Quanto dura un TLPT DORA? Oltre la fase di 12 settimane

La decisione che questa guida vi aiuta a prendere

Il periodo minimo di attività del red team è solo una parte del calendario. Anche l’approvvigionamento, la convalida dell’ambito, la preparazione delle informazioni, la disponibilità degli accessi e la chiusura richiedono tempo. Una tempistica credibile individua queste dipendenze e le relative responsabilità, anziché promettere un TLPT completo in dodici settimane.

Dodici settimane sono una fase, non l’intero programma

Le RTS TLPT richiedono che la fase attiva di test del red team duri almeno 12 settimane. Ciò non significa che una TLPT DORA completa possa essere affidata, eseguita e chiusa in 12 settimane. Preparazione, approvvigionamento, threat intelligence, pianificazione, reportistica e chiusura richiedono tempo.

La tempistica complessiva dipende dall’ambito, dai partecipanti, dai vincoli operativi e dalla procedura dell’autorità. Una durata totale fissa indicata prima di aver compreso questi fattori va considerata un’ipotesi da verificare.

Che cosa deve avvenire prima dell’inizio dei test attivi

La preparazione comprende il team di controllo, il coinvolgimento dell’autorità, l’ambito proposto, la selezione del fornitore e gli accordi contrattuali. L’intelligence sulle minacce e la pianificazione red team trasformano poi tale ambito in scenari pertinenti e attività controllate.

La partecipazione di terze parti e il coordinamento transfrontaliero possono incidere in modo significativo sulla pianificazione. Lo stesso vale per la disponibilità degli specialisti designati, la qualità della mappatura delle funzioni e il processo di revisione dei documenti proposti. Questi aspetti dovrebbero essere visibili nel piano del programma, anziché essere nascosti tra le riserve.

Riservare la finestra per i test attivi

Ai sensi dell’articolo 11, paragrafo 5, delle RTS, la fase attiva di red team dura almeno 12 settimane. La pianificazione deve rispettare i requisiti applicabili alla fase e le eventuali decisioni metodologiche consentite. Il purple teaming limitato ha un ruolo specifico nelle RTS; non è una soluzione informale per compensare un incarico di durata insufficiente.

Concordare i percorsi di escalation, le restrizioni operative e la gestione degli incidenti reali. Un calendario dei test che ignori le modifiche in produzione o la disponibilità dei partecipanti chiave può causare rischi e ritardi non necessari.

Riservate tempo per la chiusura e la pianificazione delle correzioni

Le RTS stabiliscono scadenze e requisiti relativi al contenuto dei rapporti. Ad esempio, il rapporto del red team deve essere presentato entro quattro settimane dalla fase attiva; il rapporto del blue team ha una scadenza distinta, collegata alla ricezione del primo e comunque non oltre dieci settimane dalla conclusione dei test attivi.

Per il riepilogo del test e i piani di remediation si applicano ulteriori requisiti temporali. Alcuni decorrono dalle notifiche dell’autorità, quindi non è possibile calcolarli tutti semplicemente aggiungendo un numero fisso di settimane al primo giorno di test. Leggete gli articoli 12 e 13 insieme alle procedure operative dell’autorità.

Cosa dimostra un programma credibile

• Limiti delle fasi e ipotesi sottostanti.
• Chi esamina ciascun documento e qual è la finestra temporale prevista per la revisione?
• Dipendenze relative all’approvvigionamento, a terze parti e autorità.
• Test attivi, reportistica, ripetizione dei test e partecipazione alle attività di purple team.
• Pianificazione del rimedio e responsabilità per il follow-up.

Pianifichi a ritroso partendo dai vincoli noti, senza comprimere le attività obbligatorie per rispettare una scadenza arbitraria. Una riunione di definizione dell’ambito dovrebbe produrre un calendario con dipendenze identificate e incertezze esplicitate.

Esplicitare le dipendenze alla base delle scadenze

Imposti il calendario di lavoro sulle decisioni che consentono di avviare l’attività successiva: governance definita, ambito proposto preparato, responsabilità del provider concordate, partecipazione confermata e salvaguardie operative predisposte. Indichi il responsabile e il contributo richiesto per ogni dipendenza. Una data senza un responsabile è un controllo di pianificazione inaffidabile. Distingua i requisiti del quadro normativo applicabile dal tempo di preparazione stimato dall’organizzazione e convalidi il piano con i responsabili dei test pertinenti.

La guida all’ambito dei test di penetrazione bancaria per l’approvvigionamento offre un metodo utile per esplicitare le ipotesi su accesso ed evidenze. Questi aspetti pratici sono importanti anche nella preparazione del TLPT, sebbene l’esercitazione avanzata abbia requisiti specifici di processo e pianificazione.

Riservare tempo per la riconciliazione delle evidenze e il trattamento

La chiusura richiede che i partecipanti confrontino le osservazioni, spieghino le decisioni difensive e trasformino gli insegnamenti in azioni con responsabili definiti. Individuate per tempo i partecipanti e assicuratevi che i responsabili operativi possano prendere parte alle attività pertinenti. Scoprire tardi che il responsabile dei log o il fornitore necessario non può contribuire alla riconciliazione può ridurre l’utilità delle evidenze. Pianificate la gestione delle osservazioni irrisolte e dei limiti dell’ambito, senza presumere che tutte le domande trovino risposta entro la fine delle attività tecniche.

Per i team di prodotto che rilasciano modifiche durante il programma più ampio, la guida ai rilasci e ai nuovi test fintech spiega come preservare il contesto della versione. Applicate questo criterio per evitare di confrontare osservazioni riferite a stati diversi del sistema come se fossero equivalenti. Il calendario definitivo dovrebbe rendere visibili dipendenze, presupposti e decisioni necessarie; le date vanno trattate come parte di un piano gestito, non come una promessa infondata di una durata universalmente fissa.

Continua la preparazione

• Le fasi dell’incarico
• Parliamo della finestra temporale dei test