Zerolynx: referència a Tests TLPT - Red Team per al sector financer
Juan Antonio CallesCompartir
La regulació DORA (Digital Operational Resilience Act), adoptada per la Unió Europea, estableix un marc normatiu per enfortir la resiliència operativa digital de les entitats financeres, entenent per entitats financeres no només els bancs, sinó també les asseguradores, fons d'inversió , companyies de criptoactius i una infinitat de proveïdors de serveis financers de diferent índole. Aquest reglament cerca garantir que les institucions del sector financer puguin resistir, respondre i recuperar-se de qualsevol tipus de ciberincident i altres disrupcions tecnològiques. En un entorn on la dependència de la tecnologia és crucial, DORA esdevé un pilar fonamental per protegir l'estabilitat del sistema financer europeu i la confiança dels clients.
Un dels elements clau de DORA és l'exigència de realitzar Proves Avançades de Penetració Dirigides per Amenaces, conegudes com a TLPT (Threat Led Penetration Testing). Aquests exercicis permeten a les entitats financeres avaluar-ne la capacitat per detectar, respondre i mitigar ciberatacs avançats simulats sota condicions realistes. La naturalesa dirigida per amenaces d'aquests exercicis assegura que les proves siguin rellevants i específiques als riscos a què està exposada cada organització.
La implementació dels exercicis TLPT no només avalua la preparació tècnica, sinó també la coordinació interna i la capacitat de resposta davant de crisi. Aquests exercicis els duen a terme equips de Red Team, que simulen atacs avançats per identificar vulnerabilitats en els sistemes, processos i personal de l'organització. L'objectiu és enfortir la seguretat global de l'entitat i millorar tant els controls tecnològics com les estratègies de mitigació i recuperació. I, com que el mateix BCE ja comptava amb una metodologia anomenada Tiber-EU, trasposada a molts països com és el cas d'Espanya (Tiber-ES), que ja anava dirigida a l'entrenament de les entitats amb ciberexercicis basats en banderes que emulaven TTPs, han decidit que sigui aquest i no altre el framework de referència en què basar-se.
En darrer terme, la regulació DORA, juntament amb els exercicis TLPT, representa un pas essencial cap a la protecció integral de l'ecosistema financer europeu. En exigir proves rigoroses i pràctiques sòlides de resiliència, es fomenta una cultura de ciberseguretat proactiva i robusta que protegeix no només les institucions, sinó també els clients i l'economia en general davant d'amenaces emergents.
Exercicis de Red Team sota TIBER-EU
Des que el 27 de desembre del 2022 es publiqués el Reglament (UE) 2022/2554: Resiliència Operativa Digital (DORA, Digital Operational Resilience Act), el framework Tiber-EU ha començat a veure's com un company de viatge indispensable per a les entitats financeres , els qui fins aquell moment la veien com una metodologia voluntària que, a mode de best practices, els facilitava una via repetible per poder mesurar si estaven fent bé els deures. Si bé el seu origen és força anterior a DORA i es remunta a la proposta britànica de CBEST, i que després va empènyer els Països Baixos amb el seu Tiber-NL, no ha estat fins aquests darrers anys quan s'ha instaurat com un marc clau i de referència, totalment compatible amb DORA i que probablement veurà en la seva propera actualització un enfocament més alineat si cal.
I és que no hi ha dubte que aquest 2024 ha estat fonamental per a DORA, ja que ha estat l'any en què ha estat publicat el paquet més gran RTS i era l'últim any abans del tret de sortida del proper 17 de gener de 2025, data que marca la fi del període de transició des de la seva entrada en vigor. Per això, moltes entitats financeres ja han començat a posar-se al dia amb la regulació i han començat a entrenar-se mitjançant exercicis de TLPT realitzats per companyies expertes en Ciberseguretat i Red Teaming. En aquest sentit Zerolynx ha estat una de les opcions preferents, ja que ha estat l'empresa que han triat més de 10 entitats financeres per realitzar els seus exercicis TLPT d'aquest 2024, per tal d'anticipar-se al que ha de venir en aquest ja proper 2025.
TLPT (Prova de Penetració Dirigida per Ameaça)
A diferència de les proves de penetració tradicionals, els TLPT se centren a emular atacs reals basats en les tàctiques, tècniques i procediments (TTPs) d'actors maliciosos específics que representen una amenaça plausible. Aquest enfocament permet avaluar de manera més realista la capacitat de lorganització per detectar, respondre i mitigar atacs dirigits, assegurant una protecció efectiva contra amenaces avançades.
El principal objectiu del TLPT és mesurar la resiliència de l'organització davant d'amenaces concretes. Això inclou avaluar l'eficàcia dels sistemes de defensa per detectar i respondre a atacs, identificar vulnerabilitats crítiques en infraestructures, aplicacions i processos i validar l'efectivitat dels controls de seguretat existents. A més, els TLPT ajuden a millorar la preparació davant d'atacs dirigits, permetent a les organitzacions ajustar les estratègies defensives basant-se en escenaris realistes que reflecteixen el panorama actual d'amenaces.
