Cómo planificar pruebas de resiliencia DORA utilizando IA

Visión general

Aprenderás a diseñar e implementar un programa de pruebas de resiliencia operativa digital que cumpla con los Artículos 24-27 de DORA utilizando IA. Esta guía cubre el programa de pruebas general (evaluaciones de vulnerabilidades, pruebas de penetración, pruebas basadas en escenarios), los requisitos avanzados de Pruebas de Penetración Dirigidas por Amenazas (TLPT), el alcance y la frecuencia de las pruebas, la presentación de resultados a tu órgano de gestión, e integrar las pruebas con tu marco de gestión de riesgos de TIC, con indicaciones específicas de ISMS Copilot para generar cada componente.

A quién va dirigido

Esta guía es para:

• CISOs y gestores de seguridad responsables de diseñar y supervisar programas de pruebas de resiliencia
• Gestores de riesgos de TI que integran los resultados de las pruebas en las evaluaciones de riesgos de TIC
• Coordinadores de pruebas de penetración que gestionan actividades de pruebas internas y externas
• Oficiales de cumplimiento que aseguran que los programas de pruebas cumplen con las expectativas regulatorias
• Consultores que ayudan a entidades financieras a prepararse para TLPT o pruebas generales de resiliencia

Antes de comenzar

Necesitarás:

• Una cuenta de ISMS Copilot (prueba gratuita disponible)
• Tu marco de gestión de riesgos de TIC y el inventario de activos de TIC de Cómo construir un marco de gestión de riesgos de TIC de DORA utilizando IA
• Tus procedimientos de clasificación y respuesta a incidentes de Cómo implementar la notificación de incidentes de DORA utilizando IA
• Conocimiento de tus actividades actuales de pruebas (escaneos de vulnerabilidades, pruebas de penetración, pruebas de recuperación ante desastres)
• Conocimiento de si tu entidad ha sido designada para TLPT por tu autoridad competente
• Autorización presupuestaria para servicios de pruebas externas (particularmente para TLPT)

Comprensión de los requisitos de pruebas de resiliencia de DORA

Desglose artículo por artículo

El Capítulo IV de DORA (Artículos 24-27) establece un enfoque estructurado para las pruebas de resiliencia operativa digital:

Article

Title

Key requirements

Applicability

Art 24

Requisitos generales para las pruebas de resiliencia operativa digital

Establecer un programa de pruebas como parte de la gestión de riesgos de TIC, enfoque basado en riesgos

Todas las entidades financieras (proporcional)

Art 25

Pruebas de herramientas y sistemas de TIC

Tipos específicos de pruebas: evaluaciones de vulnerabilidades, pruebas de penetración, pruebas basadas en escenarios, pruebas de compatibilidad, pruebas de rendimiento, revisiones de código fuente

Todas las entidades financieras (proporcional)

Art 26

Pruebas avanzadas mediante TLPT

Pruebas de penetración dirigidas por amenazas basadas en el marco TIBER-EU, cada 3 años

Solo entidades designadas

Art 27

Requisitos para los probadores

Cualificaciones, independencia y estándares para los probadores (internos y externos)

Todas las entidades que realicen pruebas

Pruebas generales vs. TLPT

Comprender la distinción entre pruebas generales y TLPT es crítico para definir el alcance de tu programa:

Aspect

Pruebas generales (Art 24-25)

TLPT (Art 26-27)

Key difference

Quién

Todas las entidades financieras

Solo entidades designadas

La autoridad competente designa a las entidades para TLPT

Frecuencia

Basada en riesgos; sistemas críticos al menos anualmente

Al menos cada 3 años

TLPT es menos frecuente pero mucho más intensivo

Alcance

Todos los sistemas de TIC (proporcional)

Funciones críticas e importantes, sistemas de producción en vivo

TLPT prueba sistemas en vivo, no solo entornos de prueba

Metodología

Varias (escaneos de vulnerabilidades, pruebas de penetración, pruebas de escenarios)

Marco TIBER-EU, dirigido por inteligencia de amenazas

TLPT simula tácticas de adversarios del mundo real

Probadores

Internos o externos (con requisitos de independencia)

Se requieren probadores externos (con excepciones limitadas)

TLPT requiere un equipo rojo externo certificado

Informes

Internos (órgano de gestión, función de riesgo de TIC)

A la autoridad competente, con atestación

Los resultados de TLPT van al regulador

Paso 1: Diseña tu programa de pruebas generales (Artículos 24-25)

Marco del programa de pruebas

El Artículo 24 requiere un programa de pruebas que sea integral a tu marco de gestión de riesgos de TIC, siga un enfoque basado en riesgos y sea proporcional al tamaño y perfil de riesgo de tu entidad.

