Pokročilé red-teaming testy pre regulované finančné inštitúcie
Európska DORA (Digital Operational Resilience Act) zavádza nový štandard pre riadenie rizík v oblasti IKT. Vyžaduje, aby významné finančné subjekty pravidelne vykonávali Threat-Led Penetration Testing (TLPT), teda testy založené na inteligencii a hrozbách, ktoré simulujú schopnosti pokročilých organizovaných kybernetických útočníkov (APT).
Cieľom nie je len nájsť zraniteľnosti, ale overiť schopnosť celej organizácie detekovať, reagovať a obnoviť operácie po útoku, ktorý zodpovedá realistickému a koordinovanému scenáru.
Čo je penetračné testovanie vedené hrozbou a prečo rutinné testy nestačia?
Na rozdiel od štandardného penetračného testu TLPT:
- Simuluje útok vo všetkej jeho zložitosti, vrátane penetrácie, bočného pohybu, eskalácie privilégií, perzistencie a exfiltrácie dát.
- Je riadený podľa aktuálnych hrozieb (spravodajstvo o hrozbách) a sektorovo špecifických scenárov.
- Zahŕňa koordinačnú fázu s definovaným rozsahom, pravidlami zásahu, identifikáciou kritických systémov a určením cieľov testovania.
Z technického hľadiska TLPT vyžaduje podrobné znalosti vektorov útoku a schopnosť napodobniť metódy skutočných útočníkov, ktorí zneužívajú zero-day zraniteľnosti, sociálne inžinierstvo, zahmlievanie kódu alebo útoky na dodávateľský reťazec.
Aké sú požiadavky na testovacie tímy?
DORA tiež zdôrazňuje kvalitu a kvalifikáciu subjektov vykonávajúcich pokročilé testy. Testeri musia spĺňať prísne kritériá, napr.
- Musia byť renomovaní profesionáli s overenými technickými a organizačnými zručnosťami a špecifickými znalosťami
- Testeri musia byť certifikovaní a podstúpiť nezávislé audity alebo potvrdenie správneho riadenia rizík pri testovaní
- Musia mať primerané poistenie zodpovednosti v prípade vzniku škôd.
Ak chce inštitúcia používať vlastný interný red team, musí získať schválenie regulátora a zabezpečiť organizačnú nezávislosť interného tímu (vyhnúť sa konfliktom záujmov). Operačné spravodajstvo o hrozbách pre daný scenár musí poskytnúť poskytovateľ tretej strany.
.png )