Dreigingsgestuurde penetratietests (TLPT) onder DORA

Een dreigingsgestuurde penetratietest is een nagebootste aanval op uw werkelijke productieomgeving, gebaseerd op actuele informatie over wie het op uw type instelling zou voorzien. In het Engels heet dat threat-led penetration testing, afgekort TLPT. DORA verplicht deze test voor een deel van de financiële entiteiten, ten minste elke drie jaar.

Het verschil met een gewone pentest

Bij een gewone penetratietest zegt u wat er getest moet worden en krijgt u een lijst met kwetsbaarheden terug. Nuttig, maar het antwoord hangt af van de vraag die u stelde.

Bij een dreigingsgestuurde test begint het bij de vraag wie u zou aanvallen en hoe die te werk gaat. Pas daarna wordt bepaald wat er wordt getest. U test dus niet of een systeem kwetsbaar is, maar of uw organisatie een realistische aanval overleeft.

Het tweede verschil is dat het op productie gebeurt, tegen de mensen en processen die er echt zijn. Uw beveiligingsteam weet doorgaans niet dat het loopt. Daarmee test u niet alleen de techniek maar ook de detectie en de reactie: ziet iemand het, hoe snel, en wat doet hij dan.

Hoe zo’n traject verloopt

1. Voorbereiding. Scope bepalen: welke kritieke functies doen mee, welke systemen, en welke grenzen gelden. Er komt een klein kringetje ingewijden dat op de hoogte is, vaak drie tot vijf mensen
2. Dreigingsinformatie. Een aparte partij stelt vast welke aanvallers voor u relevant zijn en hoe die werken, en vertaalt dat naar scenario’s
3. Uitvoering. Het testteam voert de scenario’s uit over meerdere weken, met tussentijdse afstemming met de ingewijden
4. Afsluiting. Een gezamenlijke sessie waarin aanvallers en verdedigers de tijdlijn naast elkaar leggen: wat is gebeurd, wat is gezien, wat is gemist
5. Opvolging. Bevindingen krijgen een eigenaar en een termijn, en het risicobeheerraamwerk wordt aangepast waar de test een structurele zwakte laat zien

Reken op maanden, niet op weken. De voorbereiding en de dreigingsanalyse kosten meer tijd dan de test zelf.

Wie dit moet doen

Niet iedereen. De toezichthouders wijzen aan welke entiteiten deze test moeten uitvoeren, op basis van onder meer omvang, risicoprofiel en het belang voor het financiële stelsel. Voor de meeste kleinere instellingen blijft het bij het reguliere testprogramma uit de derde pijler.

De methodiek leunt op het Europese TIBER-kader, dat in Nederland al langer bestaat als TIBER-NL. Instellingen die dat al deden, herkennen het proces; voor hen verandert vooral dat het niet langer vrijwillig is en dat de uitkomsten een formelere plek krijgen in het toezicht.

Eisen aan de testers

Testers moeten aantoonbaar deskundig en onafhankelijk zijn, en mogen geen belangenconflict hebben. Interne testers zijn onder voorwaarden toegestaan, maar dan gelden aanvullende eisen en moet de dreigingsinformatie in elk geval van buiten komen.

Praktisch: de partij die uw omgeving heeft gebouwd of beheert, kan hem niet testen. Dat lijkt vanzelfsprekend en wordt toch regelmatig over het hoofd gezien bij instellingen die alles bij één dienstverlener hebben ondergebracht.

Leveranciers meenemen

Draait een kritieke functie bij een externe partij, dan raakt de test hun omgeving. Dat kan alleen met hun medewerking, en die legt u contractueel vast. Sommige aanbieders werken met gepoolde tests waarbij meerdere financiële klanten samen optrekken; dat is vaak de enige werkbare route bij grote clouddiensten.

Wat u eruit haalt als u niet bent aangewezen

De gedachte erachter is ook op kleinere schaal bruikbaar: test tegen wat er echt op u af komt in plaats van tegen een checklist. Een scenario-oefening kost een dagdeel. Neem een realistisch aanvalspad, loop het met uw team door, en kijk waar de detectie het zou laten afweten. Dat levert vaak meer op dan een scanrapport.

Veelgestelde vragen

Hoe weet ik of wij een TLPT moeten doen?

Dat laat uw toezichthouder weten. Wacht daar niet passief op: als u qua omvang en rol in de buurt komt, is het verstandig het traject alvast in te plannen, want de doorlooptijd is maanden.

Is dit niet veel te zwaar voor ons?

Als u niet bent aangewezen, hoeft het niet. De onderliggende gedachte is wel bruikbaar op elke schaal.

Mag mijn beveiligingsteam meekijken?

Dan test u niet meer wat u wilde testen. De waarde zit juist in de vraag of uw team het opmerkt. Houd de kring klein en evalueer achteraf gezamenlijk.

Wat als de test iets ernstigs blootlegt?

Dan legt u vast wat u eraan doet en binnen welke termijn, en informeert u het bestuur. Bij een acuut risico stopt u de test en handelt u het af als incident.