Checklist di preparazione al TLPT DORA | Prima di incaricare i tester

Che cosa comporta per il suo test

Utilizzi questa checklist per far emergere le decisioni mancanti prima dell’approvvigionamento. Confermi la procedura dell’autorità competente, l’ambito proposto delle funzioni critiche, la titolarità del team di controllo, la due diligence sul fornitore e le autorizzazioni di terzi. Definisca le responsabilità per la reportistica e la remediation prima dell’avvio dei test attivi.

Confermare l’obbligo

• Individuare la persona giuridica e l’autorità competente o l’autorità TLPT pertinente.
• Individua la notifica di selezione e la finestra di test concordata, se emesse.
• Confermare i requisiti applicabili di DORA, degli RTS e dell’autorità competente.

Preparate l’ambito

• Elencare le funzioni critiche o importanti proposte per i test.
• Mappi i sistemi, le persone, i processi e le dipendenze ICT che li supportano.
• Identificare entità transfrontaliere, servizi condivisi e partecipazione di terze parti.
• Registrare le ipotesi sull’ambito che richiedono la convalida dell’autorità competente.

Definire la governance

• Individuate il responsabile del team di controllo e un team di controllo adeguatamente limitato.
• Definire la riservatezza, l’escalation, la gestione degli incidenti e le condizioni di arresto.
• Individuare chi approva le modifiche al perimetro e le limitazioni operative.

Preparate la due diligence del fornitore

• Richiedete informazioni sulle competenze e sulla disponibilità del team nominato.
• Valutare i conflitti di interesse, i quadri etici pertinenti e le prove di assurance.
• Verificare la copertura assicurativa per responsabilità professionale prevista per il lavoro proposto.
• Concordare la gestione delle evidenze, il subappalto e le responsabilità contrattuali.

Pianificare la chiusura prima dei test

• Assegnare le responsabilità per red team, blue team e rapporto riepilogativo.
• Riservate tempo per ripetere i test, svolgere attività di purple teaming e pianificare le correzioni.
• Definire un processo per assegnare la responsabilità della correzione, raccogliere le evidenze e darne seguito.
• Concordare la distribuzione sicura e le modalità di conservazione del rapporto.