DORA是活的:金融公司现在需要测试什么

自2025年1月17日起,一个欧洲金融主管提出的问题已经改变。 不再是"你有安全控制吗?" 但"你是否证明 你的关键服务在真正的攻击中存活下来了?" 从证明到证据和mdash;这种转变是DORA的全部要点,关于数字操作复原力的第2022/2554号条例(欧盟),它重新塑造了银行、金融技术公司、保险商及其技术供应商如何规划、预算和安排其安全测试的顺序。

谁是DORA实际上达到

DORA, 是一项规定,而不是一项指令,它比听起来更重要。 一项指令必须被移植到国家法律中,因此每个成员国都会写出自己的版本,时钟在各地运行也有所不同. 条例在同一天在全联盟范围内直接全面适用。 没有要隐藏的换位漏洞。

其范围主要涵盖整个欧洲金融部门:信贷机构、支付和电子货币机构、投资公司、基金管理人、保险人、地下资产服务提供商和市场基础设施。 如果你坐在生态系统的任何地方,DORA就是你的问题。

然后是第二个环,即经常被低估的环:第三方信通技术服务供应商。 承办公司,云供应商,核心银行软件供应商,支付处理商,维护承包商. 即使你自己不是金融实体,你也在DORA的爆炸半径之内。

对摩尔多瓦的公司来说,实际途径是合同而不是立法。 如果为欧盟金融实体建立或操作技术,客户有法律义务通过合同规定安全要求、审计权和测试参与情况。 早在任何当地法律赶上之前,这项义务就通过签字送达你。

注:DORA涵盖五个领域和mdash;信通技术风险管理、事件报告、数字复原力测试、第三方信通技术风险和威胁情报共享。 测试只是一个支柱,但它是大多数团队准备最少的支柱。

基线测试方案

DORA需要至少每年适用于所有支持关键或重要功能的信通技术系统的数字复原力测试方案。 重要的词是"方案". 这不是一个测试 你购买一次并存档。 它是一个活动组合,共同为您覆盖不同的故障模式。

该组合包括脆弱性评估、开源扫描、网络安全分析、实体安全评估、调查问卷、源代码审查、兼容性测试、性能测试和渗透测试。 每个都发现了不同的东西。 弱点扫描显示缺少一个补丁; 渗透测试显示缺失的补丁在通往支付引擎的路径上是否真的可以到达和开发. 审计员越来越需要两者,再加上将两者联系起来的理由。 有两个条件贯穿整个方案,而且根据我们的经验,大多数组织首先遇到挫折。 第一是独立。 测试必须由独立于构建系统 & mdash; 内部或外部的团队的各方进行,但与开发者没有利益冲突. 无论检查表有多严格,测试自己的代码的团队都不是独立的测试.

二是整治纪律. 调查结果必须进入跟踪补救过程,并按关键职能的风险排序。 一份载有200项调查结果且无所有者、无期限和无再测试的报告不能证明是否具有复原力;它证明一个进程在PDF停止。

TLPT:由实际威胁主导的测试

在基线之上,对主管当局指定的实体进行高级测试,这些实体是根据风险标准和系统重要性选定的。 这是TLPT & mdash; 威胁引导的渗透测试 & mdash; 它是与大多数团队所知的一年一度的倒数测试不同的动物.

> TLPT至少每三年运行一次,遵循欧洲TIBER-EU框架,并在三个基本方面偏离常规的渗透测试.

首先,它是建立在真正的威胁情报上。 一个威胁情报提供者从那些 正在攻击你所在区域(mdash)的团体 、 他们的工具,他们的交易工具, 他们偏爱的初始访问矢量中 构建出这些情景。 您不是在测试通用攻击者模式; 您正在对一个特定的对手进行排练, 他已经在你的公司里。

第二,它执行的是生产系统,而不是试验环境。 正因为如此,该实体内部实行严格的治理和严格限制的控制小组。 实验室复制品不会告诉你,当攻击者在真正的支付轨道上横向移动时,你是否发现了欺诈行为。

第三,它衡量的是辩护,而不仅仅是犯罪。 蓝队没有被告知演习正在进行。 其结果包括他们探测入侵的速度、反应方式以及信号存在但没人看的地方。

TLPT练习通常持续数月,然后以重播阶段结束:攻击者和捍卫者一起分分钟走时间表,以确定遥测存在的地方,然后不读。 在实践中,这种重播产生了比脆弱性清单更持久的改进。 找到一个洞是有用的;发现你的SIEM有11天的证据,没有人对此采取行动是变革性的。

