Terceros en el TLPT de DORA: permisos y pruebas agrupadas

La decisión que le ayudará a tomar esta guía

Un contrato de servicios no autoriza necesariamente a realizar pruebas ofensivas de la infraestructura de un proveedor. Identifique las dependencias TIC pertinentes y resuelva pronto la participación, los permisos y las limitaciones de los entornos compartidos. Mantenga visibles las responsabilidades de la entidad financiera al evaluar cualquier modalidad de pruebas agrupadas.

Una función crítica rara vez termina en los límites de la entidad

Las entidades financieras dependen de proveedores terceros de servicios de TIC para funciones que pueden incluirse en un TLPT. DORA aborda esta participación y exige acuerdos para la intervención pertinente. La externalización de una dependencia no elimina la responsabilidad de la entidad financiera.

Al definir el alcance, hay que distinguir entre la función que se va a probar, los sistemas que la sustentan y los permisos legales necesarios para probar esos sistemas. Un contrato de uso de un servicio no autoriza necesariamente a realizar pruebas ofensivas contra él.

Identificar la dependencia antes de seleccionar escenarios

Documente qué admite el proveedor, qué sistemas o procesos podrían verse implicados y si el servicio se comparte con otros clientes. Establezca pronto las vías de contacto contractuales y operativas.

Un escenario puede depender de servicios de identidad, alojamiento, comunicaciones o un proceso operativo externalizado. Si el encargo presupone una participación que no se ha acordado, tanto el calendario como el valor probatorio pueden verse afectados.

Acordar la participación y las salvaguardas operativas

• Identificar al proveedor pertinente y cualquier dependencia material de subcontratación.
• Obtener los permisos y acuerdos contractuales necesarios para la actividad propuesta.
• Aclare los límites del tenant, las acciones prohibidas y los efectos sobre otros clientes.
• Defina las vías de escalada, las condiciones de parada y la coordinación de incidentes.
• Acordar el tratamiento de las evidencias, el acceso, la confidencialidad y la distribución de informes.

No exponga a otros clientes al ejercicio ni considere automáticamente que toda la plataforma del proveedor está dentro del alcance. El equipo de control, el proveedor y el proceso de la autoridad deben compartir un entendimiento común de los límites.

Cuándo pueden ser pertinentes las pruebas agrupadas

DORA contempla fórmulas de pruebas agrupadas en las circunstancias descritas en el artículo 26, por ejemplo, cuando participar en una prueba pueda afectar a la calidad o seguridad del servicio para otros clientes o a la confidencialidad. Estas fórmulas deben ajustarse a las condiciones aplicables y al proceso de supervisión.

Un informe genérico de pruebas de penetración de un proveedor no constituye automáticamente un TLPT conjunto ni sustituye las obligaciones de una entidad. Determine qué funciones, participantes y riesgos cubre realmente el acuerdo propuesto y cómo se gestionará su reconocimiento.

Incluya el asunto en el primer briefing

Indique a los posibles proveedores de pruebas qué dependencias de TIC pueden ser materiales y qué acuerdos de participación ya están establecidos. Presente las autorizaciones pendientes como dependencias, no como exclusiones ocultas.

El mejor paso siguiente suele ser elaborar un mapa más preciso y acordar una vía de contacto. Después podrán definirse escenarios detallados en torno a un alcance que sea pertinente y esté autorizado.

Preparar un documento de participación específico para las dependencias

Describa la función que presta el proveedor, el límite del servicio pertinente, la participación propuesta y las evidencias esperadas. Identifique a las personas de contacto que puedan tratar el alcance técnico, la autorización contractual y las salvaguardas operativas. Una petición genérica de «apoyo a nuestro TLPT» deja demasiado margen de interpretación. Distinga las actividades sobre la configuración del servicio propio de la entidad de las que afectan a una plataforma compartida o al entorno de otro cliente.

La guía de identidades en la nube para fintech ayuda a formular una comparación acotada entre principal, recurso y operación. La guía sobre el alcance de contratación de pruebas bancarias muestra cómo mantener visibles, como supuestos, los permisos que faltan. Estos métodos de preparación son útiles dentro del proceso más amplio de coordinación de TLPT.

Acordar cómo se incorporan las evidencias del proveedor al cierre

Determine qué observaciones puede proporcionar el proveedor, quién puede acceder a ellas y cómo se correlacionarán con la cronología del ejercicio. Documente cualquier limitación derivada de la infraestructura compartida, la confidencialidad o la conservación. Las evidencias proporcionadas por un proveedor deben identificarse como tales e incluir el contexto y las limitaciones pertinentes, en lugar de presentarse como una acción observada de forma independiente por el equipo de pruebas.

Si no se puede acordar la participación o el método propuesto, escale la dependencia a través del proceso de gobernanza correspondiente. No la omita sin decirlo mientras mantiene una afirmación amplia sobre la cobertura de la función. Registre el motivo, el impacto en los escenarios y cualquier alternativa autorizada. Así, los responsables de las pruebas y la entidad dispondrán de una base clara para decidir cómo tratar el límite y se evitará que una suposición comercial se convierta en un permiso de prueba no documentado.

Continúe con la preparación

• Definir el alcance de un TLPT
• Preguntas sobre contratación