1. Abre tu espacio de trabajo de DORA en ISMS Copilot

2. Genera el documento del programa de pruebas:

   "Crea un Programa de Pruebas de Resiliencia Operativa Digital para un [tipo de entidad] que cumpla con los Artículos 24-25 de DORA. Incluye: propósito y objetivos del programa, gobernanza (supervisión del órgano de gestión, responsable del programa, roles y responsabilidades), enfoque basado en riesgos para la planificación de pruebas (cómo los riesgos determinan qué se prueba y con qué frecuencia), alcance de las pruebas (mapeado al inventario de activos de TIC y funciones críticas/importantes), tipos de pruebas a realizar (evaluaciones de vulnerabilidades, pruebas de seguridad de red, pruebas de penetración, pruebas basadas en escenarios, pruebas de compatibilidad, pruebas de rendimiento, revisiones de código fuente, pruebas de software de código abierto, pruebas de extremo a extremo), frecuencia de las pruebas por criticidad del activo y tipo de prueba, requisitos de probadores internos vs externos, requisitos de independencia según el Artículo 27, informes de resultados y comunicación al órgano de gestión, proceso de seguimiento de remediación, integración con actualizaciones del marco de gestión de riesgos de TIC, plantilla de calendario de pruebas anual, y planificación de presupuesto y recursos. Aplica proporcionalidad para una organización de [tamaño de entidad]."

3. Define la metodología de pruebas basada en riesgos:

   "Crea una metodología de pruebas basada en riesgos para las pruebas de resiliencia de DORA. Define cómo determinamos: qué sistemas y funciones probar (basado en la criticidad de los activos de TIC, impacto en el negocio, panorama de amenazas, incidentes previos), qué tipo de prueba aplicar (escaneo de vulnerabilidades vs prueba de penetración vs prueba basada en escenarios), profundidad e intensidad de las pruebas (básica, estándar, avanzada), frecuencia de las pruebas (trimestral, semestral, anual), y prioridad de las pruebas cuando los recursos son limitados. Proporciona una matriz de prioridad de pruebas que mapee la criticidad del activo y el nivel de amenaza al tipo y frecuencia de prueba. Incluye ejemplos para un [tipo de entidad]."

Tipos de pruebas y su aplicación

El Artículo 25 especifica múltiples tipos de pruebas. Usa ISMS Copilot para desarrollar planes detallados para cada uno:

1. Programa de evaluación de vulnerabilidades:

   "Crea un programa de evaluación de vulnerabilidades para el cumplimiento del Artículo 25 de DORA. Incluye: alcance del escaneo (todos los activos de TIC por nivel de criticidad), herramientas y metodología de escaneo, frecuencia de escaneo (al menos trimestral para activos críticos, mensual recomendado), clasificación de vulnerabilidades alineada con la puntuación CVSS, plazos de remediación por gravedad (crítico: 48 horas, alto: 7 días, medio: 30 días, bajo: 90 días), proceso de gestión de excepciones para vulnerabilidades que no pueden ser remediadas de inmediato, formato de informe (informe técnico y resumen para la gestión), metodología de análisis de tendencias, e integración con los procedimientos de gestión de parches. Proporciona un flujo de trabajo de gestión de vulnerabilidades."

