¿Qué debería demostrar el informe?
Su informe TLPT debe explicar el control que falló y la consecuencia demostrada, no limitarse a asignar una gravedad. Busque un alcance validado por la autoridad, escenarios guiados por amenazas y evidencias de cierre, observaciones reproducibles y responsables afectados. Las lagunas de cobertura y las consecuencias no probadas deben seguir siendo visibles para que el informe respalde una decisión defendible.
Documente las evidencias a lo largo de toda la prueba
Un conjunto útil de evidencias de TLPT relaciona el alcance y las hipótesis sobre amenazas con las acciones realizadas, las observaciones de los equipos defensivos y las mejoras resultantes. Durante la preparación, acuerde las plantillas, los controles de acceso y las responsabilidades.
| Salida | Finalidad | Responsabilidad por acordar |
|---|---|---|
| Registros de alcance y gobernanza | Siga las funciones críticas, las dependencias, la autorización y los controles de seguridad. | Entidad financiera y equipo de control, con validación del alcance por parte de la autoridad competente. |
| Inteligencia de amenazas específicas | Explicar la relevancia de las amenazas, la exposición y la selección de escenarios | Proveedor de inteligencia sobre amenazas y participantes pertinentes en la revisión. |
| Plan e informe de prueba del equipo rojo | Describa los escenarios previstos, la ejecución, las evidencias y los resultados de control. | Personal de pruebas del equipo rojo, coordinado con el equipo de control y la autoridad competente. |
| Informe del equipo azul | Documente qué observaron, detectaron e hicieron los equipos defensivos. | Equipo azul y equipo de control de la entidad financiera. |
| Aprendizajes de la reproducción y del purple teaming | Conciliar las observaciones sobre el ataque y la defensa y explorar oportunidades de mejora. | Equipo de control, equipo azul y evaluadores. |
| Resumen de las pruebas y plan de corrección | Resuma los hallazgos, las medidas y los fundamentos del cierre. | Entidad financiera, con apoyo de proveedores; presentación a través del procedimiento de la autoridad competente. |
Informes para varios públicos
Los equipos técnicos necesitan un relato reproducible de los acontecimientos y las evidencias. La dirección necesita conocer las implicaciones para las funciones críticas, los motivos de las deficiencias materiales y las decisiones de mejora con responsables asignados. La autoridad necesita la documentación requerida en el formato adecuado.
Acordar qué información corresponde a cada entregable. Los informes de pruebas pueden contener información sensible de seguridad. Utilizar una distribución restringida y un mecanismo seguro de transferencia; no adjuntarlos al formulario público de consulta.
Hacer trazable la corrección
- Describa la debilidad y la función o el control afectados.
- Asigne una persona responsable y una fecha objetivo viable.
- Registrar las dependencias y las medidas de mitigación provisionales.
- Defina las evidencias de finalización y cualquier trabajo de validación.
- Escale los riesgos sin resolver a través del proceso de gobernanza de la entidad.
Las pruebas de repetición y la validación posterior deben especificarse en el encargo o en una ampliación acordada por separado. No se consideran incluidas indefinidamente de forma tácita.
Qué significa una atestación y qué no significa
DORA prevé una atestación para respaldar el reconocimiento mutuo. Su emisión y aceptación corresponden al proceso de la autoridad competente. El proveedor de pruebas no certifica el cumplimiento íntegro de DORA por parte de la organización ni garantiza que todos los ataques futuros vayan a fracasar.
Consulte la guía de informes y remediación para obtener recomendaciones prácticas de preparación.
Fuentes primarias
- DORA · Reglamento (UE) 2022/2554
- RTS sobre TLPT · Reglamento Delegado (UE) 2025/1190
- BCE · Marco y directrices de TIBER-EU
Información general, no constituye asesoramiento jurídico. Confirme los requisitos aplicables y los acuerdos de pruebas con la autoridad competente.
