DORA in penetracijsko testiranje na podlagi groženj: kako preveriti izvajalca TLPT

Pred naročilom penetracijskega testiranja na podlagi groženj (angl. threat-led penetration testing, TLPT) ugotovite, ali ga mora vaš finančni subjekt izvesti po uredbi DORA. Potreba po preverjanju zaznavanja in odzivanja lahko upraviči prostovoljno simulacijo napadalca, vendar sama po sebi ne pomeni zakonske obveznosti izvedbe TLPT. Pri subjektih, za katere je TLPT obvezen, običajni penetracijski preizkus te obveznosti ne izpolni. TLPT dopolnjuje širši program testiranja digitalne operativne odpornosti. DORA, členi 24–26

DORA določa okvir operativne odpornosti za finančni sektor EU in se uporablja od 17. januarja 2025. Delegirana uredba Komisije (EU) 2025/1190, objavljena 18. junija 2025, določa podrobne regulativne tehnične standarde za TLPT, v nadaljevanju RTS. Pri izbiri izvajalca je zato treba preveriti, ali predlagano osebje, pogodbena razmerja in način izvedbe izpolnjujejo veljavne zahteve. Evropska komisija: kibernetska odpornost, DORA, člen 64, RTS za TLPT

Ugotovite obveznost izvedbe in določite obseg

Običajni penetracijski preizkus preverja tehnične in konfiguracijske pomanjkljivosti, pogosto v posameznem sistemu ali okolju. Preizkus z rdečo skupino na podlagi obveščevalnih podatkov preverja scenarij ciljnega napada, ki vključuje ljudi, procese in tehnologije. Vrsto preverjanja izberite glede na potrebna dokazila, ob tem pa ločeno ugotovite, ali je treba izvesti predpisani postopek TLPT. RTS za TLPT, uvodna izjava 12

Pristojni organ na podlagi veljavnih meril določi subjekte, ki morajo izvesti TLPT. Zanje DORA praviloma zahteva izvedbo najmanj enkrat na tri leta. Pristojni organ lahko pogostost prilagodi profilu tveganj in operativnim okoliščinam subjekta. Poimenovanje storitve v ponudbi ne določa obveznosti izvedbe. DORA, člen 26

Vsak TLPT mora zajeti več ali vse kritične ali pomembne funkcije in potekati na produkcijskih sistemih, ki jih podpirajo. Subjekt mora opredeliti ustrezne podporne sisteme IKT, procese, tehnologije in podporo zunanjih izvajalcev. Dokument o obsegu mora obrazložiti vključitev ali izključitev funkcij, opredeliti podporne sisteme in ustrezne tretje osebe ter določiti cilje preizkusa na visoki ravni, imenovane zastavice. Dokument mora odobriti upravljalni organ, odobriti pa ga mora tudi organ za TLPT. Obseg, priložen ponudbi izvajalca, teh odobritev ne nadomesti. DORA, člen 26(2)–(3), RTS za TLPT, člen 9 in Priloga II

Določite odgovornosti in zagotovite tajnost

Kontrolna skupina vodi preizkus. Sestavljajo jo zaposleni finančnega subjekta, glede na obseg pa tudi osebje njegovih ponudnikov storitev in drugih sodelujočih. Vodja kontrolne skupine mora biti zaposlen pri finančnem subjektu in je odgovoren za vsakodnevno vodenje ter odločitve in dejanja skupine. Rdečo skupino sestavljajo preizkuševalci, ki simulirajo napade. Modro skupino sestavljajo osebe, ki skrbijo za obrambo subjekta, vključno z ustreznim osebjem ponudnikov storitev. Organ za TLPT imenuje vodje preizkusa, ki spremljajo izvedbo. RTS za TLPT, členi 1, 3–4 in 9

Pripravo obsega usklajujte prek kontrolne skupine. Dostop do informacij o načrtovanem ali tekočem TLPT je po načelu potrebe po seznanitvi omejen na kontrolno skupino, upravljalni organ, preizkuševalce, ponudnika obveščevalnih podatkov o grožnjah in organ za TLPT. Pred vključitvijo katerega koli člana modre skupine se mora kontrolna skupina posvetovati z vodji preizkusa. Varnostno-operativnega centra (SOC), centra za upravljanje omrežja (NOC) ali vodje varnostnega nadzora ne obveščajte samodejno. Seznanjanje osebja, ki skrbi za obrambo, mora potekati skladno z odobrenimi postopki za TLPT. RTS za TLPT, člen 4

