DORA はライブです: 実際のところ、ファイナンシャルファームがテストする

2025年1月17日以降、欧州財政上司の質問は変更されました。 もはや「セキュリティ管理をしているの?」ではなく、「重要なサービスが実際の攻撃を生き延ばすと実証したの?」 そのシフト— 検証から証拠— DORA、規制(EU) 2022/2554のデジタル運用レジリエンスの全体ポイントであり、銀行、フィンテックス、保険会社、およびその技術サプライヤーの計画、予算、およびシーケンス、そのセキュリティテスト。

Who DORAは、実際にリーチ

DORAは、規制、指示ではなく、それよりも聞こえる。 ディレクティブは国の法律に翻訳されなければならないので、各メンバーの状態は独自のバージョンを記述し、クロックはどこにも異なる。 規制は、同じ日にユニオン全体で直接適用されます。 隠すためのトランスポジションギャップはありません。

そのスコープは、欧州の金融セクター全体に本質的にカバーします: クレジット機関, 支払いと電子マネー機関, 投資会社, ファンド管理者, 保険会社, 暗号資産サービスプロバイダや市場インフラ. そのエコシステムにどこにいても、DORAは問題です。

その後、第二のリングがあります, ルーチンは、根絶されています: サードパーティのICTサービスプロバイダ. ホスティング会社、クラウドプロバイダー、コアバンキングソフトウェアベンダー、決済プロセッサ、メンテナンス業者。 金融機関が自分でいない場合でも、DORAのブラスト半径の中にいます。

モルドバの企業にとって、実践的なルートは、法律よりも契約的です。 EUの金融機関向けに技術を構築または運営する場合、クライアントは、契約を通じてセキュリティ要件、監査権および試験参加を阻害する法的義務があります。 義務は、ローカルの法律が追いつく前に、署名を通してあなたを達します。

注意: DORAは、ICTリスク管理、インシデントレポート、デジタルレジリエンステスト、サードパーティのICTリスク、脅威インテリジェンス共有の5つの領域をカバーしています。 テストは1つの柱だけであるが、それは少なくとも1つのほとんどのチームが準備されます。

ベースラインテストプログラム

DORAは、重要な機能または重要な機能を支えるすべてのICTシステムに少なくとも毎年適用されるデジタル弾性テストプログラムを要求します。 重要な言葉は「プログラム」です。 一度購入してファイルを取り去るテストは1つではありません。 異なる障害モードのカバレッジを一緒に与える活動のポートフォリオです。

そのポートフォリオには、脆弱性評価、オープンソーススキャン、ネットワークセキュリティ分析、物理的なセキュリティ評価、アンケート、ソースコードレビュー、互換性テスト、パフォーマンステスト、浸透テストが含まれます。 それぞれが異なることがわかります。 脆弱性スキャンでは、パッチが欠落していることがわかります。ペネトレーションテストでは、パッチの欠落が実際に到達可能であり、支払いエンジンへのパスで悪用されているかどうかを説明します。 監査役は、ますますます、それらを接続する推論を望む。

2つの条件は、プログラム全体で切断され、当社の経験では、ほとんどの組織が最初にスタンブルする場所です。

最初は独立性です。 試験は、システム&mdashを組み込んだチームの独立者によって実行されなければなりません。内部または外部が、開発者との利益の競合を解放します。 独自のコードをテストするチームは独立したテストではなく、チェックリストを厳格にテストするチームです。

第二は是正懲戒処分です。 発見は、追跡された是正プロセスを入力する必要があります。, 重要な機能にリスクを優先します。. 200件の検索結果と所有者なしのレポート、期限なし、再テストなしはレジリエンスの証拠ではありません。それはPDF.

TLPTで停止するプロセスの証拠です:実際の脅威によって導かれるテスト

ベースラインの上には、有能な当局に指定された組織の高度なテストが置かれています。リスク基準と体系的な重要性を選択します。 これは TLPT — 脅威主導の貫通テスト — 毎年恒例のペテストのほとんどのチームが知っている別の動物です。

TLPT は、少なくとも 3 年ごとに実行し、欧州の TIBER-EU フレームワークに従い、3 つの基本的な方法で従来の貫通テストからダイバージします。

まず、実際の脅威インテリジェンスで構築されています。 脅威インテリジェンスプロバイダは、実際にあなたのセクターを攻撃しているグループからシナリオを構築します。 — 彼らのツーリング、彼らのトレードクラフト、彼らの好ましい初期アクセスベクター。 あなたは一般的な攻撃者モデルに対してテストされていません。あなたはすでにあなたのような会社の中にいる特定の広告に対して再会しています。

第二に、テスト環境ではなく、生産システムに対して実行します。 組織内の厳格なガバナンスと密接に制限された管理チームを運ぶのはそのためです。 ラボのレプリカは、攻撃者が実際の支払いレールを介して後で移動したときに、あなたの不正検知旅行かどうかを教えてくれません。

3つ目は、ただの攻撃ではなく、防衛を測定します。 青いチームは、運動が起こっているわけではありません。 結果は、彼らが侵入を検出した速度、それらがどのように反応するか、そして信号が存在していたが誰も見ていない場所を含みます。