2. Programa de pruebas de penetración:

   "Crea un programa de pruebas de penetración para el cumplimiento del Artículo 25 de DORA. Incluye: alcance de las pruebas (perímetro externo, red interna, aplicaciones web, aplicaciones móviles, seguridad de API, ingeniería social), frecuencia de las pruebas (al menos anual para sistemas críticos, más frecuente para áreas de alto riesgo), metodología de pruebas (OWASP, PTES o equivalente), plantilla de reglas de compromiso (alcance, timing, escalada, acciones prohibidas), requisitos de cualificación de los probadores según el Artículo 27 de DORA (independencia, competencia, seguro), procedimientos previos a la prueba (autorización, confirmación de alcance, comunicación), requisitos de informes (resumen ejecutivo, hallazgos técnicos, calificaciones de riesgo, recomendaciones de remediación), procedimientos posteriores a la prueba (verificación de remediación, re-pruebas), y formato de informe para el órgano de gestión. Proporciona una plantilla de reglas de compromiso de ejemplo."

3. Programa de pruebas basadas en escenarios:

   "Diseña un programa de pruebas de resiliencia basadas en escenarios para el Artículo 25 de DORA. Crea escenarios de prueba que cubran: ataque de ransomware en sistemas bancarios/pagos centrales, interrupción de un proveedor de nube importante que afecta servicios críticos, ataque DDoS durante períodos de pico de transacciones, amenaza interna que compromete datos sensibles, ataque a la cadena de suministro a través de un proveedor de TIC crítico de terceros, fallo simultáneo de sistemas primarios y de respaldo, pérdida de personal clave de TIC durante un incidente, violación de datos regulatorios que requiere notificación a clientes. Para cada escenario, define: objetivos de la prueba, alcance y sistemas involucrados, narrativa del escenario y línea de tiempo de inyección, criterios de éxito, participantes y roles, procedimientos de ejecución de la prueba, resultados esperados, criterios de evaluación y plantilla de informe. Incluye formatos de ejercicio tanto de mesa como simulados."

Paso 2: Establece los requisitos para los probadores (Artículo 27)

Independencia y cualificaciones de los probadores

El Artículo 27 establece requisitos para los probadores que realizan pruebas de resiliencia. Estos se aplican tanto a probadores internos como externos:

"Crea una política de requisitos y cualificación de probadores para el Artículo 27 de DORA. Aborda: probadores internos (independencia de las áreas que se prueban, certificaciones relevantes como OSCP/CREST/GPEN, competencia mantenida, requisitos de rotación), probadores externos (certificaciones profesionales y acreditaciones, experiencia relevante en pruebas del sector financiero, seguro de indemnización profesional, verificación de independencia, comprobación de referencias), gestión de conflictos de interés, procedimientos de selección y autorización de seguridad de los probadores, requisitos de no divulgación y confidencialidad, y criterios de evaluación del desempeño de los probadores. Proporciona una lista de verificación de cualificación de probadores tanto para probadores internos como externos, y una muestra de declaración de trabajo para compromisos de pruebas externas."

Paso 3: Planifica TLPT (Artículos 26-27)

Comprensión de los requisitos de TLPT

Las Pruebas de Penetración Dirigidas por Amenazas (TLPT) bajo DORA se basan en el marco TIBER-EU y representan el requisito de pruebas más intensivo. Incluso si no has sido designado para TLPT, comprender los requisitos es valioso para la preparación.

1. Evalúa la aplicabilidad de TLPT:

   "Evalúa si nuestro [tipo de entidad] con [tamaño, importancia sistémica, perfil de riesgo de TIC] es probable que sea designado para TLPT de DORA según el Artículo 26. Considera: nuestra importancia sistémica en el sector financiero, criticidad de los servicios que proporcionamos, nuestro perfil y complejidad de riesgo de TIC, criterios de designación de la autoridad competente según la guía publicada. Si es probable que seamos designados, proporciona una evaluación de preparación para TLPT y un cronograma de preparación. Si es poco probable, recomienda medidas preparatorias que debemos tomar de todos modos."

