Hoe plan je DORA-resiliencetesten met behulp van AI

Overzicht

Je leert hoe je een programma voor digitale operationele resiliencetesten ontwerpt en implementeert dat voldoet aan DORA-artikelen 24-27 met behulp van AI. Deze gids behandelt het algemene testprogramma (kwetsbaarheidsbeoordelingen, penetratietesten, scenario-gebaseerde testen), geavanceerde Threat-Led Penetration Testing (TLPT)-vereisten, testbereik en -frequentie, het rapporteren van resultaten aan je managementorgaan, en het integreren van testen met je ICT-risicomanagementframework, met specifieke ISMS Copilot-prompts voor het genereren van elke component.

Voor wie is dit bedoeld

Deze gids is bedoeld voor:

• CISO's en securitymanagers die verantwoordelijk zijn voor het ontwerpen en beheren van resiliencetestprogramma's
• IT-risicomanagers die testresultaten integreren in ICT-risicobeoordelingen
• Coördinatoren van penetratietesten die interne en externe testactiviteiten beheren
• Compliance officers die ervoor zorgen dat testprogramma's voldoen aan regelgevende verwachtingen
• Consultants die financiële entiteiten helpen bij de voorbereiding op TLPT of algemene resiliencetesten

Voordat je begint

Je hebt nodig:

• Een ISMS Copilot-account (gratis proefversie beschikbaar)
• Je ICT-risicomanagementframework en ICT-activainventaris van Hoe bouw je een DORA ICT-risicomanagementframework met behulp van AI
• Je incidentclassificatie- en responsprocedures van Hoe implementeer je DORA-incidentrapportage met behulp van AI
• Inzicht in je huidige testactiviteiten (kwetsbaarheidsscans, penetratietesten, DR-testen)
• Kennis of je entiteit is aangewezen voor TLPT door je bevoegde autoriteit
• Budgetautorisatie voor externe testdiensten (met name voor TLPT)

Inzicht in de resiliencetestvereisten van DORA

Artikel-voor-artikel overzicht

DORA Hoofdstuk IV (Artikelen 24-27) stelt een gestructureerde aanpak vast voor digitale operationele resiliencetesten:

Article

Title

Key requirements

Applicability

Art 24

General requirements for digital operational resilience testing

Opzetten van testprogramma als onderdeel van ICT-risicomanagement, risicogebaseerde aanpak

Alle financiële entiteiten (evenredig)

Art 25

Testing of ICT tools and systems

Specifieke testtypen: kwetsbaarheidsbeoordelingen, penetratietesten, scenario-gebaseerde testen, compatibiliteitstesten, prestatietesten, broncodebeoordelingen

Alle financiële entiteiten (evenredig)

Art 26

Advanced testing through TLPT

Threat-led penetratietesten gebaseerd op het TIBER-EU-framework, elke 3 jaar

Alleen aangewezen entiteiten

Art 27

Requirements for testers

Kwalificaties, onafhankelijkheid en normen voor testers (intern en extern)

Alle entiteiten die testen uitvoeren

Algemene testen vs. TLPT

Het begrijpen van het onderscheid tussen algemene testen en TLPT is cruciaal voor het bepalen van de reikwijdte van je programma:

Aspect

Algemene testen (Art 24-25)

TLPT (Art 26-27)

Key difference

Wie

Alle financiële entiteiten

Alleen aangewezen entiteiten

Bevoegde autoriteit wijst TLPT-entiteiten aan

Frequentie

Risicogebaseerd; kritieke systemen ten minste jaarlijks

Ten minste elke 3 jaar

TLPT is minder frequent maar veel intensiever

Bereik

Alle ICT-systemen (evenredig)

Kritieke en belangrijke functies, live productiesystemen

TLPT test live systemen, niet alleen testomgevingen

Methodologie

Verschillende (kwetsbaarheidsscans, pentesten, scenariotesten)

TIBER-EU-framework, threat intelligence-gestuurd

TLPT simuleert real-world tegenstanderstactieken

Testers

Intern of extern (met onafhankelijkheidsvereisten)

Externe testers vereist (met beperkte uitzonderingen)

TLPT vereist gecertificeerde externe red team

Rapportage

Intern (managementorgaan, ICT-risicofunctie)

Aan bevoegde autoriteit, met attestatie

TLPT-resultaten gaan naar de toezichthouder

Stap 1: Ontwerp je algemene testprogramma (Artikelen 24-25)

Testprogrammakader

Artikel 24 vereist een testprogramma dat integraal onderdeel is van je ICT-risicomanagementframework, een risicogebaseerde aanpak volgt en evenredig is aan de omvang en het risicoprofiel van je entiteit.