Subjekt ostaja odgovoren za skladnost, tudi za ureditev sodelovanja zunanjih ponudnikov storitev IKT. Njegova kontrolna skupina preveri izvajalce, pripravi obseg, upravlja tveganja preizkusa in usklajuje predložitev dokumentacije. Zunanji ponudnik obveščevalnih podatkov o grožnjah pripravi ciljno usmerjene obveščevalne podatke in predloge scenarijev; preizkuševalci pripravijo in izvedejo načrt rdeče skupine. Modra skupina pozneje dokumentira obrambne dejavnosti in sodeluje pri skupnem učenju. Organ za TLPT spremlja postopek in izda predpisane odobritve. Izbira izvajalca teh odgovornosti ne prenese nanj. DORA, člen 26, RTS za TLPT, členi 3–5 in 9–12

Preverite imenovano ekipo in obveznosti izvajalca

Tabela povzema predpisane zahteve in priporoča dokazila, ki jih je smiselno zahtevati pri izbiri izvajalca. Zahteve za dokazila so praktični načini preverjanja, ne izčrpen seznam zakonsko zahtevane dokumentacije. Končno dokumentacijo za naročilo uskladite s celotnimi veljavnimi določbami in zahtevami pristojnega organa.

Zahteve glede sestave ekipe so le del presoje. Osebje za obveščevalne podatke o grožnjah potrebuje tudi znanje o njihovem zbiranju, geopolitiki, tehnologiji in sektorju ter komunikacijske sposobnosti. Zunanji preizkuševalci potrebujejo sposobnosti, ki med drugim zajemajo izvidovanje, upravljanje tveganj, razvoj postopkov in orodij za izrabo ranljivosti, fizične vdore, socialni inženiring, analizo ranljivosti in poznavanje poslovanja subjekta. RTS za TLPT, člen 7(1)(e)–(f)

Neodvisnost preverite pri osebju in ponudniku

Pred izbiro zunanjih izvajalcev opravite tri ločena preverjanja:

1. Sočasno delo dodeljenega osebja za obveščevalne podatke. Po členu 7(1)(e)(iv) osebje, dodeljeno pripravi obveščevalnih podatkov o grožnjah za TLPT, ne sme sočasno opravljati nalog modre skupine ali drugih storitev, ki bi lahko povzročile nasprotje interesov v zvezi s finančnim subjektom, zunanjim ponudnikom storitev IKT ali ponudnikom storitev IKT znotraj skupine, ki sodeluje pri tem TLPT.
2. Zaposlitvena in storitvena razmerja zunanje rdeče skupine. Po členu 7(1)(f)(iv) dodeljena zunanja rdeča skupina ne sme biti zaposlena pri ponudniku obveščevalnih podatkov o grožnjah niti zanj opravljati storitev, če ta ponudnik sočasno opravlja naloge modre skupine za finančni subjekt, zunanjega ponudnika storitev IKT ali ponudnika storitev IKT znotraj skupine, ki sodeluje pri TLPT. Preverjanje zajema razmerje s tem ponudnikom in njegove sočasne obrambne storitve.
3. Ločitev osebja pri skupnem ponudniku. Po členu 7(1)(e)(v) in (f)(v) mora biti dodeljeno osebje za obveščevalne podatke ločeno od osebja za zunanje testiranje. Osebje za obveščevalne podatke ne sme poročati osebju, ki zagotavlja zunanje preizkuševalce za isti TLPT. Ta zahteva velja skupaj s prvima dvema omejitvama. RTS za TLPT, člen 7(1)(e)–(f)

Denimo, da ponudnik zagotavlja obveščevalne podatke o grožnjah in zunanje preizkuševalce, hkrati pa upravlja SOC sodelujočega finančnega subjekta. Če je zunanja rdeča skupina zaposlena pri tem ponudniku, za razmerje velja omejitev iz člena 7(1)(f)(iv). Razporeditev osebja za obveščevalne podatke, testiranje in SOC v ločene oddelke sama po sebi ne zadosti tej določbi. Morebitna izjemna ureditev mora slediti spodaj opisanemu postopku. Primer prikazuje uporabo določbe pri hipotetični organizaciji ponudnika. RTS za TLPT, člen 7(1)(f)(iv) in 7(2)

Pregled ne sme zajeti le pogodb za SOC. Naloge modre skupine vključujejo tudi storitve infrastrukture IKT, uporabniško podporo in operativno obravnavo incidentov. Kadar so te storitve pomembne za finančni subjekt, sodelujočega ponudnika IKT ali ponudnika znotraj skupine, jih vključite v pregled razmerij. RTS za TLPT, člen 1(4)

