La decisione che questa guida vi aiuta a prendere
Un programma TLPT completo collega la selezione dell’autorità, il perimetro delle funzioni critiche, fornitori qualificati, test controllati su sistemi live e la chiusura. Utilizzate i requisiti seguenti per assegnare i responsabili delle decisioni e delle evidenze; un penetration test convenzionale da solo non completa questo processo.
Cosa richiede il TLPT DORA
Il threat-led penetration testing previsto da DORA è un’esercitazione supervisionata dall’autorità per determinate entità finanziarie. Riunisce threat intelligence mirata, test controllati di sistemi di produzione attivi, apprendimento difensivo e remediation con responsabilità definite. Commissionare un penetration test convenzionale non soddisfa di per sé il processo TLPT.
Questa guida illustra i principali requisiti degli articoli 26 e 27 del DORA e del regolamento delegato (UE) 2025/1190 della Commissione, le norme tecniche di regolamentazione (RTS) per il TLPT. Per pianificare un incarico, consultate i nostri servizi TLPT DORA. I suggerimenti preparatori riportati di seguito sono modalità pratiche per organizzare il lavoro, distinte dai requisiti normativi a cui si riferiscono.
| Domanda | Requisito da considerare |
|---|---|
| Chi deve svolgere il TLPT? | Entità finanziarie individuate dall’autorità competente secondo i criteri di selezione applicabili; non tutte le organizzazioni soggette a DORA. |
| Con quale frequenza? | Almeno ogni tre anni per le entità tenute a svolgere TLPT; l’autorità può modificare la frequenza ove necessario. |
| Che cosa viene sottoposto a test? | Più funzioni critiche o importanti, o tutte, attraverso i sistemi di produzione attivi che le supportano, entro un ambito convalidato. |
| Quanto dura la fase di test attivo? | Almeno 12 settimane; la preparazione, la threat intelligence e la chiusura richiedono tempo aggiuntivo. |
| Che cosa succede dopo il test? | Reportistica dei team red e blue, replay, purple teaming, un rapporto riepilogativo e un piano di rimedio. |
1. Confermare l'applicabilità e il coinvolgimento delle autorità
Il programma più ampio di test di resilienza previsto da DORA e l’obbligo di TLPT avanzato sono distinti. L’articolo 26 prevede che le autorità individuino le entità tenute a svolgere il TLPT. L’articolo 2 degli RTS stabilisce i criteri di selezione, inclusi criteri quantitativi specifici per settore e la valutazione dell’autorità in merito a impatto, implicazioni per la stabilità finanziaria e rischio ICT.
Non presumete che una soglia relativa al numero di dipendenti, una richiesta di un cliente o il fatto di essere una banca risolvano da soli la questione. Confermate la persona giuridica interessata, l’autorità responsabile del TLPT, eventuali notifiche ricevute e se una struttura di gruppo o di servizi condivisi incide sull’esercitazione proposta.
La frequenza minima consueta è una volta ogni tre anni. L’autorità competente può ridurre o aumentare tale frequenza, se necessario, in base al profilo di rischio e alle circostanze operative dell’entità. Inserisca il calendario confermato nel registro di pianificazione, anziché considerare i tre anni un diritto incondizionato.
2. Definire l'ambito delle funzioni critiche e delle relative dipendenze
L’articolo 26 del DORA richiede che il TLPT copra alcune o tutte le funzioni critiche o importanti e si svolga sui sistemi di produzione live che le supportano. L’entità finanziaria individua i sistemi, i processi, le tecnologie e i servizi TIC esternalizzati pertinenti; l’ambito preciso è soggetto alla convalida dell’autorità competente.
Una mappa operativa utile collega ogni funzione candidata alle applicazioni, alle identità, alle reti, ai flussi di dati, ai processi del personale e alle dipendenze da terze parti. Registrate i motivi per cui una funzione è inclusa o esclusa e confrontate la mappa con la specifica dell’ambito richiesta dall’articolo 9 e dall’allegato II delle RTS. L’articolo 9, paragrafo 6, impone di presentare ai responsabili dei test la specifica dell’ambito approvata dall’organo di gestione entro sei mesi dalla notifica dell’autorità di cui all’articolo 9, paragrafo 1.
