¿Cuánto dura un TLPT de DORA? Más allá de la fase de 12 semanas

La decisión que le ayudará a tomar esta guía

El periodo mínimo de actividad del equipo rojo es solo una parte del calendario. La contratación, la validación del alcance, la preparación de inteligencia, la disponibilidad de los accesos y el cierre también requieren tiempo. Un calendario realista identifica esas dependencias y responsabilidades, en lugar de prometer un TLPT completo en doce semanas.

Doce semanas son una fase, no todo el programa

Las RTS de TLPT exigen que la fase activa de pruebas del equipo rojo dure al menos 12 semanas. Esto no significa que una TLPT DORA completa pueda contratarse, ejecutarse y cerrarse en 12 semanas. La preparación, la contratación, la inteligencia sobre amenazas, la planificación, la elaboración de informes y el cierre requieren tiempo.

El calendario global depende del alcance, las partes participantes, las restricciones operativas y el proceso de la autoridad. Una duración total fija indicada antes de conocer estos factores debe considerarse una hipótesis que hay que comprobar.

Qué debe ocurrir antes de iniciar las pruebas activas

La preparación incluye el equipo de control, la interacción con la autoridad, el alcance propuesto, la selección del proveedor y los acuerdos contractuales. A continuación, la inteligencia sobre amenazas y la planificación de red team convierten ese alcance en escenarios pertinentes y actividades controladas.

La participación de terceros y la coordinación transfronteriza pueden condicionar significativamente el calendario. También pueden hacerlo la disponibilidad de especialistas designados, la calidad de la asignación de funciones y el proceso de revisión de los documentos propuestos. Estos aspectos deben figurar en el plan del programa y no quedar ocultos como contingencias.

Reservar la ventana para las pruebas activas

De conformidad con el artículo 11, apartado 5, de las RTS, la fase activa de red team tiene una duración mínima de 12 semanas. La planificación debe respetar los requisitos aplicables a la fase y las decisiones metodológicas permitidas. El purple teaming limitado tiene una función específica en las RTS; no es una solución informal para compensar un encargo de duración insuficiente.

Acordar las vías de escalado, las restricciones operativas y la gestión de incidentes reales. Un calendario de pruebas que no tenga en cuenta los cambios en producción o la disponibilidad de participantes clave puede generar riesgos y retrasos innecesarios.

Reserve tiempo para el cierre y la planificación de la remediación

Las RTS establecen plazos y requisitos sobre el contenido de los informes. Por ejemplo, el informe del equipo rojo debe entregarse en un plazo de cuatro semanas tras la fase activa; el informe del equipo azul tiene un plazo independiente, vinculado a la recepción del primero y, en todo caso, no superior a diez semanas desde la finalización de las pruebas activas.

Se aplican requisitos de calendario adicionales al resumen de la prueba y a los planes de remediación. Algunos se activan mediante notificaciones de la autoridad, por lo que no todos pueden calcularse simplemente sumando un número fijo de semanas al primer día de pruebas. Lea los artículos 12 y 13 junto con el procedimiento operativo de la autoridad.

Qué demuestra un calendario creíble

• Límites de cada fase y supuestos en que se basan.
• ¿Quién revisa cada documento y cuál es el plazo previsto para la revisión?
• Dependencias de contratación, terceros y autoridades.
• Pruebas activas, elaboración de informes, repetición de pruebas y participación en ejercicios purple team.
• Planificación de la remediación y responsabilidades de seguimiento.

Planifique hacia atrás a partir de las limitaciones conocidas, pero no reduzca las actividades obligatorias para ajustarse a un plazo arbitrario. Una conversación de alcance debe dar lugar a un calendario que identifique las dependencias y exprese claramente las incertidumbres.

Exponer las dependencias que condicionan las fechas

Organice el calendario de trabajo en torno a las decisiones que permiten iniciar la siguiente actividad: gobernanza establecida, alcance propuesto preparado, responsabilidades del proveedor acordadas, participación confirmada y salvaguardias operativas listas. Designe a una persona responsable y especifique la aportación necesaria para cada dependencia. Una fecha sin una persona responsable no es un control de planificación fiable. Distinga los requisitos del marco aplicable del tiempo de preparación estimado por la organización y valide el plan con los responsables de las pruebas pertinentes.

La guía sobre el alcance de las pruebas de penetración bancaria para su contratación ofrece una forma útil de explicitar los supuestos sobre acceso y evidencias. Estos aspectos prácticos también son importantes al preparar un TLPT, aunque este ejercicio avanzado tiene sus propios requisitos de proceso y planificación.

Reservar tiempo para conciliar las evidencias y aplicar las medidas

Para cerrar, los participantes deben comparar observaciones, explicar las decisiones defensivas y convertir las lecciones en acciones con responsables. Identifique pronto a esas personas y asegúrese de que los responsables operativos puedan participar en los trabajos pertinentes. Descubrir tarde que el responsable de los registros o el proveedor necesario no puede ayudar a conciliar la información puede reducir la utilidad de las evidencias. Prevea observaciones sin resolver y limitaciones del alcance, en lugar de dar por hecho que todas las preguntas tendrán respuesta al finalizar la actividad técnica.

Para los equipos de producto que implementan cambios durante el programa general, la guía sobre versiones y repetición de pruebas en fintech explica cómo conservar el contexto de la versión. Aplique ese criterio para evitar comparar observaciones de distintos estados del sistema como si fueran equivalentes. El calendario definitivo debe mostrar las dependencias, los supuestos y las decisiones necesarias; las fechas deben tratarse como parte de un plan gestionado, no como una promesa sin fundamento de una duración fija universal.

Continúe con la preparación

• Las fases del encargo
• Hablemos de su ventana de pruebas