ما يجب أن يختبره الفيدراليون الآن

في 17 كانون الثاني/يناير 2025، تغيرت المسألة التي طرحها مشرف مالي أوروبي. لم يعد "هل لديك ضوابط أمنية؟" لكن "هل أظهرت أن خدمتك الحيوية تنجو من هجوم حقيقي؟" وهذا التحول " مضبوط " ؛ من الاختبار إلى الأدلة " ؛ وهو النقطة الكاملة للقاعدة التنظيمية (EU) 2022/2554 بشأن القدرة على الصمود التشغيلي الرقمي، ويعيد تشكيل الكيفية التي تخطط بها المصارف، والألياف، وشركات التأمين، وموردو التكنولوجيا التابعون لها، وميزانيتها وتسلسل اختبارها الأمني. ولا بد من تحويل التوجيه إلى قانون وطني، بحيث تكتب كل دولة عضو نسختها الخاصة بها وتختلف الساعة في كل مكان. وتنطبق اللائحة بشكل مباشر، بالكامل، في جميع أنحاء الاتحاد في نفس التاريخ. ولا توجد ثغرة في الاختباء. ويشمل نطاقه أساسا القطاع المالي الأوروبي بأكمله: المؤسسات الائتمانية، ومؤسسات الدفع والأموال الإلكترونية، وشركات الاستثمار، ومديري الصناديق، والمؤمنين، ومقدمي خدمات التبريد، والهياكل الأساسية السوقية. إذا جلست في أي مكان في ذلك النظام الإيكولوجي، دورا هي مشكلتك. ثمّ هناك الخاتم الثاني، الذي يُستخف به بشكل روتيني: مقدمو خدمات تكنولوجيا المعلومات والاتصالات من طرف ثالث. الشركات المضيفة، ومقدمو السحب، والبائعون الأساسيون للبرامج المصرفية، ومجهزو المدفوعات، ومتعهدو الصيانة. حتى لو لم تكن كياناً مالياً بنفسك، فأنت داخل نطاق الإنفجار الخاص بـ(دورا) وبالنسبة للشركات في مولدوفا، فإن الطريق العملي في هذا المجال تعاقدي لا تشريعي. إذا قمت ببناء أو تشغيل تكنولوجيا لكيان مالي تابع للاتحاد الأوروبي، فإن موكلك ملزم قانونا بفرض متطلبات أمنية، وحقوق مراجعة الحسابات، والمشاركة في الاختبار من خلال العقد. الالتزام يوصلك من خلال توقيع قبل أن يمسك أي قانون محلي Note: DORA covers five areas 'mdash; ICT risk management, incident reporting, digital resilience testing, third-party ICT risk, and threat intelligence sharing. والاختبار هو ركيزة واحدة فقط، غير أن معظم الأفرقة هي الأقل استعداداً لذلك. الكلمة المهمة هي "البرنامج". هذا ليس اختباراً واحداً تشتريه مرة واحدة وترفعه انها حافظة من الأنشطة التي تعطيكم معا تغطية لمختلف أساليب الفشل. وتشمل هذه الحافظة تقييمات للقابلية للتأثر، ومسح الموارد المفتوحة، والتحليلات الأمنية للشبكة، وتقييمات الأمن المادي، والاستبيانات، واستعراضات رموز المصادر، واختبار التوافق، واختبار الأداء واختبار التغلغل. كل من هذه يجد أشياء مختلفة فحص الضعف يُخبرُك a رقعة مفقودة؛ a إختبار إختراق يُخبرُك ما إذا تلك الرقعةِ المفقودةِ يُصبحُ في الحقيقة قابلُ للإستغلال على الطريقِ إلى محركِ الدفعِ. ويرغب مراجعو الحسابات على نحو متزايد في كليهما، بالإضافة إلى المنطق الذي يربط بينهما. وهناك شرطان ينقسمان إلى البرنامج بأكمله، وخبرتنا، هما حيث تتعثر معظم المنظمات أولا. الأول هو الاستقلال ويجب إجراء الاختبارات من جانب أطراف مستقلة عن الفريق الذي قام ببناء النظام " ؛ داخلي أو خارجي، ولكن دون تضارب في المصالح مع المطورين. A team testing its own code is not independent testing, no matter how rigorous the checklist. الثاني هو انضباط الإصلاح ويجب أن تدخل النتائج في عملية إصلاح متتبعة، تُعطى الأولوية للمهام الحاسمة. A report with 200 findings and no owner, no deadline and no retest is not evidence of resilience; it is evidence of a process that stops