Ad esempio, una funzione di pagamento può dipendere da un canale per i clienti, servizi di identità, elaborazione delle transazioni e una connessione esternalizzata. Elencare soltanto il sito web pubblico descriverebbe in modo incompleto il processo aziendale. È un esempio illustrativo per definire l’ambito, non uno scenario prescritto.
Chiarite tempestivamente la partecipazione e le autorizzazioni dei terzi. L’articolo 26 disciplina la partecipazione dei fornitori e, a determinate condizioni, i test collettivi. L’esternalizzazione di un servizio di supporto non solleva l’entità finanziaria dalla responsabilità per il TLPT. Consultate la nostra guida alla definizione dell’ambito del TLPT per un approccio di preparazione più dettagliato.
3. Verificare le competenze dei tester e le capacità di threat intelligence
L’articolo 27 del DORA richiede tester idonei, con le competenze, le capacità e la reputazione necessarie. Tratta inoltre la certificazione o l’adesione a quadri professionali formali o codici deontologici, la verifica indipendente, l’assicurazione di responsabilità professionale e la protezione delle informazioni riservate. L’articolo 7 delle RTS aggiunge requisiti per i fornitori.
Chieda evidenze sulle persone che svolgeranno l’incarico, sulla loro esperienza nei test basati sulle minacce per il settore finanziario, sulle modalità di erogazione, sulle procedure di gestione delle informazioni e sui conflitti di interesse. Una brochure aziendale generica non è sufficiente per valutare il team proposto.
I tester interni sono ammessi solo alle condizioni applicabili e previa approvazione dell’autorità competente. DORA richiede un fornitore esterno di threat intelligence quando si utilizzano tester interni e tester esterni almeno ogni tre test. Gli enti creditizi significativi soggetti al Meccanismo di vigilanza unico devono utilizzare tester esterni. L’articolo 15 delle RTS aggiunge requisiti di governance, organico e capacità del team interno.
Il rapporto di intelligence sulle minacce informa gli scenari d’attacco e il piano di red team. L’articolo 10 delle RTS impone al responsabile del team di controllo di selezionare almeno tre scenari. Al massimo uno può adottare l’approccio prospettico consentito, non basato sulle minacce. Gli articoli 10 e 11 definiscono il processo di revisione e approvazione. La documentazione dell’incarico deve rendere chiaro il collegamento tra intelligence, scenario, funzione obiettivo e obiettivo del test.
Articolo 26, paragrafo 8, e articolo 27 di DORA: requisiti per i tester
4. Governare il test in produzione
Le RTS prevedono un gruppo di controllo ristretto all’interno dell’entità finanziaria e responsabili dei test sul versante dell’autorità. La riservatezza è importante perché la conoscenza anticipata può modificare il comportamento difensivo. La gestione dei rischi è essenziale poiché l’esercizio riguarda servizi operativi.
Prima dell’esecuzione, traducete l’ambito approvato e il piano red team in accordi operativi praticabili: obiettivi autorizzati, canali di comunicazione, decisori, escalation, condizioni di arresto, gestione delle evidenze ed eventuale assistenza concordata. Questi preparativi aiutano i team a operare in sicurezza, ma non sostituiscono le approvazioni formali.
Ai sensi dell’articolo 11 delle RTS, i test attivi di red team durano almeno 12 settimane. I tester riferiscono i progressi almeno una volta alla settimana al team di controllo e ai responsabili dei test. Le modifiche al piano approvato e l’uso di assistenza devono rispettare le procedure di approvazione previste. Il responsabile del team di controllo può sospendere i test nelle circostanze eccezionali di rischio descritte in tale articolo.
Pianificate separatamente preparazione, raccolta di informazioni e chiusura. Una fase attiva di 12 settimane non garantisce che l’intero incarico si concluda in 12 settimane. Consultate la nostra guida alle tempistiche del TLPT DORA.
