Bankok és hitelintézetek
A jelentős szolgáltatók a DORA szerint a TLPT-hez kijelölhetők. A felkészülés időigényes, ezért érdemes korán elkezdeni.
/ TLPT / DORA
Fenyegetésvezérelt behatolástesztelés (TLPT)
A fenyegetésvezérelt behatolástesztelés (TLPT) a legmagasabb szintű, valós fenyegetési információkra épülő tesztelés, amelyet a DORA a jelentős pénzügyi szervezetektől legalább háromévente elvár. Segítünk felkészülni, és a tesztelői oldalt is vállaljuk.
[ 01 ] / MI EZ
Mi a TLPT, és mit ír elő a DORA?
Röviden
A fenyegetésvezérelt behatolástesztelés (TLPT, threat-led penetration testing) olyan ellenőrzött kibertámadás-szimuláció, amely a szervezetre valóban jellemző fenyegetési szereplők módszereit követi, és az éles rendszerek kritikus vagy fontos funkcióit teszteli. A DORA a felügyelet által kijelölt pénzügyi szervezeteknek legalább háromévente előírja.
A TLPT a red teaming szabályozott formája. A klasszikus penetrációs teszttel ellentétben itt nem a minél több hiba megtalálása a cél, hanem annak vizsgálata, hogy a szervezet kritikus vagy fontos funkcióit egy valósághű támadó el tudná-e érni, és a védelem észlelné-e. A forgatókönyvet fenyegetési információ alapozza meg: azok a támadói csoportok és módszerek kerülnek be, amelyek az adott szervezetet és ágazatot ténylegesen veszélyeztetik.
A DORA (az EU digitális működési ellenállóképességről szóló rendelete, amelyet 2025. január 17-től kell alkalmazni) a rendszeres tesztelési program részeként a felügyelet által kijelölt, jelentős pénzügyi szervezeteknek előírja a TLPT elvégzését, legalább háromévente. A kijelölés szempontjai között szerepel a szervezet hatása, rendszerszintű jelentősége és az IKT-érettsége. A részletes szabályokat a Bizottság szabályozástechnikai standardja (RTS) tartalmazza, és a folyamat a TIBER-EU keretrendszerhez igazodik.
A DORA a tesztelőkkel szemben is követelményeket állít: megfelelő szakmai alkalmasság, technikai és szervezeti képesség, hitelesített vagy formális magatartási kódexet követő működés, független biztosíték a kockázatkezelésről és szakmai felelősségbiztosítás. A szabályozás szerint legalább minden harmadik teszthez külső tesztelő szükséges. A teszt éles rendszereken fut, ezért a kockázatkezelés és a vezérlés kulcsfontosságú. Nem jogi tanácsadás: a pontos kötelezettségekről a felügyelet és a jogi tanácsadó véleményét is kérje.
Szabályozás és keretrendszerek
- DORA (EU) 2022/2554
- TLPT RTS
- TIBER-EU
- TIBER-HU
- MITRE ATT&CK
- ISO/IEC 27001
[ 02 ] / KINEK AJÁNLJUK
Kinek szól a fenyegetésvezérelt behatolástesztelés?
Elsősorban azoknak a pénzügyi szervezeteknek, amelyeket a felügyelet TLPT elvégzésére kijelölhet, de az érett szervezetek számára is az egyik legerősebb próba.
Biztosítók és befektetési vállalkozások
A kritikus vagy fontos funkciók valós támadási forgatókönyvekkel történő tesztelése a szabályozás elvárása lehet.
Fizetési és e-pénz intézmények
A nagy forgalmú, szolgáltatást nyújtó szervezeteknél a rendelkezésre állás és az integritás védelme kiemelt, a TLPT erre ad bizonyítékot.
Kritikus IKT-szolgáltatók
A pénzügyi szervezetek külső szolgáltatói is érintettek lehetnek, például közös (pooled) teszt formájában. A felkészülés rájuk is vonatkozik.
Kockázatkezelési és megfelelőségi vezetők
A DORA-felkészülés részeként segítünk megérteni, mikor, mit és milyen szinten kell tesztelni, és hogyan készüljön fel a szervezet.
Érett szervezetek, amelyek TLPT nélkül is próbára tennék magukat
Aki nem kötelezett, de a legmagasabb szintű védelmet akarja ellenőrizni, ugyanezt a módszertant önként is alkalmazhatja.
