Testy penetracyjne a TLPT w DORA - różnice, kogo dotyczą i jak się przygotować

Rozporządzenie DORA wymaga od podmiotów finansowych testowania odporności cyfrowej na dwóch poziomach. Pierwszy dotyczy prawie wszystkich: to program testowania z art. 24-25, w którym mieszczą się skany podatności, przeglądy kodu i testy penetracyjne. Drugi dotyczy nielicznych: to zaawansowane testy TLPT z art. 26-27, prowadzone na systemach produkcyjnych pod nadzorem organu.

Pomylenie tych poziomów kosztuje w obie strony. Firma, która myśli, że „pentest raz w roku” to TLPT, nie przygotuje się do decyzji KNF. Firma, która myśli, że TLPT jej nie dotyczy, więc testów nie potrzebuje, zapomina o obowiązkowym programie z art. 24. Poniżej porównanie, kryteria wskazania do TLPT, schemat testu i lista działań, które warto zrobić niezależnie od decyzji organu.

Testy penetracyjne a TLPT: porównanie

Najkrócej: test penetracyjny sprawdza, jakie podatności ma system. TLPT sprawdza, czy organizacja jako całość - ludzie, procesy i technologia - wytrzyma realistyczny atak na swoje najważniejsze funkcje.

Program testowania z art. 24-25: obowiązek prawie każdego podmiotu

Zanim pojawi się pytanie o TLPT, trzeba mieć podstawę, której DORA wymaga od wszystkich podmiotów finansowych poza mikroprzedsiębiorstwami:

• podmioty finansowe inne niż mikroprzedsiębiorstwa ustanawiają oparty na ryzyku program testowania operacyjnej odporności cyfrowej (art. 24 ust. 1-3).
• testy przeprowadzają niezależne strony wewnętrzne lub zewnętrzne (art. 24 ust. 4).
• co najmniej raz w roku testuje się wszystkie systemy i aplikacje ICT wspierające krytyczne lub istotne funkcje (art. 24 ust. 6).
• wykryte problemy są klasyfikowane i usuwane według ustalonych procedur (art. 24 ust. 5).

Mikroprzedsiębiorstwa też testują, tylko w prostszy sposób. Mikroprzedsiębiorstwa przeprowadzają testy z art. 25 ust. 1, łącząc podejście oparte na analizie ryzyka ze strategicznym planowaniem testowania i równoważąc nakład zasobów i czasu z pilnością, rodzajem ryzyka i krytycznością zasobów oraz usług (art. 25 ust. 3).

Art. 25 podaje otwartą listę testów, z których składa się program: oceny podatności i skanowanie pod tym kątem, analizy otwartych źródeł informacji, oceny bezpieczeństwa sieci, analizy luk, kontrole bezpieczeństwa fizycznego, kwestionariusze i rozwiązania w zakresie oprogramowania skanującego, przeglądy kodu źródłowego, gdy jest to wykonalne, testy scenariuszowe, testy kompatybilności, testy wydajności, testy kompleksowe i testy penetracyjne (art. 25 ust. 1). Testy penetracyjne są na niej jednym z elementów - obok skanów, przeglądów kodu i testów scenariuszowych. Różnice między tymi narzędziami opisujemy w artykule skan podatności a pentest i audyt.

Rozporządzenie delegowane do DORA dokłada konkretne minima: zautomatyzowane skanowanie podatności zasobów ICT wspierających krytyczne lub istotne funkcje co najmniej raz w tygodniu (art. 10 ust. 2 rozporządzenia delegowanego (UE) 2024/1774). Procedura rozwoju systemów obejmuje przeglądy kodu źródłowego z testami statycznymi i dynamicznymi, w tym testy bezpieczeństwa aplikacji internetowych (art. 16 ust. 3 rozporządzenia delegowanego (UE) 2024/1774).