Articoli 4–6 e 11 delle RTS TLPT: governance, rischi ed esecuzione
5. Completare la reportistica, la ripetizione dei test e il purple teaming
L’esercitazione non termina quando i tester si fermano. L’articolo 12 delle RTS richiede un rapporto del red team, un rapporto del blue team, una riproduzione, attività di purple teaming e feedback. Ciò consente all’entità di collegare la registrazione dell’attacco a quanto osservato dai difensori e al modo in cui hanno risposto.
| Traguardo | Tempistiche normative |
|---|---|
| Rapporto del team red | Entro quattro settimane dalla fine della fase attiva di test red team. |
| Report del blue team | Dopo aver ricevuto il rapporto del team rosso e comunque entro dieci settimane dalla fine dei test attivi. |
| Riproduzione | Entro dieci settimane dalla conclusione dei test attivi; l’articolo 12 richiede inoltre un’esercitazione conclusiva di purple teaming. |
| Rapporto riepilogativo | Entro otto settimane dalla notifica all’autorità ai sensi dell’articolo 12, paragrafo 7, relativa ai contenuti richiesti delle relazioni del Red Team e del Blue Team. |
| Piano di rimedio | Entro otto settimane dalla stessa notifica all’autorità ai sensi dell’articolo 12, paragrafo 7, all’autorità TLPT e, se diversa, all’autorità competente. |
Il termine di otto settimane decorre dalla notifica all’autorità competente, non automaticamente dall’ultimo giorno di test. Registrate esplicitamente queste date. Gli allegati specificano i contenuti dei rapporti: allegato V per il red team, VI per il blue team e VII per la sintesi.
6. Assegnare le attività di correzione e conservare le evidenze
L’articolo 13 delle RTS richiede che il piano di rimedio tratti, per ciascun rilievo, la carenza, le misure proposte, la relativa priorità e la data prevista di completamento, la causa principale, il personale o le funzioni responsabili e i rischi associati alla mancata attuazione delle misure o, ove pertinente, alla loro attuazione.
Come misura pratica per l’erogazione, aggiunga un criterio di accettazione a ogni azione. «Migliorare il rilevamento» è difficile da chiudere; una modifica specifica del rilevamento, accompagnata da un’esercitazione di verifica documentata, è più facile da valutare. Mantenga distinta una raccomandazione da una modifica attuata e da un risultato verificato.
L’articolo 26 del DORA prevede un’attestazione dell’autorità a supporto del riconoscimento reciproco. L’articolo 14 e l’allegato VIII delle RTS specificano tale attestazione. Non si tratta di un certificato rilasciato dal fornitore che dichiari sicura l’organizzazione o attesti il rispetto di tutti gli obblighi del DORA.
Una checklist pratica prima dell’acquisto
Per una prospettiva di pianificazione articolo per articolo, leggete la nostra guida agli RTS DORA TLPT, che illustra il regolamento definitivo, gli eventi che fanno scattare le scadenze, i criteri per i fornitori e gli otto allegati.
- Confermare la persona giuridica, l’autorità competente e l’obbligo o la notifica TLPT.
- Identificare le funzioni potenzialmente critiche o importanti e mappare le dipendenze che le supportano.
- Individuate un responsabile del team di controllo con il mandato e la disponibilità necessari.
- Individuare terze parti, autorizzazioni, contratti e vincoli dei servizi condivisi.
- Richiedete al team di erogazione prove rispetto ai requisiti per i tester e il fornitore.
- Pianificate il periodo minimo di test attivi, oltre alla preparazione e alla chiusura.
- Assegnare i responsabili per i rapporti, le comunicazioni alle autorità e le decisioni correttive.
- Concordare canali sicuri prima di condividere informazioni sensibili sull’architettura o evidenze tecniche.
Utilizzi questa checklist per preparare una discussione, non come sostituto del testo normativo completo o delle istruzioni della sua autorità competente. La panoramica dei requisiti DORA e il rapporto TLPT esemplificativo forniscono ulteriore contesto.
Pianificare il vostro incarico TLPT DORA
Scopra i nostri servizi TLPT in ambito DORA, quindi descriva l’organizzazione, le funzioni e il contesto delle autorità nel documento di definizione dell’ambito TLPT. Quando contatta Atlant Security, può allegare un accordo di riservatezza o una richiesta di proposta esistente.
Fonti primarie
Informazioni generali, non costituiscono consulenza legale. Verificate i requisiti applicabili e le modalità dei test con l’autorità competente.
Pubblicato da Atlant Security. Fonti, politica editoriale e correzioni.
