Weerbaarheidstests onder DORA: van basistest tot TLPT

DORA verplicht u uw digitale weerbaarheid te testen en de resultaten te gebruiken om uw raamwerk te verbeteren. Het gaat om een programma met een planning, niet om een losse jaarlijkse scan waarvan het rapport in een map verdwijnt.

De opzet is tweeledig: iedereen die onder DORA valt heeft een basisprogramma, en een deel van de instellingen doet daarnaast een dreigingsgestuurde penetratietest.

Het basisprogramma

Elke entiteit stelt een testprogramma op dat past bij omvang en risicoprofiel. Kritieke systemen worden ten minste jaarlijks getest. Gangbare onderdelen:

• Kwetsbaarhedenscans en beoordelingen van de beveiliging
• Analyse van opensourcecomponenten en van de softwareketen
• Netwerkbeveiligingsbeoordelingen en penetratietests
• Gap-analyses tegen het eigen beleid
• Beoordeling van fysieke beveiliging en, waar relevant, van broncode
• Scenariotests, compatibiliteitstests en prestatietests
• Tests van herstel en bedrijfscontinuïteit, dus niet alleen op papier

De uitvoerder moet onafhankelijk zijn. Dat kan intern, mits er voldoende scheiding is tussen wie bouwt of beheert en wie test, en mits er geen belangenconflict ontstaat.

De test die het meeste oplevert

Als u één ding kiest om mee te beginnen: zet een herstelproef op. Neem een kritieke functie, doe alsof het onderliggende systeem weg is, en zet het terug uit back-up terwijl iemand de klok bijhoudt.

Die oefening levert bijna altijd hetzelfde op: het duurt langer dan het continuïteitsplan belooft, er ontbreekt een stap die niemand had opgeschreven, en er is een afhankelijkheid die niet in beeld was. Precies de dingen die u wilt weten voordat het echt gebeurt, en precies het soort bewijs dat een toezichthouder overtuigt.

Dreigingsgestuurde penetratietests

Voor een deel van de instellingen komt daar een zwaardere verplichting bovenop: een nagebootste aanval op uw werkelijke productieomgeving, gebaseerd op actuele dreigingsinformatie over wie het op uw type instelling zou voorzien. Ten minste elke drie jaar, uitgevoerd door testers die aan eisen van deskundigheid en onafhankelijkheid voldoen.

Welke entiteiten dit moeten doen, bepalen de toezichthouders op basis van onder meer omvang, risicoprofiel en het belang voor het financiële stelsel. Het is uitdrukkelijk niet iets voor iedereen. Zie TLPT voor hoe zo’n traject verloopt.

Testen is pas af als er iets verandert

DORA vraagt niet alleen om tests, maar om opvolging. Bevindingen worden geprioriteerd, belegd en opgelost, en het risicobeheerraamwerk wordt aangepast waar de test een structurele zwakte blootlegt.

Dit is het punt waarop de meeste testprogramma’s tekortschieten. Een testrapport zonder bevindingenregister, zonder eigenaren en zonder termijnen is voor een toezichthouder geen bewijs maar een bevinding: u heeft immers vastgelegd dat u een zwakte kent en er niets mee heeft gedaan.

Uw leveranciers meenemen

Draait een kritieke functie bij een externe partij, dan heeft testen zonder die partij beperkte waarde. Leg in het contract vast dat zij meewerken aan uw tests, of dat zij u hun eigen testresultaten en certificeringen beschikbaar stellen. Zie contractbepalingen.

Een testprogramma opzetten in vier stappen

1. Bepaal welke functies kritiek zijn en welke systemen ze dragen
2. Kies per systeem een passende testvorm en frequentie, met ten minste jaarlijks voor kritieke systemen
3. Leg vast wie test, wie beoordeelt en wie bevindingen oplost
4. Voer de uitkomsten terug in het raamwerk en in de planning van het jaar erna

Veelgestelde vragen

Mag mijn eigen ICT-afdeling de tests uitvoeren?

Voor het basisprogramma kan dat, zolang de onafhankelijkheid geborgd is en degene die test niet degene is die het systeem heeft gebouwd of beheert. Voor dreigingsgestuurde penetratietests gelden strengere eisen aan de testers.

Hoe vaak moet ik testen?

Kritieke systemen ten minste jaarlijks. De dreigingsgestuurde penetratietest geldt alleen voor aangewezen entiteiten en ten minste eens per drie jaar. Daarnaast test u naar aanleiding van grote wijzigingen.

Telt een herstelproef mee als test?

Ja, en het is een van de nuttigste. Een geslaagde herstelproef laat zien hoe lang u er werkelijk over doet, en dat getal is vaak anders dan het getal in het continuïteitsplan.

Wat als een test een ernstige zwakte blootlegt?

Dan legt u vast wat u eraan doet en binnen welke termijn, en informeert u het bestuur. Een onopgeloste ernstige bevinding zonder plan is een groter probleem dan de zwakte zelf.