Ambito dei test di penetrazione per banche: ricevere offerte davvero confrontabili

La decisione che questa guida vi aiuta a prendere

Un preventivo per un penetration test bancario è significativo solo se obiettivo e perimetro sono definiti. Specificate i canali per i clienti, le operazioni di pagamento o i percorsi di fiducia interni da valutare, gli accessi forniti e le evidenze che accetterete. Distinguete i penetration test ordinari da qualsiasi requisito formale di TLPT ai sensi di DORA.

Indicate l’obiettivo dell’incarico

Definisca la decisione che la banca deve prendere: rilasciare un’applicazione, valutare un confine di fiducia definito, indagare un’esposizione nota o convalidare una correzione. Identifichi il responsabile del servizio e i destinatari del rapporto. Non utilizzi «pentest completo» come sostituto dell’ambito. I fornitori possono interpretare l’espressione in modi molto diversi: da una scansione limitata senza autenticazione a una valutazione ampia con accesso privilegiato e test della logica di business.

Distinguere i test di penetrazione di routine da qualsiasi esercizio avanzato basato sulle minacce. Se è richiesto il TLPT, utilizzare il processo di governance e approvvigionamento applicabile. La guida ai requisiti dell'articolo 27 di DORA per i fornitori illustra aspetti che non dovrebbero essere ridotti a un questionario generico per i fornitori.

Descrivete i sistemi attraverso operazioni e ruoli

Fornite un inventario delle applicazioni, delle API, dei confini di identità, degli ambienti e delle integrazioni pertinenti. Aggiungete le operazioni e i ruoli rilevanti: cliente, supporto, approvatore, amministratore e identità del carico di lavoro, ove applicabile. Spiegate quali account e oggetti sintetici può fornire la banca. Il numero di endpoint, senza questo contesto, costituisce una base inadeguata per stimare la copertura della logica di business.

Evidenzi i componenti di terze parti, gli ambienti condivisi e le autorizzazioni ancora da definire. Chieda ai partecipanti alla gara di indicare in che modo ciascuna ipotesi incide sulla copertura e sull’erogazione. Mantenga i dettagli riservati dell’architettura nel canale di approvvigionamento confidenziale concordato, anziché in un modulo pubblico di richiesta.

Rendere visibili i vincoli operativi

Indicate gli ambienti approvati, le finestre temporali, i limiti delle richieste e i metodi vietati. Identificate i servizi per i quali anche un effetto collaterale minimo richiede una decisione separata. Descrivete chi ha l’autorità di interrompere i test, il modello di comunicazione e le procedure di escalation degli incidenti. Se sono proposti test in produzione, richiedete una motivazione basata sul rischio delle evidenze necessarie in tale ambiente e delle misure di salvaguardia previste.

Per i prodotti che fanno ampio uso di API, la nostra guida alla definizione dell’ambito dei test di penetrazione delle API fintech aiuta a trasformare un inventario delle funzionalità in confronti verificabili tra attore, oggetto e operazione. Le banche possono adottare questo approccio applicando i propri controlli di gestione delle modifiche e dei fornitori.

Specificate cosa deve contenere un rilievo utile

Chieda di documentare la situazione iniziale sottoposta a test, il confine interessato, l’osservazione riproducibile, le evidenze tecniche, la valutazione dell’impatto e i limiti. Richieda una chiara distinzione tra le azioni dimostrate e le conseguenze plausibili ma non testate. Il rapporto dovrebbe registrare, oltre ai risultati, anche la copertura bloccata ed esclusa. Concordi come comunicare le osservazioni urgenti prima della consegna del documento finale.

Esaminate un rilievo di esempio insieme ai referenti tecnici e del rischio. Deve essere possibile capire che cosa non ha funzionato, quale team può modificarlo e come la banca verificherà il risultato. La cura visiva deve supportare questo ragionamento, non sostituirlo.

Definire i test di ripetizione prima di confrontare i prezzi

Individuare il periodo di ripetizione dei test incluso, i limiti degli scenari e le evidenze attese per la chiusura. Concordare cosa accade se una correzione modifica l’architettura, emergono nuovi percorsi o il ruolo di test necessario non è più disponibile. Chiarire se il fornitore verificherà solo i rilievi indicati o anche i casi adiacenti concordati. In questo modo si evita di interpretare una verifica dal perimetro e dal prezzo circoscritti come una ripetizione implicita dell’intero incarico.

Definire un criterio di accettazione per la prestazione stessa: la banca riceve evidenze utilizzabili, un registro della copertura, un passaggio di consegne tecnico e una spiegazione chiara del retest. La ricezione puntuale di un file PDF è solo una parte del risultato.

Normalizzate le offerte prima della selezione

Predisponete una tabella comparativa che includa ambito, presupposti, ruoli di erogazione, salvaguardie operative, evidenze, esclusioni e chiusura. Chiedete ai fornitori di chiarire per iscritto le ambiguità sostanziali. Un prezzo più basso può riflettere un’erogazione efficiente, ma può anche indicare l’esclusione di ruoli, integrazioni o attività di convalida inclusi in un’altra offerta. Confrontate esplicitamente queste differenze invece di basarvi sulle tariffe giornaliere o sul numero di rilievi.

Utilizzate la lista di preparazione ai test di penetrazione per le banche per predisporre le informazioni necessarie. La dichiarazione finale del lavoro dovrebbe essere comprensibile per il responsabile del servizio, il team di test e il revisore degli acquisti, senza che ciascuno debba inventare le ipotesi mancanti.