2. Genera el marco de TLPT:

   "Crea un marco de preparación y ejecución de TLPT para el Artículo 26 de DORA, alineado con la metodología TIBER-EU. Incluye: Fase 1 - Preparación: definición del alcance (funciones críticas e importantes a probar en sistemas de producción en vivo), participación y notificación a la autoridad competente, selección del proveedor de inteligencia de amenazas, selección del proveedor del equipo rojo, formación del equipo blanco (equipo interno consciente de la prueba), aprobaciones de gobernanza interna. Fase 2 - Inteligencia de Amenazas: informe de inteligencia de amenazas (análisis del panorama de amenazas dirigido), escenarios de amenazas basados en actores y técnicas de amenazas actuales, análisis de superficie de ataque, y revisión de la autoridad competente de los escenarios de amenazas. Fase 3 - Pruebas del Equipo Rojo: compromiso del equipo rojo (ataques simulados en sistemas de producción en vivo), ejecución de la prueba durante [duración típica: 8-12 semanas], mecanismos de seguridad para pruebas controladas, actividades del equipo púrpura (si se acuerdan), y documentación de hallazgos. Fase 4 - Cierre: informe del equipo rojo con hallazgos y evidencia, evaluación de la respuesta del equipo azul, desarrollo del plan de remediación, informe al órgano de gestión, proceso de atestación ante la autoridad competente. Proporciona estimaciones de tiempo y requisitos de recursos para cada fase."

Selección de proveedores para TLPT

TLPT requiere tanto un proveedor de inteligencia de amenazas como un proveedor de equipo rojo. Usa ISMS Copilot para desarrollar criterios de selección:

"Crea un marco de selección de proveedores para TLPT según los Artículos 26-27 de DORA. Para el Proveedor de Inteligencia de Amenazas: cualificaciones requeridas (experiencia en amenazas financieras específicas del sector, certificaciones reconocidas), criterios de evaluación (calidad de informes de amenazas anteriores, comprensión de las amenazas del sector financiero de la UE, fuentes de datos y capacidades de recolección), y lista de verificación de selección. Para el Proveedor del Equipo Rojo: cualificaciones requeridas (acreditación CREST, CBEST o equivalente, experiencia con pruebas TIBER-EU, experiencia en el sector financiero), criterios de evaluación (capacidades técnicas, metodología, composición del equipo, historial de seguridad), verificación de independencia (sin relación de asesoría actual con la entidad), requisitos de seguro, y lista de verificación de selección. Proporciona una plantilla de RFP para ambos tipos de proveedores."

Definición del alcance de TLPT

Una definición adecuada del alcance es crítica para el éxito de TLPT. Usa ISMS Copilot para definir el alcance de las pruebas:

"Ayúdanos a definir el alcance para nuestro ejercicio de TLPT de DORA. Nuestras funciones críticas e importantes incluyen: [lista de funciones]. Para cada función crítica, identifica: los sistemas e infraestructura de TIC de soporte que deben estar dentro del alcance, flujos de datos e integraciones que podrían ser rutas de ataque, proveedores de TIC de terceros que soportan la función (y si deben incluirse en las pruebas según el Artículo 26(3)), posibles superficies de ataque (externa, interna, física, ingeniería social), y sistemas que deben excluirse explícitamente por razones de seguridad. Produce un documento de alcance de TLPT adecuado para la revisión de la autoridad competente."

Paso 4: Informes de resultados y seguimiento de remediación

Informes de resultados de pruebas a la dirección

DORA requiere que los resultados de las pruebas se informen al órgano de gestión y se utilicen para actualizar el marco de gestión de riesgos de TIC:

1. Genera plantillas de informes de resultados de pruebas:

   "Crea una plantilla de informe de resultados de pruebas de resiliencia para la presentación al órgano de gestión según el Artículo 24 de DORA. Incluye: resumen ejecutivo (postura general de resiliencia, hallazgos clave, comparación de tendencias), resumen de la ejecución del programa de pruebas (pruebas realizadas, alcance, timing), hallazgos por gravedad (crítico, alto, medio, bajo) con contexto de impacto en el negocio, comparación con ciclos de pruebas anteriores (mejora o degradación), estado de remediación de vulnerabilidades identificadas previamente, nuevas recomendaciones de remediación con priorización basada en riesgos, evaluación de la efectividad del programa de pruebas, utilización de presupuesto y recursos, y recomendaciones para ajustes en el programa de pruebas. El informe debe ser adecuado para miembros no técnicos del consejo mientras mantiene suficiente detalle para la supervisión de riesgos."