1. Open je DORA-werkruimte in ISMS Copilot

2. Genereer het testprogrammadocument:

   "Maak een Digital Operational Resilience Testing Program voor een [entiteitstype] dat voldoet aan DORA-artikelen 24-25. Inclusief: doel en doelstellingen van het programma, governance (toezicht door het managementorgaan, programmaverantwoordelijke, rollen en verantwoordelijkheden), risicogebaseerde aanpak voor testplanning (hoe risico's bepalen wat er wordt getest en hoe vaak), testbereik (gekoppeld aan ICT-activainventaris en kritieke/belangrijke functies), uit te voeren testtypen (kwetsbaarheidsbeoordelingen, netwerkbeveiligingstesten, penetratietesten, scenario-gebaseerde testen, compatibiliteitstesten, prestatietesten, broncodebeoordelingen, open source software testen, end-to-end testen), testfrequentie per kritikaliteit van activa en testtype, vereisten voor interne vs externe testers, onafhankelijkheidsvereisten volgens Artikel 27, rapportage van resultaten en communicatie met het managementorgaan, proces voor het bijhouden van herstelacties, integratie met updates van het ICT-risicomanagementframework, sjabloon voor jaarlijkse testkalender, en budget- en resourceplanning. Pas evenredigheid toe voor een [entiteitsgrootte] organisatie."

3. Definieer de risicogebaseerde testmethodologie:

   "Maak een risicogebaseerde testmethodologie voor DORA-resiliencetesten. Definieer hoe we bepalen: welke systemen en functies we testen (op basis van kritikaliteit van ICT-activa, bedrijfsimpact, dreigingslandschap, eerdere incidenten), welk type testen we toepassen (kwetsbaarheidsscan vs penetratietest vs scenario-gebaseerde test), testdiepte en -intensiteit (basis, standaard, geavanceerd), testfrequentie (per kwartaal, halfjaarlijks, jaarlijks), en testprioriteit bij beperkte middelen. Geef een testprioriteitenmatrix die kritikaliteit van activa en dreigingsniveau koppelt aan testtype en -frequentie. Inclusief voorbeelden voor een [entiteitstype]."

Testtypen en hun toepassing

Artikel 25 specificeert meerdere testtypen. Gebruik ISMS Copilot om gedetailleerde plannen voor elk te ontwikkelen:

1. Programma voor kwetsbaarheidsbeoordeling:

   "Maak een programma voor kwetsbaarheidsbeoordeling voor naleving van DORA Artikel 25. Inclusief: scanbereik (alle ICT-activa per kritikaliteitsniveau), scantools en -methodologie, scanfrequentie (ten minste per kwartaal voor kritieke activa, maandelijks aanbevolen), kwetsbaarheidsclassificatie afgestemd op CVSS-scoring, hersteltijden per ernst (kritiek: 48 uur, hoog: 7 dagen, gemiddeld: 30 dagen, laag: 90 dagen), uitzonderingsbeheerproces voor kwetsbaarheden die niet onmiddellijk kunnen worden verholpen, rapportageformaat (technisch rapport en managementsamenvatting), trendanalyse-methodologie, en integratie met patchmanagementprocedures. Geef een workflow voor kwetsbaarheidsbeheer."

2. Programma voor penetratietesten:

   "Maak een programma voor penetratietesten voor naleving van DORA Artikel 25. Inclusief: testbereik (externe perimeter, intern netwerk, webapplicaties, mobiele applicaties, API-beveiliging, social engineering), testfrequentie (ten minste jaarlijks voor kritieke systemen, frequenter voor risicovolle gebieden), testmethodologie (OWASP, PTES, of equivalent), sjabloon voor regels van engagement (bereik, timing, escalatie, verboden acties), kwalificatievereisten voor testers volgens DORA Artikel 27 (onafhankelijkheid, competentie, verzekering), pre-testprocedures (autorisatie, bevestiging van bereik, communicatie), rapportagevereisten (managementsamenvatting, technische bevindingen, risicoclassificaties, hersteladviezen), post-testprocedures (verificatie van herstel, hertesten), en rapportageformaat voor het managementorgaan. Geef een voorbeeld van een sjabloon voor regels van engagement."