at the PDF. وفوق خط الأساس، يُجري اختبارات متقدمة للكيانات التي تعينها السلطات المختصة، التي يتم اختيارها بشأن معايير المخاطر والأهمية العامة. وهذا هو " TLPT " ، واختبار الاختراق الذي يقوده التهديد؛ وهو حيوان مختلف عن الخماس السنوي الذي تعرفه معظم الأفرقة. أولاً، إنها مبنية على ذكاء التهديد الحقيقي A threat intelligence provider constructs the scenarios from the groups that are actually attacking your sector 'mdash; their tooling, their tradecraft, their preferred initial access vectors. أنت لا تختبر ضد نموذج مهاجم عام، أنت تتدرب ضد خصم محدد كان بالفعل داخل شركات مثل شركتك ثانيا، إنه ينفذ ضد نظم الإنتاج، وليس بيئة اختبار. وهذا هو السبب بالتحديد في أنه ينطوي على حكم صارم وعلى فريق مراقبة مقيد بشدة داخل الكيان. نسخة مختبرية لن تخبرك ما إذا كانت رحلات الكشف عن الغش الخاصة بك عندما ينتقل مهاجم في وقت لاحق من خلال الدفع الحقيقي وثالثاً، فهو يقيس الدفاع وليس مجرد جريمة. لم يُخبر الفريق الأزرق أن التمارين تجري The result includes how fast they detected the intrusion, how they responded, and where the signal existed but nobody looked./aboutp.p.A TLPT exercise typically runs for several months and closes with a replay phase: attackers and defenders walk the timeline together, minute by minute, to establish where telemetry was present and went unread. In practice, that replay produces more durable improvements than the vulnerability list ever does. العثور على حفرة مفيدة؛ اكتشاف أن الدليل الخاص بك كان له لإحدى عشرة يوماً ولم يتخذ أحد أي إجراء بشأنه هو التحول. والإطاران غير قابلين للتغيير، وخلطهما خطأ تخطيطي مشترك. ويبين الجدول أدناه الاختلافات التي تحدد النطاق والميزانية والتسلسل. من / / / All in-scope financial entities/td-ly authority-de>Only authority-designated entities/t>d>/tr- (أ) ما يقاس/يُقاس بـ " الالتزامات والتشكيلات " و " التكوين " و " الاكتشاف والاستجابة والقدرة على مواجهة المهام الحاسمة الأهمية " و " الـ " و " الـ " و " الإطار المرجعي " و " PTES " و " NIST/td,d,TER-EU " ، مع وجود السلطة المعنية. The frequency column deserves emphasis. اختبار خط الأساس السنوي إلزامي لكل شخص في نطاقه. ولا ينطبق هذا المشروع على الكيانات المعينة، التي يتم اختيارها على أساس المخاطرة والحجم والأهمية العامة، ولا سيما على المؤسسات التي من شأن عدم توافرها أن يهدد الاستقرار المالي. إذا لم يتم تعيينك، أنت لا تُعفي من الإختبار، أنت مُعذّب من المُتقدم فقط. وتنتج عملية تقودها التهديدات على البنية التحتية غير المختبرة تقريراً يمكن التنبؤ به وباهظ التكلفة: إذ يصل المهاجمون إلى وظائف حرجة بسرعة عن طريق مسارات موانية، وتغرق الاستنتاجات المفيدة حقاً في الضوضاء. النظام الصحي هو عكس ما تتطلبه الضرورة عادة. إغلاق الطرق الواضحة بالاختبارات الكلاسيكية أولا، ثم قياس الكشف والاستجابة. جرد مهامك الحيوية ونظم تكنولوجيا المعلومات والاتصالات التي تدعمها. ومن دون ذلك، لا يمكن تحديد نطاق مشروع TLPT، وستنطلق العملية. أجري اختبارات كلاسيكية للاختراق الخارجي والداخلي، ودفع العلاج طوال الطريق لإعادة الاختبار. A finding closed without a re-test is a finding you are guessing about. //li.