mantener su resiliencia y trace después las personas, los procesos, los sistemas y las dependencias externas asociados. Documente la cobertura propuesta y las exclusiones, junto con su justificación. La autoridad competente valida el alcance propuesto; un proveedor no puede aprobarlo en su nombre.

Empiece por lo que la organización debe seguir haciendo

Un alcance útil para un TLPT comienza por las funciones críticas o importantes y, a continuación, identifica a las personas, los procesos y la tecnología que las sustentan. Un inventario de activos es un punto de partida, pero por sí solo no explica qué consecuencias tendría un fallo para la empresa.

DORA exige que la entidad financiera identifique los sistemas, procesos y tecnologías TIC subyacentes pertinentes y evalúe qué funciones deben incluirse. La autoridad competente valida el alcance propuesto resultante. Un proveedor no puede aprobar ese alcance en nombre de la autoridad.

Crear un mapa de funciones y dependencias

• Identifique la función y a la persona responsable en el área de negocio.
• Explique el resultado operativo que debe mantenerse.
• Siga los sistemas, las identidades, los procesos y los equipos que respaldan la función.
• Identificar proveedores terceros de servicios de TIC, servicios compartidos y dependencias transfronterizas.
• Registrar los límites, las hipótesis y cualquier dependencia que pueda afectar a las pruebas.

Por ejemplo, una función relacionada con los pagos puede depender de aplicaciones, infraestructura de identidad, procedimientos operativos y un servicio externo. Probar únicamente la aplicación pública dejaría sin analizar la relación entre esas dependencias. Se trata de un patrón ilustrativo para definir el alcance, no de una afirmación sobre el entorno de ningún cliente.

Hacer revisables las exclusiones y autorizaciones

Toda exclusión propuesta debe indicar por qué se plantea, qué riesgo o dependencia afecta y cómo se tendrá en cuenta en el diseño de las pruebas. Las exclusiones sin explicación pueden menoscabar el realismo del ejercicio.

La autorización para probar la entidad financiera no autoriza automáticamente actividades contra terceros. Antes de la ejecución, aclare los contratos, la participación del proveedor, los límites de los entornos compartidos y los puntos de contacto. La entidad financiera sigue siendo responsable de organizar la participación y coordinación necesarias.

Vincular el alcance con la amenaza

La inteligencia sobre amenazas debe ayudar a explicar qué adversarios y vías de ataque son plausibles para las funciones elegidas. El escenario debe tener un objetivo significativo y una relación justificable con la exposición de la entidad, en lugar de limitarse a mostrar una técnica.

Mantenga una relación trazable entre la función, la dependencia, la hipótesis de amenaza, el escenario, el control del riesgo y las evidencias esperadas. Esto facilita evaluar cambios posteriores y explicar en los informes de cierre qué demostró la prueba y qué no.

Planificar los cambios controlados

Los entornos de producción y las amenazas cambian. Determine quién puede solicitar, revisar y aprobar un ajuste del alcance y cuándo se requiere la intervención de las autoridades. Documente el motivo y evalúe el riesgo operativo antes de adaptar la actividad.

Un alcance inicial claro reduce la incertidumbre, pero no elimina la necesidad de aplicar el criterio profesional durante el encargo. Utilice la lista de preparación para TLPT para organizar la primera conversación sobre el alcance.

Utilice evaluaciones técnicas para mejorar el mapa de dependencias.

Una función crítica puede depender de identidades y servicios de segundo plano que es fácil pasar por alto en un diagrama de negocio. Pregunte a las personas responsables de las aplicaciones y la infraestructura qué identidades transfieren datos, aprueban transacciones, publican versiones o restauran el servicio. Registre el responsable y el límite de permisos de cada traspaso material. El mapa debe explicar por qué una dependencia es relevante para la función, en lugar de limitarse a aumentar el número de sistemas incluidos en el alcance.

La guía sobre acceso privilegiado en entidades bancarias distingue entre identidad, alcance y autoridad. La guía sobre identidades de cargas de trabajo en la nube para fintech extiende este razonamiento a los servicios de despliegue y ejecución. Ambas pueden servir de referencia para la preparación técnica; ninguna determina el alcance del TLPT validado por la autoridad competente.

Mantener un registro de decisiones para los límites difíciles

En el caso de una plataforma compartida o una dependencia sensible, registre el tratamiento propuesto, el riesgo operativo, quién autoriza y las limitaciones de las evidencias. Indique si la dependencia está incluida, requiere participación coordinada o sigue sin resolverse. No reduzca la decisión a un color en un diagrama. La justificación debe seguir siendo válida aunque cambie el personal y permitir que los responsables de las pruebas y el equipo de control entiendan qué puede demostrar el ejercicio propuesto.

Cuando cambie el alcance, conserve la decisión anterior y explique la nueva información. Identifique los escenarios afectados, los controles de seguridad y las responsabilidades del proveedor, y siga el proceso de aprobación aplicable antes de adaptar la ejecución. Al cierre, utilice el mismo mapa para mostrar dónde se obtuvieron observaciones y dónde persiste la incertidumbre. Esta continuidad convierte el alcance en un instrumento de gobernanza operativo durante todo el encargo, en lugar de un documento que se firma una vez y se olvida.

Continúe con la preparación

• La metodología de pruebas
• Terceros proveedores de servicios de TIC y TLPT