Le questioni da definire prima di richiedere un preventivo
I costi e la durata del TLPT previsto da DORA dipendono dai sistemi obiettivo, dai ruoli, dai flussi di lavoro aziendali, dalle modalità di accesso e dai requisiti di rendicontazione. Il solo numero di sistemi non è sufficiente per determinare l’impegno richiesto. Utilizzate le domande seguenti per preparare l’ambito e individuare le ipotesi a cui una proposta deve rispondere.
Domande prima di un incarico
Che cosa sono i test di penetrazione basati sulle minacce?
Un TLPT è un test controllato e basato su intelligence che utilizza scenari realistici di avversari contro i sistemi critici in produzione di un’entità finanziaria. Esamina persone, processi e tecnologie, inclusi prevenzione, rilevamento e risposta.
Ogni organizzazione soggetta a DORA ha bisogno di un TLPT?
No. L’obbligo di effettuare test avanzati si applica agli enti finanziari individuati, ai sensi dell’articolo 26 e dei criteri di selezione degli RTS sul TLPT. Gli obblighi generali di test previsti da DORA sono più ampi. Verificate il vostro status con l’autorità competente.
Con quale frequenza è richiesto un TLPT DORA?
L’articolo 26 stabilisce per le entità individuate una frequenza di base di almeno una volta ogni tre anni. L’autorità competente può modificarla. Ciò non determina una scadenza universale per il primo test.
Quanto dura un TLPT?
La fase attiva di test del red team dura almeno 12 settimane ai sensi dell’articolo 11, paragrafo 5, delle RTS. La preparazione, la threat intelligence, la reportistica, la chiusura e la pianificazione delle misure correttive richiedono ulteriore tempo. Una tempistica credibile viene definita in base all’ambito e alla procedura dell’autorità competente.
Un normale penetration test può soddisfare i requisiti di un TLPT?
Un normale penetration test non soddisfa automaticamente i requisiti TLPT. Il TLPT comprende inoltre threat intelligence mirata, ambito delle funzioni critiche, governance, scenari controllati di attacco, coinvolgimento delle autorità e specifici requisiti di chiusura.
TIBER-EU è la stessa cosa di DORA?
No. DORA e gli RTS sul TLPT stabiliscono requisiti giuridici. TIBER-EU è un framework operativo con linee guida e modelli che può supportarne l’attuazione. Per l’incarico restano applicabili i requisiti dell’autorità competente.
I test saranno svolti in produzione?
Il TLPT DORA copre i sistemi di produzione live pertinenti che supportano le funzioni incluse nell’ambito. Il test richiede un’autorizzazione esplicita, controlli dei rischi, restrizioni concordate e modalità di escalation. Un esercizio svolto solo in un ambiente di staging non dovrebbe essere presentato come equivalente senza il consenso dell’autorità competente.
Un TLPT comporta il rilascio di un certificato di conformità a DORA?
No. Un fornitore non certifica l’adempimento di tutti gli obblighi DORA con un unico test. La procedura dell’autorità competente può rilasciare un’attestazione relativa al TLPT, anche ai fini del riconoscimento reciproco. La conformità più ampia e la correzione delle carenze restano responsabilità dell’entità.
Da cosa dipende il prezzo?
L'ambito, le entità e le funzioni, i fornitori pertinenti, gli scenari, le risorse di erogazione, la reportistica e le attività di chiusura incidono sul prezzo. La proposta concordata dovrebbe specificare ipotesi, inclusioni e gestione delle modifiche.
Cosa dovremmo includere in una richiesta iniziale?
La sua organizzazione, un contatto professionale, l'eventuale notifica dell'autorità competente, una descrizione generale del probabile ambito e una tempistica indicativa. Non invii credenziali, diagrammi di rete, vulnerabilità o informazioni sensibili sull'ambiente di produzione.
Fonti primarie
- DORA · Regolamento (UE) 2022/2554
- RTS TLPT · Regolamento delegato (UE) 2025/1190
- BCE · Framework e linee guida TIBER-EU
Informazioni generali, non costituiscono consulenza legale. Verificate i requisiti applicabili e le modalità dei test con l’autorità competente.