TLPTの演習は、通常、数か月間実行され、再生フェーズで閉じます。攻撃者と防御者は、数分ずつ一緒にタイムラインを歩き、テレメトリーが現在存在し、未読になった場所を確立します。 練習では、今までの脆弱性リストよりも、より耐久性のある改善を再生します。 穴を見つけることは便利です。 SIEM が 11 日間証拠を持っていたことを発見し、その上で動作する誰も変換されません。

ベースライン対 TLPT: どのような変更

2つの層は交換不可能であり、それらを膨脹することは共通の計画の間違いです。 下表は、スコープ、予算、シーケンシングを決定する違いを設定します。

測定値 重要な関数の検出、応答および弾性

TLPT

未検査のインフラに関する脅威主導のエクササイズは、予測可能で高価なレポートを生成します。攻撃者は、マウンタンパスを介して迅速に重要な機能に到達し、ノイズのほとんど有用な結論が鳴ります。 健康な順序は、通常、緊急事態の逆です。 最初に古典的なテストで明らかなルートを閉じた後、検出と応答を測定します。

実用的な用語では、そのシーケンスはこのようになります。

• 重要な機能と、それらをサポートするICTシステムが導入されます。 これなしで、TLPTスコープは定義できませんし、演習はsprawl.
• 古典的な外部と内部の貫通テストを実行し、再検査のすべての方法を再実行します。 再テストなしでクローズドを見つけることは、あなたが推測している発見です。
• ICTのサードパーティのレジスタを維持し、あなたの契約がテストと監査条項を運ぶことを確認します。 重要な機能が参加しないサプライヤーに依存する場合、それはレジリエンスギャップであり、事務の問題ではありません。
• 実際の検出能力を造ります。 集中監視がない場合、TLPT は単にその不在の &mdash を測定します。かなりのコストで。

その最後のポイントは、私たちが最もよく見られるものです。 チームコミッションは、攻撃者の目の周囲のビューを想定した高度なテストを行い、誰が見ているかの代わりに測定を受けます。 誰もいなかった場合, 演習は、まだ、その仕事を実行してきました — しかし、あなたは、監視ギャップ評価何かを学ぶために高価な方法のために支払ったのは、コストのほんの一部についてあなたに語っただろう.

注意: TLPT はベースラインのテストに代わるものではなく、最初のテストではありません。 それをテストされていない不動産で実行すると、ルーチンの貫通試験が表面化され、それはあなたの組織内の制御チームの傷跡の善意を無駄にします。

サプライヤーの質問は、正直に答えました

テクノロジーベンダーから最も多く聞かれる質問は、DORAがそれらに適用されるかどうかです。 正直な答えは2つの層を持っています。

厳密には、欧州レベルの&mdashで重要なICTサードパーティサービスプロバイダに指定された場合にのみ、小規模で具体的にグループと名付けられます。 間接的に、ほとんど確かにそうです。 あなたが提供する金融機関は、セキュリティ要件、監査およびアクセス権、レジリエンス条項、および重要な機能をサポートするサプライヤー、レジリエンステスト&クライアントのTLPT演習を含む。

つまり、Moldovanソフトウェアハウスやホスティングプロバイダは、ローカルのスタットがそれを説得することなく、ドイツ銀行によって実行されるTIBER-EUのエクササイズをサポートするために、契約的に必要見つけることができます。 レバレッジは商業的です:拒否し、契約は更新しません。

重要: EUの金融機関にとって重要な機能をサポートする場合、テストに参加するよう求められます。 &mdashの用語をネゴティエート; スコープ、通知期間、安全なハーバーとデータ処理— 時間の圧力下でのライブ演習中ではなく。

タイムライン、コスト、シーケンシング用ケース

完全なTLPTの演習は通常3〜6ヶ月の間に実行され、準備、脅威インテリジェンス、テストフェーズ自体を分割し、再生で閉鎖します。 コストは、シナリオの数に依存します。, 周囲のパンスと外部プロバイダの関与, それは古典的な貫通テストの上に著しく座っています.

その価格の差は、なぜ重要なのか正確にです。 TLPTの前に完了する修正の毎時は、デフォルトの資格ではなく、赤いチームが本物的にハードな問題に費やす時間です。 脅威テストから最も多く取得する組織は、開口部の動きではなく、成熟したプログラムのキャプチャとして扱われたものです。

DORAが本当に求めているものについては、ここでより広いポイントがあります。 あなたが到達できない&mdashであることは要求しません。重大な規制当局は達成可能だと信じません。 重要な機能を知っている必要があります。, あなたが現実的な議論に対してそれらをテストしたこと, あなたは何かが通過したときに検出し、応答することができること, そして、あなたは追跡された証拠でそのすべてを証明することができます. コンプライアンスアーファクトとしてテストを扱う企業は、監査を通過し、事件を失敗します。 運用能力として扱う企業は反対をし、DORAが書いた。

Request a scoping call · Penetration testing services

					Baseline プログラム	TLPT
誰	すべてのインスコープの財務体	のみ権限指定のエンティティティ
																											脆弱性と構成
Reference Framework		OWASP、PTES、NIST	TIBER-EU、関係当局