La decisión que le ayudará a tomar esta guía
Elija el tipo de evaluación en función de la obligación y de la decisión que deba abordar. Una prueba de penetración convencional examina un alcance técnico acordado; el TLPT de DORA añade un proceso definido con las autoridades, inteligencia sobre amenazas, el alcance de las funciones críticas y un cierre formal. Una organización puede necesitar ambos para fines distintos.
Para la persona responsable del encargo. Distinga los encargos por su objetivo, modelo de gobernanza y cobertura. Un hallazgo técnico puede contribuir a un TLPT, pero no convierte en TLPT la evaluación en la que se originó.
La diferencia está en la pregunta que se pone a prueba
Una prueba de penetración convencional suele examinar vulnerabilidades dentro de un alcance técnico definido. Una prueba de penetración basada en amenazas plantea una pregunta más amplia: ¿cómo afectaría un adversario verosímil a las funciones críticas de la organización y cómo responderían su personal, sus procesos y su tecnología?
La diferencia va más allá de la duración o la intensidad. Un TLPT de DORA incluye un proceso con la autoridad competente, inteligencia de amenazas específica, requisitos para los equipos de pruebas, un alcance vinculado a funciones críticas o importantes y un proceso formal de cierre. Llamar «red teaming» a un ejercicio no demuestra que se hayan cumplido estos requisitos.
Leer el texto del diagrama
- Evaluación técnica
- Evaluar sistemas y controles definidos
- Ejercicio guiado por amenazas
- Seguir rutas plausibles hasta su impacto en las funciones
- Gobernanza
- Aplicar el proceso de entrega requerido
Compare los modelos de prestación del servicio
| Dimensión | Prueba de penetración convencional | TLPT DE DORA |
|---|---|---|
| Punto de partida | A menudo, una lista técnica de activos o un alcance de aplicación definido. | Funciones críticas, amenazas pertinentes y alcance validado por la autoridad competente. |
| Base de amenazas | Puede emplear técnicas estándar y un modelo general de atacante. | La inteligencia sobre amenazas específica sustenta escenarios realistas. |
| Entorno | Depende del encargo acordado. | Sistemas de producción críticos y en funcionamiento pertinentes. |
| Capacidad defensiva | Puede quedar fuera del objetivo de la prueba. | La prevención, la detección y la respuesta forman parte del aprendizaje. |
| Gobernanza | Definido por el encargo y las normas pertinentes. | DORA, RTS, intervención de la autoridad y funciones específicas de los participantes. |
| Cierre | Por lo general, un informe técnico y un seguimiento acordado. | Informes de los equipos rojo y azul, reproducción, purple teaming, resumen y proceso de remediación. |
Por qué las organizaciones pueden necesitar ambos
El programa general de pruebas de DORA y su obligación de TLPT avanzado tienen fines relacionados, pero distintos. Las pruebas técnicas rutinarias pueden detectar debilidades antes de que formen parte de una ruta de ataque más amplia. Después, el TLPT puede mostrar si varias capas de controles funcionan conjuntamente en condiciones realistas.
Encontrar un gran número de vulnerabilidades no convierte una prueba en equivalente a un TLPT. Del mismo modo, un ejercicio basado en amenazas no pretende inspeccionar exhaustivamente todos los activos en busca de cualquier fallo posible. Los objetivos y los requisitos de evidencia deben estar claros.
Leer el texto del diagrama
- Hallazgo en una API
- Falló un permiso específico
- Observación guiada por amenazas
- Un escenario puso de manifiesto un problema de resiliencia
- Superficie no probada
- La falta de cobertura no permite extraer conclusiones
Desajuste en la contratación
Una solicitud de contratación que se limite a pedir una «prueba de penetración DORA» es ambigua. Un proveedor puede presupuestar una evaluación breve de una aplicación, mientras que otro puede asumir una TLPT por fases con inteligencia sobre amenazas y amplias obligaciones de cierre.
Especifique si la entidad ha sido designada para un TLPT, qué autoridad está implicada, cuáles son las funciones críticas previsibles, cuál es la ventana de pruebas y qué entregables se esperan. Pida a los proveedores que expliquen cómo se ajusta su enfoque a los requisitos pertinentes. Compare propuestas con supuestos equivalentes de alcance, recursos y gobernanza.
No contrate una prueba únicamente porque la propuesta utilice el acrónimo correcto. Verifique el equipo propuesto y las evidencias conforme al artículo 27, y acuerde las salvaguardas operativas antes de iniciar las pruebas.
Leer el texto del diagrama
- Situación inicial
- Acceso, asistencia y supuestos
- Actividad observada
- Acciones y respuesta defensiva
- Limitaciones
- Rutas no probadas y sistemas excluidos
Reconocer una evaluación preparatoria útil
Un banco que se prepare para un ejercicio avanzado puede encargar una revisión específica de una API de pagos, una vía de acceso privilegiado o una canalización de despliegue. Este trabajo puede identificar debilidades, mejorar el conocimiento del alcance y aclarar las salvaguardias operativas. Regístrelo como una evaluación independiente, con sus propios puntos de partida y limitaciones. Sus resultados pueden contribuir a la preparación, pero no sustituyen la inteligencia de amenazas, la coordinación con las autoridades ni los demás elementos del proceso TLPT aplicable.
Nuestra comparativa de pruebas de penetración bancaria convierte esta distinción en preguntas para la contratación. Ayuda al equipo que encarga el trabajo a explicar si necesita cubrir una superficie técnica definida o realizar una evaluación más amplia de una función crítica frente a una amenaza creíble.
Pregunte qué demuestra realmente cada resultado
Una prueba de API puede demostrar que un cliente sintético puede modificar sin autorización el estado de una transacción. Un ejercicio guiado por amenazas puede examinar cómo un adversario podría alcanzar un objetivo de gran impacto y cómo la organización detecta y responde durante el proceso. Ambos tipos de observaciones pueden ser relevantes, pero ninguno implica una cobertura exhaustiva de la otra cuestión. El informe debe vincular sus conclusiones con la situación inicial, las acciones y las observaciones de la prueba, e identificar como tales las consecuencias que no se hayan probado.
Para los productos que se ofrecen a través de varias API y proveedores de servicios, la guía sobre el alcance de las pruebas de API en fintech aporta elementos prácticos para la parte técnica de ese mapa. La entidad debe seguir determinando el alcance adecuado de TLPT y su gobernanza mediante el proceso pertinente. Utilice nombres claros para los encargos en el documento de contratación, el registro de evidencias y los informes a la dirección, de modo que esas responsabilidades sigan siendo visibles.
Leer el texto del diagrama
- Definir el objetivo
- Identificar la decisión que debe orientar el ejercicio
- Distinguir la preparación
- Distinguir claramente las evaluaciones específicas
- Acordar el proceso
- Aclarar el alcance y las obligaciones de gobernanza
Continúe con la preparación
Fuentes primarias
- DORA · Reglamento (UE) 2022/2554
- RTS sobre TLPT · Reglamento Delegado (UE) 2025/1190
- BCE · Marco y directrices de TIBER-EU
Información general, no constituye asesoramiento jurídico. Confirme los requisitos aplicables y los acuerdos de pruebas con la autoridad competente.
Atlant Security publica esta guía y las publicaciones sectoriales relacionadas enlazadas arriba. Los ejemplos técnicos son ilustrativos para la planificación y no afirman que se hayan realizado pruebas para clientes.
Publicado por Atlant Security. Fuentes, política editorial y correcciones.
