La decisione che questa guida vi aiuta a prendere
Scegliete l’incarico in base all’obbligo e alla decisione da affrontare. Un penetration test convenzionale esamina un ambito tecnico concordato; il TLPT DORA aggiunge un processo definito con le autorità, threat intelligence, l’ambito delle funzioni critiche e una chiusura formale. Un’organizzazione può aver bisogno di entrambi per finalità diverse.
Per la persona responsabile dell’incarico. Distinguete gli incarichi in base a obiettivo, governance e modello di copertura. Un rilievo tecnico può contribuire a un TLPT senza rendere TLPT la valutazione da cui deriva.
La differenza sta nella domanda sottoposta a verifica
Un penetration test convenzionale esamina in genere le vulnerabilità entro un ambito tecnico definito. Un penetration test basato sulle minacce pone una domanda più ampia: in che modo un avversario credibile potrebbe incidere sulle funzioni critiche dell’organizzazione e come reagirebbero le persone, i processi e la tecnologia?
La distinzione va oltre la durata o l’intensità. Un TLPT DORA prevede un processo con l’autorità competente, threat intelligence mirata, requisiti per i tester, un ambito legato a funzioni critiche o importanti e attività formali di chiusura. Definire un’esercitazione «red teaming» non dimostra che tali requisiti siano stati soddisfatti.
Leggere il testo del diagramma
- Valutazione tecnica
- Valutare sistemi e controlli definiti
- Esercizio guidato dalle minacce
- Seguire percorsi plausibili fino all’impatto sulle funzioni
- Governance
- Applicare il processo di erogazione richiesto
Confrontare i modelli di erogazione del servizio
| Dimensione | Penetration test convenzionale | TLPT DORA |
|---|---|---|
| Punto di partenza | Spesso un elenco tecnico degli asset o un ambito applicativo definito. | Funzioni critiche, minacce pertinenti e ambito convalidato dall’autorità competente. |
| Base della minaccia | Può utilizzare tecniche standard e un modello generico di attaccante. | La threat intelligence mirata informa scenari realistici. |
| Ambiente | Dipende dall’incarico concordato. | Sistemi di produzione critici e attivi pertinenti. |
| Capacità difensiva | Potrebbe non rientrare nell'obiettivo del test. | Prevenzione, rilevamento e risposta fanno parte dell’apprendimento. |
| Governance | Definito dall’incarico e dagli standard pertinenti. | DORA, RTS, coinvolgimento dell’autorità e ruoli specifici dei partecipanti. |
| Chiusura | Di norma, un rapporto tecnico e un follow-up concordato. | Reportistica dei team red e blue, replay, purple teaming, sintesi e processo di rimedio. |
Perché le organizzazioni potrebbero aver bisogno di entrambi
Il programma generale di test DORA e l’obbligo di TLPT avanzato hanno finalità correlate ma diverse. I test tecnici di routine possono individuare debolezze prima che diventino parte di un percorso d’attacco più ampio. Il TLPT può poi mostrare se più livelli di controllo funzionano insieme in condizioni realistiche.
Individuare un gran numero di vulnerabilità non rende un test equivalente a un TLPT. Allo stesso modo, un’esercitazione basata sulle minacce non mira a esaminare in modo esaustivo ogni risorsa alla ricerca di qualsiasi difetto possibile. Gli obiettivi e i requisiti probatori devono restare chiari.
Leggere il testo del diagramma
- Rilievo relativo a un’API
- Un’autorizzazione specifica non è andata a buon fine
- Osservazione guidata dalle minacce
- Uno scenario ha evidenziato un problema di resilienza
- Superficie non testata
- L’assenza di copertura non consente di trarre conclusioni
Disallineamento nell’approvvigionamento
Una richiesta di approvvigionamento che chieda semplicemente un «pentest DORA» è ambigua. Un fornitore potrebbe preventivare una breve valutazione applicativa, mentre un altro potrebbe presumere un TLPT articolato in più fasi, con threat intelligence e ampi obblighi di chiusura.
Specificate se l’entità è stata individuata per un TLPT, quale autorità è coinvolta, quali sono le probabili funzioni critiche, la finestra temporale dei test e i risultati attesi. Chiedete ai fornitori di spiegare come il loro approccio si rapporta ai requisiti pertinenti. Confrontate offerte basate su ipotesi equivalenti in termini di ambito, risorse e governance.
Non acquistate un test solo perché la proposta usa l’acronimo corretto. Verificate il team proposto e le evidenze rispetto all’articolo 27 e concordate le misure di salvaguardia operative prima di avviare i test.
Leggere il testo del diagramma
- Situazione iniziale
- Accesso, assistenza e ipotesi
- Attività osservata
- Azioni e risposta difensiva
- Limitazioni
- Percorsi non testati e sistemi esclusi
Riconoscere una valutazione preparatoria utile
Una banca che si prepara per un’esercitazione avanzata può commissionare una revisione mirata di un’API di pagamento, di un percorso di accesso privilegiato o di una pipeline di distribuzione. Questo lavoro può individuare debolezze, migliorare la conoscenza dell’ambito e chiarire le salvaguardie operative. Registratelo come valutazione separata, con propri punti di partenza e limitazioni. I risultati possono contribuire alla preparazione, ma non sostituiscono la threat intelligence, il coordinamento con le autorità competenti o gli altri elementi del processo TLPT applicabile.
Il nostro confronto sui penetration test bancari traduce questa distinzione in domande per l’approvvigionamento. Aiuta il team committente a spiegare se occorre coprire una superficie tecnica definita oppure valutare più ampiamente una funzione critica rispetto a una minaccia credibile.
Chiedete che cosa dimostra effettivamente ciascun risultato
Un test API può dimostrare che un cliente sintetico è in grado di modificare senza autorizzazione lo stato di una transazione. Un’esercitazione threat-led può esaminare come un avversario potrebbe raggiungere un obiettivo rilevante e come l’organizzazione rileva e gestisce l’attacco lungo il percorso. Entrambe le osservazioni possono essere importanti, ma nessuna delle due implica una copertura completa dell’altra questione. Il rapporto dovrebbe collegare le conclusioni alla situazione iniziale, alle azioni e alle osservazioni sottoposte a test, indicando come tali le conseguenze non verificate.
Per i prodotti erogati tramite più API e fornitori di servizi, la guida all’ambito dei test API fintech fornisce indicazioni pratiche per la parte tecnica di tale mappatura. L’entità deve comunque determinare l’ambito TLPT appropriato e la relativa governance attraverso il processo pertinente. Utilizzate denominazioni chiare degli incarichi nel brief di approvvigionamento, nel registro delle evidenze e nella reportistica direzionale, affinché tali responsabilità restino visibili.
Leggere il testo del diagramma
- Definire l’obiettivo
- Individuare la decisione a cui l’esercizio deve fornire elementi
- Distinguere la preparazione
- Distinguere chiaramente le valutazioni mirate
- Concordare il processo
- Chiarire l’ambito e gli obblighi di governance
Continua la preparazione
Fonti primarie
- DORA · Regolamento (UE) 2022/2554
- RTS TLPT · Regolamento delegato (UE) 2025/1190
- BCE · Framework e linee guida TIBER-EU
Informazioni generali, non costituiscono consulenza legale. Verificate i requisiti applicabili e le modalità dei test con l’autorità competente.
Questa guida e le pubblicazioni settoriali correlate linkate sopra sono pubblicate da Atlant Security. Gli esempi tecnici servono a fini di pianificazione e non dichiarano che siano stati completati test per clienti.
Pubblicato da Atlant Security. Fonti, politica editoriale e correzioni.