TLPT: kogo dotyczy

Wskazane podmioty przeprowadzają TLPT nierzadziej niż co trzy lata; organ może zmienić tę częstotliwość (art. 26 ust. 1). O tym, kto musi przeprowadzić TLPT, decyduje organ. KNF w drodze decyzji wskazuje podmioty obowiązane do TLPT, zatwierdza testerów wewnętrznych i wydaje poświadczenie testu (art. 18zk ustawy o nadzorze nad rynkiem finansowym).

Organ bierze pod uwagę trzy kryteria (art. 26 ust. 8 akapit trzeci):

• wpływ usług i działalności podmiotu na sektor finansowy
• ewentualne obawy dotyczące stabilności finansowej, w tym systemowy charakter podmiotu
• specyficzny profil ryzyka ICT i poziom zaawansowania technologicznego

Rozporządzenie delegowane wskazuje grupy, od których organ wymaga TLPT, chyba że ocena pokaże, że nie jest to uzasadnione (art. 2 ust. 2 rozporządzenia delegowanego (UE) 2025/1190):

• banki o znaczeniu systemowym (G-SII, O-SII) i należące do ich grup
• instytucje płatnicze i instytucje pieniądza elektronicznego powyżej progów wartości transakcji lub pieniądza w obiegu
• centralne depozyty papierów wartościowych i kontrahenci centralni
• systemy obrotu spełniające kryteria udziału w rynku
• największe zakłady ubezpieczeń i reasekuracji (progi składki i rezerw)

Obowiązek TLPT nie dotyczy mikroprzedsiębiorstw ani podmiotów stosujących uproszczone ramy z art. 16 (art. 26 ust. 1).

Jeśli Twoja organizacja jest blisko progów z tej listy albo ma istotne znaczenie dla rynku, warto założyć, że decyzja może przyjść, i planować przygotowania z wyprzedzeniem - sam test i etapy wokół niego trwają wiele miesięcy.

Jak przebiega TLPT: schemat faz

Rozporządzenie delegowane (UE) 2025/1190 dzieli test na pięć etapów. Przebieg nadzoruje organ, a na końcu wydaje poświadczenie, które umożliwia wzajemne uznawanie testu.

1. 01

   Przygotowanie

   Powiadomienie przez organ, powołanie zespołu control team, dokument zakresu zatwierdzany przez organ zarządzający, wybór dostawców.

2. 02

   Analiza zagrożeń

   Zewnętrzny dostawca analizy zagrożeń przygotowuje co najmniej 3 scenariusze ataku dopasowane do podmiotu.

3. 03

   Testy red team

   Aktywna faza ataku na systemy produkcyjne trwa co najmniej 12 tygodni, z cotygodniowymi raportami postępu dla control team.

4. 04

   Zamknięcie

   Raport red team w ciągu 4 tygodni, raport blue team, odtworzenie ataku (replay) i warsztat purple team.

5. 05

   Naprawa i poświadczenie

   Sprawozdanie podsumowujące i plan naprawczy dla organu, a następnie poświadczenie przeprowadzenia testu.

Szczegółowe terminy poszczególnych etapów, role w teście i wymagania wobec testerów opisujemy na stronie testy TLPT w DORA.

Red team a pentest: inna metoda, inne pytanie

TLPT opiera się na red teamingu, a ten różni się od klasycznego testu penetracyjnego bardziej, niż sugeruje podobna nazwa:

• Cel. Pentest ma znaleźć jak najwięcej podatności w uzgodnionym zakresie. Red team ma osiągnąć konkretny cel - np. dostęp do systemu płatności - drogą, którą wybrałby realny przeciwnik.
• Jawność. Pentest odbywa się zwykle za wiedzą administratorów. W red teamingu o teście wie tylko zespół kontrolny, a obrońcy reagują tak, jak na prawdziwy incydent.
• Zakres. Pentest obejmuje wskazane systemy. Red team może wykorzystać każdą drogę w zatwierdzonych scenariuszach - także ludzi, procesy i dostawców.
• Wynik. Pentest daje listę podatności z dowodami. Red teaming pokazuje także, czy atak został wykryty, jak szybko i czy reakcja zadziałała - a po teście obie strony analizują go wspólnie (purple teaming).