Baseline 相对于 TLPT:什么变化

两层是不可互换的,而叠加是常见的规划错误. 下表列出了决定范围、预算和顺序的差别。

所有范围金融实体t>d> 每年至少d> t>t>d> 环境d> 以协议d> 活性生产系统 测量到的参考框架OWASP、PTES、NIST 频率栏值得强调。 年度基线测试在范围上对每个人都是强制性的。 TLPT不是 & mdash;它只适用于根据风险、规模和系统重要性选择的指定实体,主要是那些无法使用会威胁金融稳定的机构。 如果没有被指定,则不得免除测试;只能免除高级测试。

在尝试TLPT

前该怎么做。 对未经测试的基础设施进行威胁引导的演习产生了一份可预测和昂贵的报告:攻击者通过平庸的路径迅速达到关键功能,真正有用的结论被噪音淹没。 健康秩序与紧迫感通常相反。 用经典测试先关闭明显的路径, 然后测量检测和响应 。

在实际操作中,该序列看起来像:

• 清点你的关键功能和支持它们的信通技术系统。 否则, TLPT 范围无法定义, 练习会扩大 。
• 开展经典的内外穿透测试,推动整治全程重试. 未经重新测试而结案的发现是您猜测的发现。
• 保存信通技术第三方登记册,并确保您的合同载有测试和审计条款。 如果你的关键功能取决于一个不参与的供应商,那就是复原力差距,而不是文书问题。
• 建设真正的检测能力. 如果您没有集中监控, TLPT 将仅以相当大的成本衡量其缺失 & mdash;

。 最后一点是我们最经常看到的。 各小组委托进行高级测试,以等待攻击者对其周边的视线进行观察,并获得对是否有人观看的测量。 如果没有人参加, 锻炼仍然完成了它的工作 & mdash; 但你付出了昂贵的代价来学习一些 监测漏洞评估会告诉你的一小部分成本。

注意:TLPT不是基线测试的替代品,也不是第一次测试. 在未经测试的庄园里运行它会消耗预算,因为发现例行的渗透测试会浮出水面,它会浪费你们组织内控制小组的微薄诚意。

供应商问题,诚实回答

。 我们从技术供应商那里听到最多的问题是DORA是否适用于他们. 诚实的答案有两层。

直接来说,只有当你被指定为欧洲一级和mdash的关键信通技术第三方服务供应商时,才会被指定为一个小的和具体命名的集团。 间接地,几乎肯定是的。 您所服务的金融实体有义务包括安全要求、审计和访问权、复原力条款,对于支持关键职能的供应商来说,有义务参与复原力测试和mdash;包括客户的TLPT练习。

这意味着摩尔多瓦的软件房或托管商可以发现自己在合同上被要求支持由德国银行经营的TIBER-EU活动,而没有任何地方法规要求这样做。 杠杆是商业的:拒绝,合同不会续约。

重要: 如果您支持欧盟金融实体的关键功能, 假设您将被要求参与测试 。 谈判现在的 & mdash; 范围、 通知期、 安全港和数据处理 & mdash; 而不是在时间压力下的现场演习中。

时间线、费用和排序理由

完整的TLPT演练通常在3至6个月之间进行,在准备,威胁情报,测试阶段本身之间分裂,并以重播结束. 成本取决于设想方案的数量、周边的广度和外部供应商的参与程度,成本大大高于经典的渗透测试。

这种价格差异正是顺序重要的原因。 在TLPT之前你每完成一个小时的补救, 红色团队就花在一个真正困难的问题上, 而不是一个默认的证书。 从威胁带动的测试中获得最多的组织是那些将它视为成熟方案的顶点的组织,而不是开口行动的组织。

关于DORA的真正要求,这里有更广泛的观点。 它不要求您是不可触及的 & mdash; 没有严肃的监管者认为这是可以实现的 。 它要求你知道你的关键功能,你已经测试过他们对抗现实的对手,当有东西经过时,你可以发现并作出反应,用跟踪的证据来证明这一切. 将测试视为一种合规技术的公司将通过审计和失败事件。 将DORA视为一种业务能力的公司将采取相反的做法,它们就是为DORA编写的公司

Request a scoping call · Penetration testing services

Spect	Baseline Program	TLPT
谁	仅限当局指定的实体	脆弱度和配置	关键函数的检测、反应和复原力
TIBER-EU,涉及的权威