2. Crea documentación de atestación para TLPT:

   "Crea un paquete de documentación de atestación de TLPT para su presentación a nuestra autoridad competente según el Artículo 26(6) de DORA. Incluye: informe resumido de TLPT (alcance, metodología, cronograma), hallazgos anonimizados del equipo rojo (gravedad crítica y alta), plan de remediación con cronograma y estado, reconocimiento y aprobación del órgano de gestión, lecciones aprendidas organizacionales, y cualquier solicitud de reconocimiento mutuo con otras autoridades competentes. Sigue el formato de guía de [autoridad competente] y el marco TIBER-EU."

Seguimiento de remediación

Las pruebas solo son valiosas si los hallazgos conducen a mejoras. Establece un seguimiento robusto de remediación:

"Crea un procedimiento de seguimiento de remediación de pruebas de resiliencia para el cumplimiento de DORA. Incluye: cómo se traducen los hallazgos en acciones de remediación, metodología de priorización (crítico: remediar en 30 días, alto: 60 días, medio: 90 días, bajo: próximo ciclo de pruebas), asignación de responsables de remediación y rendición de cuentas, seguimiento del progreso y escalada para remediaciones atrasadas, pruebas de verificación (confirmación de que las soluciones son efectivas), proceso de excepción para hallazgos que no pueden ser remediados (controles compensatorios, aceptación de riesgos con aprobación del órgano de gestión), integración con el registro de riesgos de TIC (actualización de evaluaciones de riesgos basadas en hallazgos de pruebas), y cadencia de informes al órgano de gestión. Proporciona una plantilla de registro de seguimiento de remediación."

Paso 5: Integra las pruebas con tu marco de gestión de riesgos de TIC

Incorporación de resultados en la gestión de riesgos

DORA requiere que los resultados de las pruebas informen y actualicen tu marco de gestión de riesgos de TIC. Usa ISMS Copilot para formalizar esta integración:

"Define cómo los resultados de las pruebas de resiliencia se integran con nuestro marco de gestión de riesgos de TIC de DORA. Incluye: cómo los hallazgos de las pruebas actualizan el registro de riesgos de TIC (nuevos riesgos identificados, ajustes en las calificaciones de riesgos, reevaluación de la efectividad de los controles), cómo los resultados de las pruebas informan la revisión anual del marco de gestión de riesgos de TIC según el Artículo 6(5), cómo los resultados de TLPT influyen en nuestra estrategia de riesgos de TIC y apetito de riesgo, cómo los resultados de las pruebas basadas en escenarios actualizan nuestros planes de continuidad del negocio y recuperación ante desastres, cómo las tendencias de evaluación de vulnerabilidades informan nuestras medidas de protección y prevención según el Artículo 9, y cómo los resultados de simulación de incidentes validan o desafían nuestros procedimientos de clasificación y notificación de incidentes. Proporciona un flujo de proceso que muestre el bucle de retroalimentación entre las pruebas y la gestión de riesgos."

Mejora continua de las pruebas

Tu programa de pruebas en sí debe evolucionar en función de los resultados y las amenazas cambiantes:

"Crea un proceso de revisión anual del programa de pruebas para el cumplimiento de DORA. La revisión debe evaluar: cobertura de las pruebas (¿probamos todos los sistemas y funciones críticas según lo planeado?), efectividad de las pruebas (¿las pruebas identificaron vulnerabilidades reales? ¿cómo se comparan los hallazgos con los incidentes reales?), eficiencia de las pruebas (¿estamos utilizando los recursos de manera efectiva? ¿hay pruebas superpuestas o redundantes?), cambios en el panorama de amenazas (¿nuestros escenarios de prueba reflejan las amenazas actuales?), nuevos sistemas o servicios añadidos desde la última revisión (¿están incluidos en el alcance de las pruebas?), retroalimentación regulatoria o guía sobre expectativas de pruebas, y ajustes recomendados para el programa en el próximo ciclo. Produce una plantilla de informe de revisión anual del programa de pruebas para la aprobación del órgano de gestión."