Oba podejścia się uzupełniają. Red team, który w pierwszym tygodniu wchodzi przez znaną, niezałataną podatność, marnuje czas testu na coś, co znalazłby zwykły pentest albo skaner.

Metodyka TLPT wywodzi się z europejskich ram TIBER-EU dla testów red team w sektorze finansowym.

Jak przygotować się do TLPT - zanim przyjdzie decyzja

Te działania mają sens niezależnie od tego, czy KNF wskaże Twoją organizację do TLPT, bo wynikają z obowiązków, które już obowiązują:

1. Dojrzały program z art. 24-25. Regularne skany, testy penetracyjne systemów wspierających krytyczne lub istotne funkcje i retest poprawek. Znane podatności usuń przed testem, a nie w jego trakcie.
2. Inwentaryzacja krytycznych lub istotnych funkcji i systemów, które je wspierają, razem z zależnościami od dostawców usług ICT.
3. Wykrywanie i reagowanie. TLPT sprawdza obronę - monitorowanie, eskalację i obsługę incydentów warto przećwiczyć wcześniej na scenariuszach.
4. Dostawcy ICT. Gdy zakres obejmuje zewnętrznych dostawców usług ICT, podmiot zapewnia ich udział i pozostaje w pełni odpowiedzialny; możliwe jest testowanie zbiorcze (art. 26 ust. 3-4). W umowach na usługi wspierające krytyczne lub istotne funkcje DORA wymaga postanowienia o udziale dostawcy w TLPT (art. 30 ust. 3).
5. Zespół kontrolny i decyzje zarządu. Ktoś musi prowadzić test po stronie organizacji, chronić jego poufność i podejmować decyzje o przerwaniu działań, jeśli zagrożą produkcji.
6. Wybór testerów i dostawcy analizy zagrożeń według art. 27 - wymagania wymieniamy niżej.

Wymagania wobec testerów TLPT: jak czytać oferty

Podmiot finansowy korzysta wyłącznie z testerów, którzy (art. 27 ust. 1):

1. są najbardziej odpowiedni do tego zadania i cieszą się największą renomą
2. mają zdolności techniczne i organizacyjne oraz szczególną wiedzę w zakresie analizy zagrożeń, testów penetracyjnych i red teamingu
3. mają certyfikat wydany przez jednostkę akredytującą w państwie członkowskim albo przestrzegają formalnych kodeksów postępowania lub ram etycznych
4. przedstawiają niezależne zapewnienie lub sprawozdanie z audytu dotyczące zarządzania ryzykiem TLPT, w tym ochrony poufnych informacji
5. są w pełni objęci ubezpieczeniem od odpowiedzialności cywilnej z tytułu wykonywania zawodu

Przy ocenie ofert sprawdź, czy dostawca udokumentował każdy z tych punktów: certyfikaty lub kodeksy postępowania, niezależne zapewnienie dotyczące zarządzania ryzykiem testu i ochrony poufnych informacji, polisę OC oraz doświadczenie zespołu i referencje wymagane przez rozporządzenie delegowane. Podmiot, który korzysta z testerów wewnętrznych, co trzeci test zleca testerom zewnętrznym. Banki istotne nadzorowane przez EBC korzystają wyłącznie z testerów zewnętrznych (art. 26 ust. 8 akapit pierwszy i drugi).

Jak możemy pomóc

Nie występujemy jako tester TLPT - w samym teście nie zastępujemy zespołu red team ani dostawcy analizy zagrożeń. Pomagamy w tym, co dzieje się przed testem i po nim: wykonujemy testy penetracyjne i przeglądy kodu w ramach programu z art. 24-25, oceniamy program testowania i gotowość do TLPT, oceniamy oferty testerów i dostawców analizy zagrożeń pod kątem art. 27, a po teście sprawdzamy naprawy z planu naprawczego testami potwierdzającymi.

Zakres usług dla podmiotów objętych DORA opisujemy na stronie DORA: testy odporności i ryzyko ICT.