[ 03 ] / MIT TARTALMAZ
A TLPT szolgáltatás elemei
A TLPT sok szereplős, szabályozott folyamat. A felkészüléstől a lezárásig támogatjuk a szervezetet, és a tesztelői (red team) oldalt is vállaljuk.
01
Felkészültségi felmérés (TLPT readiness)
Megvizsgáljuk, hogy a szervezet kész-e a TLPT-re: azonosítottak-e a kritikus vagy fontos funkciókat, megvan-e az észlelési és reagálási képesség, és rendezettek-e a kapcsolódó folyamatok.
02
Hatókör és kritikus funkciók meghatározása
Segítünk az érintett kritikus vagy fontos funkciók és az őket támogató IKT-rendszerek (köztük külső szolgáltatók) azonosításában és a felügyelettel való egyeztetésben.
03
Kontrollcsoport és kockázatkezelés
Kialakítjuk a szűk, a tesztről tudó kontrollcsoportot, a kommunikációs és leállítási szabályokat, hogy az éles rendszerek biztonsága végig garantált legyen.
04
Fenyegetési információ és forgatókönyvek
A fenyegetésiinformáció-elemzés alapján célzott támadási forgatókönyveket építünk. A keretrendszer a fenyegetési információ és a tesztelés szétválasztását várja el, ezért a megfelelő szereplőket (külön szolgáltató vagy együttműködő partner) előre egyeztetjük.
05
Red team tesztelés éles környezetben
A forgatókönyvek végrehajtása valódi támadói módszerekkel, a kijelölt rendszerek ellen, szigorú kontroll alatt.
06
Lezárás és újrajátszás
Közös újrajátszás (purple teaming), amely során a védők és a tesztelők megvizsgálják a támadási lépéseket, és javítják az észlelést.
07
Javítási terv
A feltárt hiányosságokra kockázat szerint rangsorolt, felelősökkel és határidőkkel ellátott javítási terv készül, amelyet a felügyelet felé is bemutathat.
08
Dokumentáció és igazolás
Segítünk elkészíteni a felügyelet által várt összefoglalót és a teszt elvégzését igazoló dokumentumokat. A hivatalos tanúsítást a felügyeleti rendszer szerint végzik.
[ 04 ] / HOGYAN ZAJLIK
A TLPT folyamata
A folyamat a TIBER-EU szerinti három fő szakaszra épül: előkészítés, tesztelés és lezárás.
Felkészülés és indítás
Egyeztetjük a hatókört, a kritikus funkciókat, a kontrollcsoportot és az időzítést, és kiválasztjuk a fenyegetési információt és a tesztet végző szereplőket.
Fenyegetési információ gyűjtése
Elkészül a szervezetre szabott fenyegetési profil és a célzott támadási forgatókönyvek. Ez az alapja a tesztnek.
Red team teszt
A tesztelők hetekig tartó, kontrollált szimulációban hajtják végre a forgatókönyveket az éles rendszereken, szigorú leállítási feltételekkel.
Kiértékelés és jelentés
A teszt végén részletes jelentés és időrend készül, amelyet a védelmi csapat naplóival is összevetünk.
Újrajátszás és javítási terv
A védők és a tesztelők közösen értékelik az észlelést és a reagálást, majd elkészül a javítási terv.
Igazolás és ismétlés
Összeállítjuk a felügyelet felé szükséges dokumentációt, és segítünk a következő, legalább háromévente esedékes teszt tervezésében.
[ 05 ] / MIT OLD MEG
Mit old meg a TLPT, és miért éri meg?
A TLPT a szabályozási kötelezettség teljesítésén túl valós képet ad a védelem hatékonyságáról: nem egy lista alapján, hanem a szervezetet ténylegesen fenyegető támadók módszereivel ellenőrzi, hogy a kritikus funkciók védettek-e, és a védelem észreveszi-e a támadást.
A jól előkészített TLPT megelőzi a kellemetlen meglepetéseket is: a kontrollált, szabályozott lebonyolítás kisebb kockázattal jár az éles rendszerekre, és a felügyelet felé jól dokumentált, hiteles eredményt ad.
