Metodologia TLPT: dall’ambito alle correzioni verificate

Come il test fornisce elementi per una decisione

Il metodo dovrebbe rendere verificabile la resilienza non ancora dimostrata di persone, processi e tecnologia senza superare l’autorizzazione concordata. Si parta da un ambito convalidato dall’autorità competente, scenari guidati dalle minacce ed evidenze di chiusura; si registrino le condizioni iniziali, l’azione, il risultato osservato e i limiti. Si concordino le condizioni di arresto prima dell’esecuzione e i criteri di accettazione prima del nuovo test.

01 — Preparare e definire l’ambito

Costituisca il team di controllo, si coordini con l’autorità competente e confermi la base per i test. Mappi le funzioni critiche o importanti rispetto a persone, processi, sistemi di produzione e fornitori di servizi ICT. Registri i limiti dell’ambito e le dipendenze in modo che possano essere esaminati e convalidati.

L’approvvigionamento, la riservatezza, il coordinamento con le autorità, la valutazione dei rischi e le regole di ingaggio sono prerequisiti per un’esecuzione sicura. Individuate chi può approvare una modifica, interrompere l’attività e gestire un incidente reale durante i test.

02 — Sviluppare informazioni mirate sulle minacce

Utilizzi il livello di esposizione e il panorama delle minacce dell’organizzazione per individuare gli avversari rilevanti e scenari di attacco plausibili. La fase di intelligence dovrebbe collegare le motivazioni alla base della scelta di uno scenario alle funzioni sottoposte a test.

Distinguere i fatti accertati, i giudizi analitici e le incertezze. Concordare i risultati di intelligence e degli scenari con i partecipanti appropriati prima di finalizzare la pianificazione del red team.

03 — Eseguire test controllati di red team

Traducete gli scenari in un piano di test, obiettivi concordati e azioni controllate. Il team di controllo mantiene la supervisione mentre le capacità di prevenzione, rilevamento e risposta dei difensori vengono testate secondo la metodologia applicabile.

La fase attiva di test del red team deve durare almeno 12 settimane ai sensi dell’articolo 11, paragrafo 5, delle RTS. Le circostanze operative, le modifiche approvate e l’eventuale purple teaming limitato devono essere gestiti in conformità alle RTS e alla procedura dell’autorità competente. Ciò non autorizza a ridurre o ridefinire unilateralmente il test.

04 — Ricostruire il test e trarne insegnamenti

Dopo i test attivi, comunicare l’esercitazione al team blu secondo la procedura concordata. Riunire la narrazione dell’attacco del team rosso con il resoconto dei difensori. La riproduzione degli eventi, l’analisi collaborativa e il purple teaming aiutano a spiegare dove i controlli hanno funzionato, dove mancava visibilità e cosa andrebbe modificato.

Le RTS stabiliscono i requisiti relativi ai contenuti e alle tempistiche dei report. Pianificate fin dall’inizio il report del red team, quello del blue team e il riepilogo del test, invece di elaborarli alla fine partendo da appunti incompleti.

05 — Pianificare la correzione e completare le evidenze

Assegnare responsabilità e priorità per gli interventi correttivi, distinguere le correzioni immediate dai miglioramenti strutturali e concordare come documentare il completamento. Presentare la documentazione richiesta tramite la procedura dell’autorità competente per l’entità finanziaria.

La documentazione di chiusura e l’eventuale attestazione dell’autorità riguardano il test. L’entità resta responsabile dei propri obblighi DORA più ampi e del programma di remediation. Per saperne di più su risultati e responsabilità.

Come si inserisce TIBER-EU

Il quadro TIBER-EU della BCE fornisce indicazioni operative, ruoli dei partecipanti e modelli. Utilizzatelo in modo coerente con DORA, le norme tecniche di regolamentazione sul TLPT e l’attuazione da parte dell’autorità competente. Un fornitore dovrebbe spiegare come il proprio approccio si rapporta a tali requisiti, anziché considerare il nome TIBER un accreditamento.