DORA och hotbaserad penetrationstestning

Testkraven för finansiella aktörer: vem omfattas av vilken testnivå och vad som krävs för att vara redo för en TLPT-cykel.

SAMMANFATTNING

DORA (EU 2022/2554) ställer krav på digital operativ motståndskraft hos finansiella aktörer. Guiden går igenom vem som omfattas av vilken testnivå och vad en TLPT-cykel kräver.

Två nivåer av testning

Grundläggande testprogram: alla omfattade aktörer ska testa kritiska system och applikationer minst årligen, med sårbarhetsbedömningar, scenariotester och penetrationstest.
Hotbaserad penetrationstestning (TLPT): utpekade, systemviktiga aktörer ska dessutom genomföra TLPT med några års mellanrum, under tillsyn av behörig myndighet.

Vad en TLPT-cykel innebär

Underrättelsedriven hotbild som utgår från faktiska angripare mot er sektor.
Test mot produktionsmiljön, inte mot en kopia.
Ett litet invigt team internt medan försvarsteamet är ovetande.
Krav på testarnas oberoende och kompetens.
Dokumenterad åtgärdsplan och myndighetens intyg när cykeln avslutas.

Så förbereder ni er

TLPT är inte platsen att upptäcka grundläggande brister. Guiden rekommenderar att först ha ordning på tillgångsförteckning, kritiska funktioner, loggning och detektionsförmåga, samt att ha kört vanliga penetrationstest under ett par år innan en TLPT-cykel inleds.

Vi skickar en nedladdningslänk till din arbetsmejl. Ingen uppföljning utan att du ber om det.

Se alla guider och checklistor