Utilice términos precisos para contratar servicios precisos
Una propuesta debe explicar qué significan en la práctica sus condiciones de prueba. Utilice este glosario para distinguir entre acceso, autorización e impacto observado al hablar de funciones críticas, escenarios de amenazas y dependencias de sistemas en producción. Pida al proveedor que concrete la terminología general en objetivos identificados y criterios de aceptación medibles.
Pruebas de penetración guiadas por amenazas (TLPT)
Una prueba red team controlada, a medida y basada en inteligencia, que modela a actores de amenazas verosímiles frente a sistemas críticos en producción. En el marco de DORA, las pruebas avanzadas se inscriben en un contexto regulatorio definido y en un proceso de autorización establecido.
Reglamento sobre la resiliencia operativa digital (DORA)
Reglamento (UE) 2022/2554, que establece requisitos de resiliencia operativa digital para el sector financiero. TLPT es uno de sus componentes, junto con una gestión más amplia del riesgo relacionado con las TIC y otras obligaciones.
Normas técnicas de regulación (RTS)
Requisitos detallados que complementan la legislación. Para las pruebas TLPT de DORA, el Reglamento Delegado (UE) 2025/1190 de la Comisión aborda la selección, la metodología, los participantes, el cierre y otros asuntos relacionados.
TIBER-EU
El marco europeo para el red teaming ético basado en inteligencia sobre amenazas. Ofrece orientación operativa y plantillas; no es una acreditación para proveedores comerciales.
Función crítica o importante
Una función cuya interrupción afectaría de forma sustancial al rendimiento financiero pertinente, a la continuidad del servicio o al cumplimiento normativo, tal como se describe en DORA. El alcance del TLPT relaciona estas funciones con los recursos que las respaldan.
Equipo de control
El grupo restringido de la entidad evaluada que conoce el ejercicio y lo gestiona. Su responsable coordina con los responsables de pruebas de la autoridad y los proveedores pertinentes.
Equipo azul
Los defensores cuyas capacidades de prevención, detección y respuesta se someten a prueba. Sus observaciones son esenciales para el cierre y el aprendizaje.
Equipo rojo
Los evaluadores que ejecutan escenarios de adversario acordados dentro del alcance autorizado y conforme a las reglas de actuación.
Inteligencia de amenazas específicas
Análisis de las amenazas pertinentes y de la exposición de la entidad, utilizado para orientar la selección de escenarios y las pruebas. Debe explicitar el vínculo entre la amenaza y las funciones sometidas a prueba.
Purple teaming
Colaboración estructurada entre atacantes y defensores para comprender los resultados, explorar brechas y mejorar los controles. Su función y calendario deben ajustarse a los requisitos de prueba aplicables.
Atestación
Documentación del proceso de la autoridad competente que respalda el reconocimiento de un TLPT realizado de conformidad con los requisitos. No certifica todos los aspectos del cumplimiento de DORA por parte de una entidad.
Fuentes primarias
- DORA · Reglamento (UE) 2022/2554
- RTS sobre TLPT · Reglamento Delegado (UE) 2025/1190
- BCE · Marco y directrices de TIBER-EU
Información general, no constituye asesoramiento jurídico. Confirme los requisitos aplicables y los acuerdos de pruebas con la autoridad competente.
