Metodología del TLPT: del alcance a las correcciones verificadas

Cómo aporta el test elementos para tomar una decisión

El método debe permitir poner a prueba una resiliencia aún no demostrada en las personas, los procesos y la tecnología, sin exceder la autorización acordada. Comience por un alcance validado por la autoridad competente, escenarios guiados por amenazas y evidencias de cierre; registre las condiciones iniciales, la acción, el resultado observado y las limitaciones. Acuerde las condiciones de parada antes de la ejecución y los criterios de aceptación antes de la repetición de las pruebas.

01 — Preparar y definir el alcance

Constituya el equipo de control, interactúe con la autoridad pertinente y confirme la base para las pruebas. Asocie las funciones críticas o importantes con las personas, los procesos, los sistemas de producción y los proveedores de servicios TIC. Registre los límites del alcance y las dependencias de forma que puedan revisarse y validarse.

La contratación, la confidencialidad, la coordinación con las autoridades, la evaluación de riesgos y las reglas de actuación son requisitos previos para una ejecución segura. Determine quién puede aprobar cambios, detener la actividad y resolver un incidente real durante las pruebas.

02 — Desarrollar inteligencia sobre amenazas específica

Utilice la exposición y el panorama de amenazas de la organización para identificar adversarios relevantes y escenarios de ataque plausibles. La fase de inteligencia debe vincular los motivos para elegir un escenario con las funciones que se van a probar.

Distinga los hechos establecidos, los juicios analíticos y las incertidumbres. Acuerde los resultados de inteligencia y de los escenarios con las partes pertinentes antes de finalizar la planificación del equipo rojo.

03 — Ejecutar pruebas controladas de red team

Convierta los escenarios en un plan de pruebas, objetivos acordados y acciones controladas. El equipo de control mantiene la supervisión mientras se evalúan las capacidades de prevención, detección y respuesta de los equipos defensivos conforme a la metodología aplicable.

La fase activa de pruebas del equipo rojo debe durar al menos 12 semanas, conforme al artículo 11, apartado 5, de las RTS. Las circunstancias operativas, los cambios aprobados y cualquier actividad limitada de purple teaming deben gestionarse de acuerdo con las RTS y el procedimiento de la autoridad competente. Esto no autoriza a acortar ni redefinir la prueba unilateralmente.

04 — Reconstruir la prueba y extraer conclusiones

Tras las pruebas activas, comunique el ejercicio al equipo azul mediante el proceso acordado. Integre la narrativa de ataque del equipo rojo con el relato de los equipos defensores. La repetición, el análisis colaborativo y el purple teaming ayudan a explicar dónde funcionaron los controles, dónde faltó visibilidad y qué conviene cambiar.

Las RTS establecen requisitos sobre el contenido y los plazos de los informes. Planifique con antelación el informe del equipo rojo, el informe del equipo azul y el resumen de la prueba, en lugar de elaborarlos al final a partir de notas incompletas.

05 — Planificar la remediación y completar las evidencias

Asigne responsables y prioridades para las medidas correctoras, diferencie las correcciones inmediatas de las mejoras estructurales y acuerde cómo se acreditará su finalización. Presente la documentación requerida a través del procedimiento ante la autoridad de la entidad financiera.

La documentación de cierre y cualquier atestación de una autoridad se refieren a la prueba. La entidad sigue siendo responsable de sus obligaciones más amplias en virtud de DORA y de su programa de remediación. Más información sobre los resultados y las responsabilidades.

Cómo encaja TIBER-EU

El marco TIBER-EU del BCE ofrece orientación operativa, funciones para los participantes y plantillas. Utilícelo de forma coherente con DORA, las normas técnicas de regulación sobre TLPT y la aplicación de la autoridad competente correspondiente. Un proveedor debe explicar cómo se ajusta su enfoque a estos requisitos, en lugar de tratar el nombre TIBER como una acreditación.