- a DORA szerinti TLPT-kötelezettség teljesítése
- a kritikus és fontos funkciók valós védelmének ellenőrzése
- észlelési és reagálási képesség mérése
- felügyeletnek is bemutatható, jól dokumentált eredmény
- az éles rendszerek kockázatának minimalizálása a lebonyolítás során
Amit kézhez kap
- TLPT readiness jelentés és teendőlista
- hatókör- és kockázatkezelési terv
- támadási forgatókönyvek és időrend
- záró jelentés és észlelési elemzés
- javítási terv felelősökkel és határidőkkel
- felügyeleti dokumentációs csomag
[ 06 ] / MIÉRT A QYNTAR
Miért a Qyntar segítsen a TLPT-ben?
Mert a TLPT-ben a technikai tudás és a szabályozási ismeret csak együtt elég.
Támadói tapasztalat
A tesztelői oldalon valós, hands-on támadói tapasztalattal dolgozunk, így a forgatókönyvek ténylegesen kihívást jelentenek a védelemnek.
Szabályozói ismeret
Értjük a DORA és a TIBER-EU szerkezetét, így a teszt és a dokumentáció a felügyeleti elvárásokhoz igazodik.
Éles rendszerek biztonsága
Kontrollcsoporttal, szigorú szabályokkal és leállítási feltételekkel védjük az éles működést.
Felkészülés a teszt előtt
A TLPT readiness felmérés időben megmutatja, mit kell rendbe tenni, így a drága teszt nem fut rá a már ismert hiányosságokra.
[ 07 ] / GYAKORI KÉRDÉSEK
Gyakran ismételt kérdések – fenyegetésvezérelt behatolástesztelés (tlpt)
Mi az a TLPT?
A TLPT (threat-led penetration testing) olyan ellenőrzött kibertámadás-szimuláció, amely valós fenyegetési szereplők módszereit követi, és az éles rendszerek kritikus vagy fontos funkcióit teszteli. A DORA a jelentős pénzügyi szervezeteknek előírja.
Kiknek kötelező a TLPT a DORA szerint?
A DORA szerint a felügyelet által kijelölt, jelentős pénzügyi szervezeteknek, legalább háromévente. A kijelölés szempontjai között a hatás, a rendszerszintű jelentőség és az IKT-érettség szerepel. Hogy az Ön szervezete érintett-e, a felügyelettel és jogi tanácsadóval érdemes egyeztetni.
Miben más a TLPT, mint a red teaming vagy a penetrációs teszt?
A TLPT a red teaming szabályozott, fenyegetési információra épülő formája: kötött a folyamata, a szereplők köre, a hatóköre (kritikus vagy fontos funkciók) és a dokumentációja. A penetrációs teszt szélesebb és kevésbé kötött.
Elvégezhetjük a TLPT-t belső tesztelőkkel?
A szabályozás meghatározott feltételekkel megengedi a belső tesztelők használatát, de legalább minden harmadik teszthez külső tesztelő szükséges. A pontos feltételeket a szabályozástechnikai standard tartalmazza.
Mi a TIBER-EU?
Az Európai Központi Bank által kidolgozott keretrendszer a fenyegetésvezérelt red teaming teszteléshez. A DORA TLPT-szabályai erre épülnek. Magyarországon a felügyeleti kapcsolódási pontokról a hazai felügyelet (MNB) tájékoztat.
Mennyi ideig tart egy TLPT?
A felkészüléstől a lezárásig jellemzően több hónap: az előkészítés és a fenyegetési információ gyűjtése után a tényleges tesztelés több hétig tart, majd következik a lezárás és a javítási terv.
Hogyan kapcsolódik a TLPT a DORA többi követelményéhez?
A TLPT a DORA digitális működési ellenállóképesség-tesztelési programjának legmagasabb szintje. Az alapszintű tesztek (sérülékenységvizsgálat, penetrációs teszt) mellett működik. Részletek: DORA.
[ 08 ] / KAPCSOLÓDÓ SZOLGÁLTATÁSOK
Ezek is érdekelhetik
[ + ] / KAPCSOLAT
Kapcsolat
E-mail
Mondja el, milyen biztonsági kihívással áll szemben.
Egy konkrét technikai kérdéstől a komplex biztonsági projektekig segítünk tisztázni a lehetőségeket, a prioritásokat és a továbblépés irányát.
Mutasd az e-mail címet
info
qyntar
com