Terze parti nel TLPT DORA: autorizzazioni e test in pool

La decisione che questa guida vi aiuta a prendere

Un contratto di servizio non autorizza necessariamente test offensivi sull’infrastruttura di un fornitore. Individuate le dipendenze ICT pertinenti e chiarite tempestivamente partecipazione, autorizzazioni e vincoli degli ambienti condivisi. Mantenete visibili le responsabilità dell’entità finanziaria nella valutazione di eventuali accordi di test condivisi.

Una funzione critica raramente termina al confine dell’entità

Le entità finanziarie si affidano a fornitori terzi di servizi TIC per funzioni che possono essere incluse in un TLPT. DORA disciplina tale coinvolgimento e richiede accordi per la partecipazione pertinente. L’esternalizzazione di una dipendenza non elimina la responsabilità dell’entità finanziaria.

Nella definizione dell'ambito occorre distinguere la funzione da testare, i sistemi che la supportano e le autorizzazioni legali necessarie per testare tali sistemi. Un contratto per l'utilizzo di un servizio non autorizza necessariamente a svolgere test offensivi contro quel servizio.

Individuare la dipendenza prima di selezionare gli scenari

Documentare cosa supporta il fornitore, quali sistemi o processi potrebbero essere coinvolti e se il servizio è condiviso con altri clienti. Definire fin da subito i canali di contatto contrattuali e operativi.

Uno scenario può dipendere da servizi di identità, hosting, comunicazioni o da un processo operativo esternalizzato. Se l’incarico presuppone una partecipazione non concordata, possono risentirne sia la pianificazione sia il valore probatorio.

Concordare la partecipazione e le misure di salvaguardia operative

• Individuare il fornitore pertinente e le eventuali dipendenze sostanziali da subappaltatori.
• Ottenere le autorizzazioni e gli accordi contrattuali necessari per l’attività proposta.
• Chiarisca i confini del tenant, le azioni vietate e gli effetti sugli altri clienti.
• Definire i canali di escalation, le condizioni di interruzione e il coordinamento degli incidenti.
• Concordare la gestione delle evidenze, l’accesso, la riservatezza e la distribuzione dei rapporti.

Non esporre altri clienti all’esercitazione e non considerare automaticamente l’intera piattaforma del fornitore come inclusa nell’ambito. Il team di controllo, il fornitore e il processo dell’autorità competente devono condividere una comprensione dei confini.

Quando i test aggregati possono essere pertinenti

DORA prevede modalità di test condivise nelle circostanze descritte all’articolo 26, anche quando la partecipazione a un test potrebbe incidere sulla qualità o sulla sicurezza del servizio per altri clienti o sulla riservatezza. Tali modalità devono rispettare le condizioni applicabili e il processo di supervisione.

Un report generico di penetration test di un fornitore non costituisce automaticamente un TLPT condiviso né sostituisce gli obblighi di un’entità. Stabilite quali funzioni, partecipanti e rischi copre effettivamente l’accordo proposto e come verrà gestito il riconoscimento.

Inserite il tema nel primo briefing

Indicate ai potenziali fornitori di test quali dipendenze ICT potrebbero essere rilevanti e quali modalità di partecipazione sono già state predisposte. Indicate le autorizzazioni non ancora ottenute come dipendenze, non come esclusioni nascoste.

Il passo successivo più efficace consiste spesso nel migliorare la mappatura e concordare un canale di contatto. In seguito si potranno sviluppare scenari dettagliati su un ambito significativo e autorizzato.

Preparare un brief di partecipazione specifico per le dipendenze

Descrivete la funzione supportata dal fornitore, il confine del servizio pertinente, la partecipazione proposta e le evidenze attese. Individuate i referenti che possono discutere l’ambito tecnico, l’autorizzazione contrattuale e le misure di salvaguardia operative. Una richiesta generica di «supporto al nostro TLPT» lascia troppo spazio all’interpretazione. Distinguete le attività sulla configurazione del servizio proprio dell’entità da quelle che interessano una piattaforma condivisa o l’ambiente di un altro cliente.

La guida alle identità cloud nel settore fintech aiuta a formulare un confronto circoscritto tra principal, risorsa e operazione. La guida all’ambito di approvvigionamento dei test bancari mostra come mantenere visibili, come ipotesi, le autorizzazioni mancanti. Questi metodi sono utili per la preparazione nell’ambito del più ampio processo di coordinamento TLPT.

Concordare come le evidenze del fornitore confluiscono nella chiusura

Determinare quali osservazioni può fornire il fornitore, chi può accedervi e come saranno correlate con la cronologia dell’esercizio. Registrare eventuali limiti dovuti a infrastrutture condivise, riservatezza o conservazione. Le evidenze fornite da un fornitore devono essere identificate come tali e accompagnate dal contesto e dai limiti pertinenti, anziché essere presentate come un’azione osservata indipendentemente dal team di test.

Se non è possibile concordare la partecipazione o il metodo proposto, sottoponete la dipendenza al processo di governance applicabile. Non omettetela senza comunicarlo continuando a dichiarare in modo ampio che la funzione è coperta. Documentate il motivo, l’impatto sugli scenari e le eventuali alternative approvate. In questo modo, i responsabili dei test e l’entità dispongono di una base chiara per decidere come trattare il confine e si evita che un presupposto commerciale diventi un’autorizzazione ai test non documentata.

Continua la preparazione

• Definire l’ambito di un TLPT
• Domande sull’approvvigionamento