Pri izbiri zahtevajte pregled razmerij, ki za vsako dodeljeno osebo opredeli delodajalca, zadevne pravne osebe, razmerja pri izvajanju storitev in podizvajanju, sočasne obrambne naloge in naloge z možnostjo nasprotja interesov, njihove prejemnike in datume ter razmerja poročanja. Pregled naj zajema sodelujoče finančne subjekte ter zunanje ponudnike storitev IKT in ponudnike znotraj skupine. Podprt naj bo z izjavami o nasprotjih interesov ter ustreznimi izvlečki pogodb ali enakovrednimi preverljivimi dokazili. Priporočamo pogodbeno obveznost obveščanja o spremembah, da lahko kontrolna skupina ponovno presodi ustreznost ureditve.

Kontrolna skupina mora hraniti dokazila o skladnosti, dokumentirati svojo presojo in dokazila predložiti vodjem preizkusa pred sklenitvijo pogodbe z izbranimi zunanjimi izvajalci. Člen 7(2) izjemoma dopušča ureditev, pri kateri ena ali več zahtev iz člena 7(1)(a)–(f) ni izpolnjena, če subjekt sprejme in evidentira ustrezne ukrepe za omejitev nastalih tveganj. To možnost presoja organ za TLPT po členu 9(11). Kontrolna skupina ne sme skleniti pogodbe z izvajalci, če organ oceni, da veljavne zahteve ali pogoji za izjemo niso izpolnjeni. Izjava o nasprotju interesov ali ločitev osebja sama po sebi ne izkazuje izpolnjevanja pogojev za izjemo. RTS za TLPT, člena 7(2) in 9(11)

Ugotovite, ali lahko uporabite notranje preizkuševalce

Kreditne institucije, razvrščene kot pomembne po členu 6(4) Uredbe (EU) št. 1024/2013, morajo uporabiti zunanje preizkuševalce. Drugi upravičeni subjekti, ki uporabljajo notranje preizkuševalce, morajo za vsak tretji preizkus najeti zunanje preizkuševalce. Notranje testiranje zahteva odobritev pristojnega organa, zadostne namenske vire, preprečevanje nasprotij interesov in zunanjega ponudnika obveščevalnih podatkov o grožnjah. DORA, člena 26(8) in 27(2)

RTS zahteva tudi dokumentirano in redno pregledovano politiko za notranje preizkuševalce, ki zajema ustreznost, usposobljenost, nasprotja interesov, odgovornosti vodstva in usposabljanje. Notranjo ekipo morajo sestavljati vodja in najmanj dva dodatna člana, vsi zaposleni pri subjektu ali ponudniku storitev IKT znotraj skupine zadnjih 12 mesecev. Subjekt mora zagotoviti zadostne vire in ohraniti svoje obrambne sposobnosti ter sposobnosti zagotavljanja odpornosti. Preizkuševalci, zaposleni pri ponudniku storitev IKT znotraj skupine, štejejo za notranje preizkuševalce. RTS za TLPT, člen 15

Jasno določite odobritve in omejitve testiranja

Po prejemu obvestila organa za TLPT o začetku preizkusa ima subjekt tri mesece za predložitev začetnih informacij vodjem preizkusa in šest mesecev za predložitev dokumenta o obsegu. Organ za TLPT potrdi začetne informacije in sestavo kontrolne skupine. Izbira izvajalcev mora biti zaključena pred začetkom faze testiranja. RTS za TLPT, člen 9

Po odobritvi obsega ponudnik obveščevalnih podatkov o grožnjah pripravi ciljno usmerjene obveščevalne podatke in predloge scenarijev. Vodja kontrolne skupine izbere najmanj tri scenarije na podlagi priporočil ponudnika, prispevka vodij preizkusa, presoje izvedljivosti pri preizkuševalcih in značilnosti subjekta. Največ en scenarij lahko uporabi izjemo iz člena 10(4), ki dopušča v prihodnost usmerjen scenarij brez podlage v ugotovljenih grožnjah. Organ za TLPT odobri ciljno obveščevalno poročilo; kontrolna skupina in organ za TLPT nato pred začetkom aktivnega testiranja odobrita načrt rdeče skupine. RTS za TLPT, člena 10–11

