Test di penetrazione per banche o TLPT ai sensi di DORA? Scegliere l'incarico appropriato

La decisione che questa guida vi aiuta a prendere

Partire dall'obiettivo di commissionamento della banca e dalla procedura applicabile dell'autorità competente. Un test tecnico di applicazioni o reti risponde a una domanda diversa da un TLPT DORA designato. Indicare l'incarico previsto nel brief affinché le proposte siano valutate rispetto alle responsabilità e ai deliverable corretti.

Partite dalla decisione da prendere

Una banca può aver bisogno di garanzie su una nuova applicazione, un percorso di fiducia interno o una modifica all’autorizzazione dei pagamenti. Un test di penetrazione con ambito definito può rispondere a queste domande tecniche. Il TLPT previsto dalla normativa è un’esercitazione più ampia, basata sulla threat intelligence e caratterizzata da un processo definito di governance e autorizzazione per le entità finanziarie individuate.

Non equiparare i risultati

Gli articoli 26 e 27 del DORA e le RTS sul TLPT disciplinano i test avanzati e i requisiti per i tester. Un normale rapporto tecnico non diventa un TLPT conforme solo perché il titolo contiene l’acronimo. Verificate la designazione, la convalida dell’ambito e i risultati attesi secondo la procedura dell’autorità competente applicabile.

Utilizzi le evidenze per lo scopo previsto

Un rilievo relativo a un’applicazione può confluire nel programma della banca per la gestione delle vulnerabilità e dei rischi. Un TLPT valuta anche percorsi di attacco realistici e la risposta dei difensori nelle funzioni critiche. Queste tipologie di test possono integrarsi, ma non devono essere vendute o registrate come intercambiabili.

Esplicitare la distinzione negli approvvigionamenti

Indicate nella richiesta di proposta finalità, ambiente, metodo, partecipanti e obblighi di rendicontazione. Chiedete cosa includono la chiusura e i test di retest. Il nostro servizio bancario si concentra sull’ambito concordato dei test di penetrazione; un TLPT ai sensi di DORA richiede una valutazione specifica di idoneità, governance e modalità di esecuzione.

Formulare in una frase la decisione di incarico

Una banca potrebbe aver bisogno di evidenze che dimostrino che una nuova API di pagamento verifica la titolarità del cliente prima di autorizzare un’operazione. Un altro incarico potrebbe valutare in che modo un avversario credibile potrebbe incidere su una funzione critica e come reagirebbero i difensori. Sono domande diverse, anche quando alcune tecniche si sovrappongono. Indicate la decisione nel primo paragrafo del brief, identificate il responsabile aziendale e spiegate l’uso previsto dei risultati. Questo aiuta i fornitori a evitare di preventivare servizi fondamentalmente diversi con la stessa etichetta «pentest DORA».

Se l’entità è soggetta a un requisito TLPT, coinvolgete fin da subito gli organi interni di governance pertinenti e la procedura con l’autorità competente. La descrizione commerciale di un fornitore non può determinare l’applicabilità normativa, approvare un ambito né sostituire le responsabilità dell’entità finanziaria.

Distinguere le attività preparatorie dal test avanzato

Valutazioni mirate di applicazioni, identità o reti possono individuare vulnerabilità da trattare prima di un esercizio più ampio. Descrivetele come valutazioni autonome, ciascuna con il proprio ambito e i propri limiti. Non ribattezzate TLPT un breve incarico tecnico solo perché fa riferimento a un threat actor o include un diagramma d’attacco elaborato. Al contrario, non presumete che un esercizio basato sulle minacce esamini in modo esaustivo ogni endpoint applicativo. Il modello di copertura e la decisione da supportare sono diversi.

Per una distinzione dettagliata, consultate TLPT DORA e penetration test a confronto. La relativa guida ai requisiti di test fintech spiega perché anche la tecnologia di pagamento, l’ambito dei dati delle carte e lo status della persona giuridica debbano essere distinti.

Confrontare le proposte in base alle ipotesi e ai risultati forniti

Richiedere una situazione iniziale chiara, un ambiente di test, la motivazione dell'ambito, un modello di autorizzazione e l'elenco dei deliverable. Per i test ordinari, chiedere come il fornitore determinerà constatazioni riproducibili e ripeterà i test sui controlli concordati. Per il TLPT, chiedere il modello di erogazione e le responsabilità adeguati al quadro applicabile e agli accordi con le autorità. Rendere visibili gli input mancanti: la partecipazione dei fornitori, la mappatura delle funzioni critiche e il coordinamento interno possono incidere in modo sostanziale sulle attività.

Un confronto tra offerte dovrebbe mostrare cosa copre effettivamente ciascuna proposta e cosa ne resta escluso. Né un maggior numero di giornate né un acronimo noto risolvono una discrepanza. Il risultato adeguato è una dichiarazione di lavoro interpretata allo stesso modo dai responsabili operativi, tecnici e di governance.

Applicate le indicazioni

Utilizzate la lista di preparazione per documentare le ipotesi oppure consultate il rapporto fittizio di Megabank AG per esempi di evidenze e piani di trattamento. Contattate Atlant Security con una descrizione non sensibile dell’ambito.