TLPT по DORA в България: кой го дължи, колко струва, и как се различава от обикновен пентест

• Размер: общи активи над определен праг (за България индикативно над 511 291 881,20-766 937 821,79 евро), брой клиенти, дневен обем плащания
• Системно значение: участие в национални и трансгранични плащателни системи (TARGET2, BISERA6, RINGS), категория Other Systemically Important Institution (O-SII) на БНБ
• Взаимосвързаност: брой междубанкови експозиции, обем кореспондентски отношения, концентрация на ликвидността
• Сложност: трансгранична дейност, участие в групи на ЕС банки, брой и сложност на ИКТ системите
• Заменимост: дали финансовите услуги могат лесно да се заменят от друг доставчик в случай на нарушаване

Разлика 1: Базиран на конкретно threat intelligence за конкретната компания.

Обикновен пентест използва стандартни вектори и общи threat actor profile-и. TLPT задължително започва с Threat Intelligence Report, изготвен от отделен външен доставчик (TI provider), който документира конкретните threat actor-и, които биха таргетирали тази конкретна компания, техните TTP-та (Tactics, Techniques, Procedures), и предложени сценарии за тестване. TI Report се одобрява от регулатора преди да бъде предаден на Red Team-а. Този артефакт сам по себе си струва 17 895,22 до 40 903,35 евро и отнема 6-8 седмици.

Разлика 2: Срещу производствена среда, не staging.

Обикновен пентест често се прави срещу staging или dev среда, защото никой не иска риск за production. TLPT задължително се провежда срещу production среда с реални клиентски данни и реални транзакции, защото целта е да се измери реалната устойчивост, не теоретичната. Това изисква много по-строго управление на риска (rollback процедури, real-time monitoring, immediate kill-switch), но е същината на TLPT.

Има средно положение между един ръчен тест годишно и нищо. Pentestas автоматизира изчерпателната част, тази, в която човек се уморява, и връща доказателство за експлоатация заедно със стъпките за отстраняване.

Разлика 3: Blue Team не знае, че тестът се провежда.

Обикновен пентест обикновено е координиран с SOC екипа. TLPT по дефиниция е „covert“ - SOC, IT operations, fraud team и всички blue team функции не знаят, че се провежда тест. В компанията само White Team (3-7 души, обикновено CISO, CRO, COO, юрисконсулт, и максимум 2 технически контакта) знае за теста. Целта е да се измери реакцията при реална атака, а не подготвена ситуация. Информационното разделение се поддържа с компартментализирана комуникация, отделни канали и формална NDA за White Team членовете.

Разлика 4: Регулаторът участва в процеса от ден първи.

Обикновен пентест е изцяло между компанията и доставчика. TLPT включва TIBER Cyber Team (TCT) към БНБ или КФН като активен участник: одобрява scope, преглежда TI Report преди да бъде ползван, одобрява rules of engagement, получава междинни updates, и финално одобрява Red Team Test Report. Без одобрение на регулатора нито една фаза не може да продължи. Това добавя 4-6 седмици в общия график, но и дава регулаторна валидност на резултата. Red team фазата е мястото, където повечето тестове по DORA се провалят, затова тест с водене от заплахи за DORA съществува като отделна услуга, а не като ред в оферта за пентест.

Разлика 5: Различни доставчици за TI и Red Team, и двата сертифицирани.

DORA изисква, че TI провайдърът и Red Team провайдърът трябва да са различни юридически лица (за да се избегне конфликт на интереси) и че и двата трябва да отговарят на критерии за компетентност, които включват натрупан опит с финансови субекти, сертификации на ключовия персонал (OSCP, CRTO, CREST или еквивалент), и наличие на застраховка професионална отговорност с подходящ таван. Списък на одобрени доставчици за България не е публичен, но БНБ и КФН могат при поискване да насочат към приемливи такива.

Скрит разход, който често се пропуска:

След завършване на TLPT компанията получава Test Report с findings, които трябва да се ремедират в определени срокове. Реалният разход за ремедиация при типичен първи TLPT е 102 258,38 до 409 033,50 евро (нови контроли, кампании за патчване, преконфигурация, обучение). Този разход НЕ е част от TLPT бюджета, но е почти задължителен резултат от него. Планирайте го предварително.

Грешка 1: Третиране на TLPT като „по-голям пентест“

Компании, които вече имат вътрешен или външен пентест екип, често започват с предположение, че могат да адаптират съществуващия процес. Не могат. TLPT е друг формат, други доставчици, друга методология, друго одобрение. Опит за reskinning на пентест документация в TLPT обикновено води до отказ на TCT и забавяне с 3-4 месеца. Когато това се води като програма, а не еднократно, DORA модулът на Venvera държи регистъра на информацията, сроковете за докладване и доказателствата от тестването на едно място.

