TIBER-EU · TLPT
TLPT за статтею 26 DORA і TIBER-EU
Контрольована вправа, в якій red team атакує продакшн-системи ваших критичних функцій тактиками реальних зловмисників, поки захисники працюють у звичному режимі.
КОГО СТОСУЄТЬСЯ
ХТО МАЄ ПРОХОДИТИ TLPT
Тестування на проникнення на основі розвідки загроз (TLPT) — це не просто масштабніший пентест.
Для фінансових установ, визначених їхнім компетентним органом за статтею 26 DORA, це тестування є наглядовим обов’язком, який потрібно проходити щонайменше раз на три роки. Основою для цього є фреймворк TIBER-EU, розроблений спільно Європейським центральним банком і національними центральними банками ЄС. З липня 2025 року обов’язкові вимоги встановлює безпосередньо Делегований регламент Комісії (ЄС) 2025/1190 — регуляторні технічні стандарти щодо TLPT.
ДВІ РІЗНІ ВПРАВИ
Обидва підходи належать до наступального тестування, але їх замовляють з різних причин і регулюють по-різному.
ТЕСТУВАННЯ НА ПРОНИКНЕННЯ
Тестування на проникнення охоплює вибрані системи, часто поза продакшн-середовищем. Периметр узгоджується з вами, ваші захисники зазвичай знають про тестування заздалегідь, нагляд лежить лише на вас, і частоту обираєте ви.
ТЕСТУВАННЯ НА ОСНОВІ РОЗВІДКИ ЗАГРОЗ (TLPT)
Тестування на основі розвідки загроз охоплює реальні продакшн-системи, що підтримують критичні або важливі функції. Сценарії будуються на розвідці загроз щодо зловмисників, які атакують саме вашу установу. Захисників свідомо не попереджають, а процес контролюють ваша White Team (внутрішня контрольна команда) і регулятор. Установи в периметрі дії проходять таке тестування щонайменше раз на три роки. Найбільше установи хвилює те, що тестування відбувається на продакшн-середовищі. Тому контрольна команда, правила проведення та управління ризиками довкола вправи важать не менше, ніж сама наступальна робота.
НАША РОЛЬ У ПРОЄКТІ
Ми забезпечуємо red teaming-складову і підтримуємо фази підготовки та завершення: визначення периметра критичних або важливих функцій, розробку правил проведення, проведення purple team-відтворення та побудову плану усунення й пакета доказів. Чи можемо ми виступати вашим TLPT-провайдером для регульованої вправи, залежить від вимог вашого компетентного органу та від національної імплементації фреймворку. Це питання, на яке ми чесно відповідаємо ще на етапі визначення периметра, до підписання будь-чого, — включно з тим, коли ми не є правильним провайдером для конкретного регульованого тесту. Для установ, які ще не входять у периметр статті 26, та сама дисципліна доступна у форматі red team-оцінки, без регуляторного навантаження.
ПЕРЕД ТИМ ЯК ЗАМОВИТИ ТЕСТУВАННЯ
TLPT перевіряє виявлення й реагування під реалістичним тиском. Проводити його до того, як ці функції у вас є, — це дороге підтвердження того, що ви й так підозрювали. Перш ніж замовляти тестування на основі розвідки загроз, варто мати моніторинг, що охоплює ваші критичні або важливі функції, процес реагування на інциденти, якого команда справді дотримується, і попереднє наступальне тестування, яке вже усунуло очевидні знахідки. Якщо чогось із цього бракує, правильна послідовність — спершу закрити цю прогалину, і ми про це прямо скажемо.
Як проходить проєкт
Підготовка
Формується White Team, визначається периметр навколо критичних або важливих функцій, залучається регулятор. Призначаються провайдери. Ця фаза триває довше, ніж очікують, і саме вона визначає, чи спрацює все інше.
Тестування: розвідка загроз
Спеціалізований провайдер розвідки загроз готує звіт про зловмисників, які реалістично можуть атакувати вашу установу, та сценарії, які вони використали б. Саме це робить тестування таким, що ґрунтується на розвідці загроз, а не на уяві.
Тестування: red teaming
Red team виконує узгоджені сценарії проти продакшн-середовища, переслідуючи визначені цілі за правилами проведення, а контрольна команда може зупинити вправу в будь-який момент.
Завершення
Відтворення шляху атаки разом із blue team, план усунення та звітність, якої очікує регулятор.
Ми відповідаємо на це ще на етапі визначення периметра — до того, як хтось щось підписує.
Чи є TIBER-EU обов’язковим?
Сам TIBER-EU — це фреймворк, а не закон. Обов’язок випливає зі статті 26 DORA для установ, визначених їхнім компетентним органом, а обов’язкові вимоги встановлює Делегований регламент Комісії (ЄС) 2025/1190. TIBER-EU лишається усталеною моделлю, на якій побудована наглядова практика. Установам, яких не визначено, усе одно потрібна пропорційна програма тестування — просто не TLPT.
Як часто потрібно проводити тестування на основі розвідки загроз?
Щонайменше раз на три роки для установ у периметрі дії, якщо ваш регулятор не встановив іншу періодичність.
Чи справді тестування проводиться на продакшн-середовищі?
Так, і саме в цьому суть: це те, що відрізняє TLPT. Вправа регулюється правилами проведення, контрольною командою з умовою зупинки та заздалегідь узгодженим управлінням ризиками.
Скільки триває проєкт?
Місяці, а не тижні, коли застосовується повний фреймворк, бо підготовка і розвідка загроз передують етапу red teaming. Нерегульовані red team-оцінки тривають значно коротше.
НАШІ СЕРТИФІКАТИ
ПОРТФОЛІО КОМАНДИ
З ЧОГО ПОЧАТИ?
Ви можете копіювати матеріали сайту, лише переконавшись у безпеці своїх сервісів.
Цей сайт захищено reCAPTCHA, на нього поширюються Політика конфіденційності та Умови використання Google.