Risultati del TLPT: rilievi, evidenze e nuovi test

Che cosa dovrebbe dimostrare il rapporto?

Il rapporto TLPT dovrebbe spiegare il controllo non riuscito e la conseguenza dimostrata, senza limitarsi ad assegnare un livello di gravità. Verifichi la presenza di un ambito convalidato dall’autorità, scenari guidati dalle minacce e prove di chiusura, osservazioni riproducibili e responsabili coinvolti. Le lacune di copertura e le conseguenze non verificate devono restare visibili affinché il rapporto supporti una decisione difendibile.

Documenti le evidenze durante tutto il test

Un insieme utile di evidenze TLPT collega l’ambito e le ipotesi sulle minacce alle azioni svolte, alle osservazioni dei difensori e ai miglioramenti conseguenti. Durante la preparazione, concordate modelli, controlli degli accessi e responsabilità.

Output	Finalità	Responsabilità da concordare
Documentazione relativa all’ambito e alla governance	Tracciate le funzioni critiche, le dipendenze, l’autorizzazione e i controlli di sicurezza.	Entità finanziaria e team di controllo, con convalida dell’ambito da parte dell’autorità competente.
Threat intelligence mirata	Illustrare la rilevanza delle minacce, l’esposizione e la selezione degli scenari	Fornitore di informazioni sulle minacce e partecipanti pertinenti alla revisione.
Piano e rapporto del test del team red	Descrivete gli scenari previsti, l’esecuzione, le evidenze e gli esiti dei controlli.	Tester del team red, con il coordinamento del team di controllo e dell’autorità competente.
Report del blue team	Documentare cosa hanno osservato, rilevato e fatto i team di difesa.	Blue team e team di controllo dell’entità finanziaria.
Apprendimenti dalla riproduzione e dal purple teaming	Riconciliare le osservazioni relative all’attacco e alla difesa e individuare opportunità di miglioramento.	Team di controllo, blue team e tester.
Riepilogo dei test e piano di remediation	Riassumete i rilievi, le azioni e i presupposti per la chiusura.	Entità finanziaria, con il supporto dei fornitori; presentazione tramite la procedura dell’autorità competente.

Rendicontazione per più destinatari

I team tecnici hanno bisogno di una ricostruzione riproducibile degli eventi e delle evidenze. La direzione ha bisogno di conoscere le implicazioni per le funzioni critiche, i motivi delle lacune sostanziali e le decisioni di miglioramento con responsabilità assegnate. L’autorità ha bisogno della documentazione richiesta nella forma appropriata.

Concordare quali informazioni includere in ciascun output. I rapporti di test possono contenere informazioni sensibili sulla sicurezza. Utilizzare una distribuzione limitata e un meccanismo sicuro di trasferimento; non allegarli al modulo pubblico di richiesta.

Rendere tracciabile la correzione

Descrivete la debolezza e la funzione o il controllo interessati.
Assegnare un responsabile e una data obiettivo realistica.
Registrare le dipendenze e le misure di mitigazione temporanee.
Definire le evidenze di completamento e le eventuali attività di convalida.
Escali i rischi irrisolti attraverso il processo di governance dell’entità.

I test di ripetizione e la successiva convalida devono essere specificati nell’incarico o in un’estensione concordata separatamente. Non si intendono inclusi tacitamente a tempo indeterminato.

Cosa significa un’attestazione e cosa non significa

DORA prevede un’attestazione a sostegno del riconoscimento reciproco. Il suo rilascio e la sua accettazione rientrano nel processo dell’autorità competente. Il fornitore dei test non certifica la conformità complessiva dell’organizzazione a DORA né garantisce che tutti gli attacchi futuri falliranno.

Per indicazioni pratiche sulla preparazione, consultate la guida alla reportistica e alla remediation.

Fonti primarie

Informazioni generali, non costituiscono consulenza legale. Verificate i requisiti applicabili e le modalità dei test con l’autorità competente.