会 an ICT.Maintain an third-party register and ensure your contracts carry testing and audit clauses. إذا كانت مهمتك الحاسمة تعتمد على مورد لن يشارك، فهذا هو ثغرة في القدرة على الصمود، وليس على ورقة العمل. بناء قدرات الكشف الحقيقي. وإذا لم تكن لديكم أي رصد مركزي، فإن شركة TLPT ستقيّم ببساطة غيابها " بكلفة كبيرة " . النقطة الأخيرة هي التي نراها في أغلب الأحيان فحوصات فريقية متطورة متوقعة من وجهة نظر المهاجم حول محيطهم وإستلام مقياس ما إذا كان أحد يراقب وإذا لم يكن أحد، فإن العملية ما زالت تؤدي وظيفتها، ولكنكم دفعتم ثمن وسيلة باهظة الثمن لتعلم شيء كان من الممكن أن يخبركم به تقييم لثغرة الرصد عن جزء من التكلفة. الحذر: لا يشكل مشروع TLPT بديلاً عن اختبار خط الأساس، وهو ليس اختباراً أولياً. تشغيله على ميزانية غير مثبتة للاحتراق العقاري على النتائج أن الاختبار الروتيني للاختراق كان سيظهر، ويهدر النية الشحيحة لفريق المراقبة داخل منظمتكم. والسؤال الذي نسمعه أكثر من بائعي التكنولوجيا هو ما إذا كانت الوكالة تطبق عليهم. الجواب الصادق له طبقتان مباشرة، فقط إذا عُيّنتَ مُقدّماً نقدياً لخدمة الأطراف الثالثة في مجال تكنولوجيا المعلومات والاتصالات على المستوى الأوروبي، وهو مجموعة صغيرة ومسمّاة تحديداً. بشكل غير مباشر، بالتأكيد نعم الكيان المالي الذي تخدمه ملزم بتضمين متطلبات الأمن، وحقوق مراجعة الحسابات والنفاذ، وشروط القدرة على الصمود، وبالنسبة للموردين الذين يدعمون المهام الحاسمة، المشاركة في اختبار القدرة على التكيف، بما في ذلك تدريبات العملاء على TLPT. This means a Moldovan software house or hosting provider can find itself contractually required to support a TIBER-EU exercise run by a German bank, with no local statute compelling it. The leverage is commercial: refuse, and the contract does not renewed. Important: If you support a critical function for an EU financial entity, assume you will be asked to participate in testing. التفاوض على المصطلحات الآن " مضبوطة؛ وفترات النطاق والإخطار، والمرافئ الآمنة، ومناولة البيانات " ؛ بدلا من أثناء ممارسة حية تحت ضغط زمني. Timelines, cost and the case for sequencing /h2 p> وعادة ما تُجرى عملية كاملة في مجال مكافحة الاتجار بالبشر تتراوح بين ثلاثة أشهر وستة أشهر، وتتوزع عبر التحضير، واستخبارات التهديد، ومرحلة الاختبار نفسها، وإغلاقها بإعادة اللعب. وتتوقف التكلفة على عدد السيناريوهات، واتساع نطاق المحيط، ومشاركة مقدمي الخدمات الخارجيين، وتتجاوز كثيرا اختبار التغلغل الكلاسيكي. وهذا الفارق في السعر هو بالضبط السبب في أهمية التسلسل. كل ساعة من العلاج تكتمل قبل أن يمضي الفريق الأحمر ساعة في مشكلة صعبة حقاً بدلاً من الخلود The organisations that get the most from threat-led testing are the ones that treated it as the capstone of a grown programme, not the opening move. هناك نقطة أوسع هنا حول ما يطلبه (دورا) حقاً إنه لا يُطالب بأن تكون غير قابل للتواصل، ولا يعتقد أي منظم جدي أن ذلك يمكن تحقيقه. يتطلّب أنّكِ تعرفين مهمّاتكِ الحاسمة، وأنّكِ قمتِ باختبارها ضدّ خصوم واقعيّة، وأنّكِ ستكتشفين وتستجيبين عندما يمرّ شيء ما، فالشركات التي تعامل الاختبار على أنه أداة فنية للامتثال ستجتاز عمليات مراجعة الحسابات وتفشل في الحوادث. The firms that treat it as an operational capacity will do the contrary, and they are ones DORA was written for