Kontrolna skupina mora oceniti tveganja za produkcijsko okolje, vključno z eskalacijo incidentov, posledicami za tretje osebe, napadalnimi in obrambnimi dejanji ter nepopolno obnovitvijo stanja. Pred testiranjem se mora o oceni tveganj in ukrepih posvetovati z vodji preizkusa. Izvajalci morajo upoštevati zahteve za obnovitev in prepovedi iz člena 7, vključno s prepovedjo nenadzorovanih sprememb, namernega ogrožanja neprekinjenega izvajanja kritičnih ali pomembnih funkcij ter nepooblaščene vključitve sistemov zunaj obsega. Omejitve testiranja določajo odobreni obseg, načrt in ukrepi za obvladovanje tveganj; TLPT ne dovoljuje neomejenih posegov. RTS za TLPT, členi 5, 7 in 9(10)

Pri naročilu zahtevajte imenovane kontakte za nujne primere, zaščitene komunikacijske poti, merljive pogoje za prekinitev in dokumentirano preverjanje obnovitve. Predlagani pogoji za prekinitev vključujejo verjetno tveganje poškodovanja podatkov ali poslabšanje storitve nad dogovorjeno mejo. Vodja kontrolne skupine lahko testiranje začasno ustavi v izjemnih okoliščinah tveganja, določenih v členu 11(10). Spremembe odobrenega načrta rdeče skupine morajo odobriti vodja kontrolne skupine in vodje preizkusa. RTS za TLPT, člen 11(6) in (10)

Sodelovanje rdeče in modre skupine (angl. purple teaming) združuje preizkuševalce in osebje, ki skrbi za obrambo, pri preverjanju napadalnih in obrambnih tehnik. Med aktivnim testiranjem je omejeno sodelovanje izjemen ukrep v skrajni sili, ki zahteva predhodno potrditev organa za TLPT po členu 11(10). Sodelovalna vaja, zahtevana ob zaključku, ima ločen namen skupnega učenja. RTS za TLPT, člena 11–12

Pogodbeno uredite varno ravnanje z rezultati

Pogodbe z zunanjimi preizkuševalci morajo določati varno ravnanje z rezultati TLPT in njihovo obdelavo. Zahtevajte pregledna pogodbena določila in postopke za nastanek, hrambo, združevanje, pripravo osnutkov in poročil, posredovanje ter uničenje rezultatov. Kot dokazila določite pravice dostopa, dovoljene lokacije in roke hrambe, nato pa preverite, ali ureditev preprečuje tveganja za finančni subjekt. To je obveznost pri naročanju, ne administrativni korak po preizkusu. DORA, člen 27(3)

V naročilo vključite zaključna dokazila in podporo pri predložitvi dokumentacije

Po koncu aktivnega testiranja vodja kontrolne skupine obvesti modro skupino, da je bil izveden TLPT. Preizkuševalci morajo poročilo rdeče skupine predložiti kontrolni skupini v štirih tednih. Kontrolna skupina ga brez nepotrebnega odlašanja posreduje modri skupini in vodjem preizkusa. Modra skupina predloži svoje poročilo kontrolni skupini najpozneje deset tednov po koncu aktivnega testiranja; kontrolna skupina ga nato brez nepotrebnega odlašanja posreduje preizkuševalcem in vodjem preizkusa. RTS za TLPT, člen 12(1)–(4)

V desetih tednih po koncu aktivnega testiranja morajo preizkuševalci in modra skupina opraviti ponovitev poteka (angl. replay): skupno rekonstrukcijo napadalnih in obrambnih dejanj, izvedenih med preizkusom. Kontrolna skupina mora izvesti tudi sodelovalno vajo rdeče in modre skupine na skupaj izbranih področjih. Po ponovitvi poteka in sodelovalni vaji si udeleženci izmenjajo povratne informacije. RTS za TLPT, člen 12(5)–(6)

Poročilo rdeče skupine navaja uspešne in neuspešne napadalne poti, dosežene in nedosežene zastavice, odstopanja, zagotovljeno pomoč, ugotovitve ter priporočila za odpravo. Poročilo modre skupine povezuje napadalne korake z zaznanimi dejanji in ustreznimi dnevniki, presoja ugotovitve ter navaja obrambna dokazila, vzroke in pridobljena spoznanja. Skupaj ti dokumenti podpirajo presojo učinkovitosti obrambe. RTS za TLPT, prilogi V–VI

Naslednji rok začne teči, ko organ za TLPT vodjo kontrolne skupine po členu 12(7) obvesti, da obe poročili vsebujeta informacije, zahtevane v prilogah V in VI. V osmih tednih po tem obvestilu:

• Subjekt predloži zbirno poročilo o preizkusu z informacijami iz Priloge VII organu za TLPT v odobritev.
• Subjekt predloži načrt odprave in dokumentacijo, ki dokazuje skladno izvedbo po členu 26(6) uredbe DORA, organu za TLPT in svojemu pristojnemu organu, če to ni isti organ.