Paso 6: Gestiona la logística y gobernanza de las pruebas

Calendario de pruebas y coordinación

Establece un calendario anual estructurado de pruebas para garantizar que todas las actividades de pruebas estén planificadas, dotadas de recursos y coordinadas:

"Crea un calendario anual de pruebas de resiliencia para nuestro [tipo de entidad]. Mapea todas las actividades de pruebas requeridas a lo largo del año: escaneos de vulnerabilidades (trimestrales para sistemas críticos, mensuales para sistemas expuestos a Internet), pruebas de penetración (anual externa, anual interna, anual de aplicaciones), ejercicios basados en escenarios (semestrales de mesa, anuales de simulación), pruebas de continuidad del negocio (anual de conmutación por error, anual de restauración de copias de seguridad), y actividades de preparación para TLPT (si aplica). Incluye: requisitos de recursos para cada actividad, requisitos de coordinación (ventanas de congelación de cambios, participación de unidades de negocio), dependencias entre actividades de pruebas, asignación presupuestaria por trimestre, y hitos de presentación de informes al órgano de gestión. Formatea como una vista de calendario con estructura de diagrama de Gantt."

Pruebas con proveedores de TIC de terceros

El Artículo 26(3) aborda las pruebas que involucran a proveedores de servicios de TIC de terceros. Coordina los requisitos de pruebas con tus proveedores:

"Crea procedimientos para coordinar las pruebas de resiliencia con proveedores de TIC de terceros según DORA. Incluye: requisitos contractuales para la participación del proveedor en las pruebas (vinculado a las cláusulas contractuales del Artículo 28), procedimientos de notificación y coordinación con el proveedor, pruebas de responsabilidad compartida (qué probamos nosotros vs qué prueba el proveedor), manejo de la negativa del proveedor a participar en las pruebas, enfoques alternativos de pruebas cuando no es posible realizar pruebas directas al proveedor (pruebas sintéticas, informes de pruebas proporcionados por el proveedor), TLPT que involucra sistemas del proveedor de terceros (acuerdos de pruebas agrupadas según el Artículo 26(3)), y recolección de evidencia de las actividades de pruebas del proveedor. Aborda escenarios para proveedores de nube, proveedores de servicios gestionados y proveedores de infraestructura crítica."

Próximos pasos

Ahora tienes un programa integral de pruebas de resiliencia operativa digital:

• Marco del programa de pruebas con metodología basada en riesgos
• Planes detallados para evaluaciones de vulnerabilidades, pruebas de penetración y pruebas basadas en escenarios
• Requisitos de cualificación e independencia de los probadores
• Marco de preparación para TLPT (si estás designado o es probable que lo estés)
• Plantillas de informes de resultados para el órgano de gestión y la autoridad competente
• Procedimientos de seguimiento de remediación
• Integración con el marco de gestión de riesgos de TIC

Continúa con la guía final de esta serie de DORA:

• Cómo gestionar el riesgo de TIC de terceros de DORA utilizando IA -- Asegúrate de que tus proveedores de terceros estén incluidos en tu programa de pruebas y que los contratos respalden tus obligaciones de pruebas

Para la configuración fundamental, consulta Cómo empezar con la implementación de DORA utilizando IA. Para el marco de riesgos de TIC, consulta Cómo construir un marco de gestión de riesgos de TIC de DORA utilizando IA. Para la integración de la notificación de incidentes, consulta Cómo implementar la notificación de incidentes de DORA utilizando IA.

Para indicaciones listas para usar, consulta la Biblioteca de Indicaciones para el Cumplimiento de DORA. Para una visión general regulatoria completa, consulta la Guía de Cumplimiento de DORA para Entidades Financieras.

Obtener ayuda

Para obtener apoyo adicional en la planificación de tu programa de pruebas de resiliencia:

• Pregunta a ISMS Copilot: Usa tu espacio de trabajo de DORA para generar escenarios de prueba específicos para el tipo de tu entidad y entorno de TIC
• Sube informes de pruebas existentes: Obtén un análisis de brechas subiendo informes anteriores de pruebas de penetración o evaluaciones de vulnerabilidades para compararlos con los requisitos de DORA
• Preparación para TLPT: Usa ISMS Copilot para desarrollar tu documento de alcance de TLPT y criterios de selección de proveedores antes de contactar con tu autoridad competente
• Valida los resultados: Revisa todos los planes de pruebas frente a los Artículos 24-27 de DORA, RTS relevantes y el marco TIBER-EU antes de la aprobación del órgano de gestión