Грешка 2: Информационно изтичане към Blue Team

Невнимателно споменаване на TLPT в управленски срещи, презентации пред УС с прекалено широка публика, или включване на SOC ръководителя в White Team. Когато Blue Team усети, че се провежда тест, реакциите се изкривяват и резултатите от теста губят валидност. Една нарушена компартментализация може да обезсили теста и да наложи преструктуриране, което струва 25 564,59-51 129,19 евро отгоре.

Грешка 3: Подценяване на ремедиационния бюджет

Компании планират бюджет за провеждане на TLPT, но не и за ремедиация на findings. Резултатът: 6 месеца след доклада, ремедиацията е блокирана от финансиране. Регулаторът очаква remediation plan в 60-дневен срок и реално завършване в 12-18 месеца. Закъснението е следено и може да доведе до санкции. Планирайте ремедиационния бюджет в момента на стартиране на TLPT, не след доклада.

Грешка 4: Слаб одиторски контрол

Независимият одит на TIBER-EU съответствието е задължителен. Някои компании избират най-евтиния одитор, без внимание към опит с TIBER. Когато одиторският Attestation е плитък, TCT отказва финалното затваряне на теста и поисква доодит. Изберете одитор с TIBER практика, дори ако струва 2 556,46-5 112,92 евро повече. Спестяването е често 15 338,76-25 564,59 евро

Грешка 5: Пропускане на purple team фаза

TIBER-EU препоръчва (не задължава) провеждане на purple team workshops в края на теста, в които Red Team и Blue Team споделят TTPs и съвместно работят за подобряване на детекциите. Това е едно от най-стойностните усвоявания на TLPT, защото превръща теста от „тест за изпит“ в „учебен опит“. Компании, които пропускат purple team фазата, харчат същите пари за TLPT, но получават значително по-малко стойност.

Може ли вътрешният Red Team на компанията да изпълни TLPT?

Не. DORA чл. 27 ал. 1 буква в) изрично изисква, че TLPT се извършва от външен доставчик. Вътрешен Red Team може да участва в подготовката, в координацията, в покритието на gaps, но не може да изпълнява теста. Това е принципно решение на регулатора - целта е независимост, която не може да бъде доказана с вътрешен екип. Освен това DORA изисква, че Red Team провайдърът е различен от TI провайдъра, което вътрешен екип не може да удовлетвори.

Какво е разликата между TIBER-EU и TLPT по DORA?

TIBER-EU е доброволна методология, публикувана от ЕЦБ в 2018 г. Финансовите субекти можеха да изпълнят TIBER, но не бяха задължени. TLPT по DORA е законово задължение за подгрупа от субекти с тригодишен цикъл. Методологически TLPT по DORA използва TIBER-EU като база, със същата структура и фази, но с по-формализирано взаимодействие с регулатора, по-строги изисквания за доставчиците, и задължителни артефакти за отчетност. На практика, TIBER-EU съответен тест почти изцяло удовлетворява TLPT по DORA с минимални корекции.

Какво се случва, ако Red Team-ът „хакне“ компанията - публично разкриване?

Не. Всички резултати от TLPT са поверителни и не са публични. Test Report се предава на White Team, на TCT (към регулатора), и на одитора. Публикуват се само агрегирани данни (например ЕЦБ обобщава колко TLPT-та са проведени в годината, какви типове атаки са симулирани, общи теми на findings), но никога с името на конкретна компания. Това е важен принцип - целта е подобряване на устойчивостта, не публично опозоряване.

Какво се случва, ако компанията откаже да направи TLPT или не успее в срока?

DORA предвижда административни санкции от компетентния орган за неизпълнение на изискванията. За кредитна институция размерът на глобата може да достигне 1 на сто от годишния оборот (за големи групи това са десетки милиони евро). За индивидуални отговорни лица в управлението санкциите могат да достигнат 1 млн. евро. Регулаторът има право и да отнеме лиценз в крайни случаи на системно неизпълнение. На практика, БНБ и КФН действат първо чрез писмени препоръки и удължаване на срокове, преди да приложат санкции, но в крайна сметка изпълнението е задължително.

Когато TLPT „провали“ компанията, какво следва?

TLPT няма формална оценка „провал/успех“. Той генерира findings с тежест. Компанията е длъжна да представи remediation plan в 60-дневен срок и да отчете напредък на тримесечни интервали. Ако findings са свързани с критични системи и не се ремедират в разумен срок, регулаторът може да изисква повтаряне на части от теста или допълнителни мерки. В практиката никой не „проваля“ TLPT - всеки тест намира findings, важното е как и колко бързо се поправят.

Може ли да се ползва един и същи TLPT за DORA и за други регулатори (например ЕЦБ TIBER-EU)?

Да, и това е разумна стратегия за групи с дъщерни дружества в различни юрисдикции. Един правилно проведен TLPT по TIBER-EU методология обикновено удовлетворява и DORA, и съответните национални TIBER програми. Това изисква предварителна координация между компетентните органи (например БНБ + ЕЦБ + Bundesbank), което се прави с формално искане в началото на процеса. За българска банка, която е дъщерно дружество на eвропейска група, обикновено си струва да се координира с груповия TLPT процес.