Gre za ločene dokumente z enakim rokom, ki začne teči po navedenem obvestilu. RTS za TLPT, člena 12(7) in 13(1)

Načrt odprave mora za vsako ugotovitev vključevati opis pomanjkljivosti, predlagane ukrepe, prednostno razvrstitev, predvideni zaključek, analizo vzroka, odgovorne osebe ali funkcije ter tveganja neizvedbe ukrepov in, kjer je ustrezno, njihove izvedbe. Kot dodatno priporočilo za naročilo predlagamo zapis odvisnosti, ustreznih začasnih nadomestnih ukrepov in načina preverjanja odprave. Ta dodatna polja v členu 13 niso izrecno navedena. RTS za TLPT, člen 13(2)

Organ izda potrdilo, da je bil preizkus izveden skladno z zahtevami, kot izhaja iz predložene dokumentacije, s čimer omogoči vzajemno priznavanje med organi. Izvajalec naj sodeluje pri pripravi dokumentacije, vendar potrdila pristojnega organa ne more izdati sam. Subjekt mora svoj pristojni organ obvestiti o potrdilu, povzetku ugotovitev in načrtih odprave. DORA, člen 26(6)–(7), RTS za TLPT, člen 14

Pred povabilom k oddaji ponudb

Pripravite kratek zapis odločitve, ki zajema obvestilo in zahteve pristojnega organa, predlagani obseg več ali vseh kritičnih ali pomembnih funkcij, podporne sisteme in tretje osebe, pogoje za uporabo preizkuševalcev, vodjo kontrolne skupine ter časovni načrt odobritev. Ponudniki naj za imenovane ekipe, zaposlitvena in storitvena razmerja ter predvidene izdelke predložijo dokazila, navedena zgoraj. Pred primerjavo cen ocenite izpolnjevanje pogojev, neodvisnost, nadzorovano izvedbo in podporo ob zaključku.

Vodnik uporabite za pripravo naročila in preverjanje dokazil. Obveznost posameznega subjekta, odločitve o obsegu in dovoljeni način testiranja uskladite s pristojnim organom.

Pogosta vprašanja

Ali lahko tridnevna vaja rdeče skupine izpolni zahteve DORA za TLPT?

Ne. Že aktivna faza rdeče skupine mora trajati najmanj 12 tednov v okviru predpisanega postopka priprave, odobritev, testiranja in zaključka. Krajša vaja lahko služi drugemu cilju preverjanja. RTS za TLPT, členi 9–12

Ali lahko isti ponudnik zagotovi obveščevalne podatke o grožnjah in zunanje preizkuševalce?

Da, ob izpolnjevanju vseh veljavnih zahtev. Dodeljeno osebje za obveščevalne podatke in testiranje mora biti ločeno, osebje za obveščevalne podatke pa ne sme poročati osebju za zunanje testiranje pri istem TLPT. Dodeljeno osebje za obveščevalne podatke mora upoštevati tudi omejitve sočasnega opravljanja obrambnih nalog ali nalog, ki lahko povzročijo nasprotje interesov. Zunanja rdeča skupina poleg tega ne sme biti zaposlena pri ponudniku obveščevalnih podatkov o grožnjah niti zanj opravljati storitev, če ta sočasno opravlja naloge modre skupine za sodelujoči finančni subjekt, zunanjega ponudnika storitev IKT ali ponudnika storitev IKT znotraj skupine. Sama ločitev ekip ne zadosti tej zadnji omejitvi. Morebitna predlagana izjema mora slediti postopku iz členov 7(2) in 9(11). RTS za TLPT, člena 7 in 9

Ali poročilo rdeče skupine, iz katerega izhaja, da ni dosegla nobenega cilja preizkusa, dokazuje, da je varnostni nadzor deloval?

Ne. Tak rezultat sam po sebi ne pokaže, katera dejanja so bila zaznana in kako se je modra skupina odzvala. Poročilo modre skupine, ustrezne dnevniške zapise in ponovitev poteka presojajte skupaj z dokazili rdeče skupine. RTS za TLPT, člen 12 in prilogi V–VI

Nadaljnje branje

• Priprava na penetracijski test — seznam je namenjen običajnim penetracijskim preizkusom. Pri TLPT seznanjanje sodelujočih poteka po ureditvi kontrolne skupine in zahtevah pristojnega organa.
• Poročanje in tveganje (v angleščini)