3. Programma voor scenario-gebaseerde testen:

   "Ontwerp een programma voor scenario-gebaseerde resiliencetesten voor DORA Artikel 25. Maak testscenario's die het volgende omvatten: ransomware-aanval op kernbankierings-/betalingssystemen, grote uitval van cloudprovider die kritieke diensten beïnvloedt, DDoS-aanval tijdens piektransactieperiodes, insider threat die gevoelige gegevens compromitteert, supply chain-aanval via een kritieke derde ICT-provider, gelijktijdige uitval van primaire en back-upsystemen, verlies van sleutel-ICT-personeel tijdens een incident, regelgevende datalek dat klantmelding vereist. Definieer voor elk scenario: testdoelstellingen, bereik en betrokken systemen, scenarioverhaal en injectietijdlijn, succescriteria, deelnemers en rollen, testuitvoeringsprocedures, verwachte resultaten, evaluatiecriteria, en rapportagesjabloon. Inclusief zowel tabletop- als gesimuleerde oefenvormen."

Stap 2: Stel vereisten voor testers vast (Artikel 27)

Onafhankelijkheid en kwalificaties van testers

Artikel 27 stelt vereisten vast voor testers die resiliencetesten uitvoeren. Deze gelden voor zowel interne als externe testers:

"Maak een beleid voor vereisten en kwalificaties van testers voor DORA Artikel 27. Behandel: interne testers (onafhankelijkheid van de te testen gebieden, relevante certificeringen zoals OSCP/CREST/GPEN, onderhouden van competentie, rotatievereisten), externe testers (professionele certificeringen en accreditaties, relevante ervaring in testen binnen de financiële sector, beroepsaansprakelijkheidsverzekering, verificatie van onafhankelijkheid, referentiecontrole), beheer van belangenconflicten, procedures voor screening en veiligheidsmachtiging van testers, vereisten voor geheimhouding en vertrouwelijkheid, en criteria voor evaluatie van testerprestaties. Geef een checklist voor kwalificaties van testers voor zowel interne als externe testers, en een voorbeeld van een statement of work voor externe testopdrachten."

Stap 3: Plan voor TLPT (Artikelen 26-27)

Inzicht in TLPT-vereisten

Threat-Led Penetration Testing (TLPT) onder DORA is gebaseerd op het TIBER-EU-framework en vertegenwoordigt de meest intensieve testvereiste. Zelfs als je niet bent aangewezen voor TLPT, is inzicht in de vereisten waardevol voor de voorbereiding.

1. Beoordeel TLPT-toepasbaarheid:

   "Beoordeel of onze [entiteitstype] met [omvang, systeemrelevantie, ICT-risicoprofiel] waarschijnlijk wordt aangewezen voor DORA TLPT onder Artikel 26. Overweeg: onze systeemrelevantie in de financiële sector, kritikaliteit van de door ons geleverde diensten, ons ICT-risicoprofiel en complexiteit, criteria voor aanwijzing door de bevoegde autoriteit uit gepubliceerde richtlijnen. Als waarschijnlijk aangewezen, geef een TLPT-gereedheidsbeoordeling en voorbereidingstijdlijn. Als onwaarschijnlijk, beveel voorbereidende maatregelen aan die we toch moeten nemen."

2. Genereer het TLPT-framework:

   "Maak een TLPT-voorbereidings- en uitvoeringsframework voor DORA Artikel 26, afgestemd op de TIBER-EU-methodologie. Inclusief: Fase 1 - Voorbereiding: definitie van het bereik (kritieke en belangrijke functies om te testen op live productiesystemen), betrokkenheid en melding bij de bevoegde autoriteit, selectie van threat intelligence-provider, selectie van red team-provider, vorming van het white team (intern team dat op de hoogte is van de test), interne governance-goedkeuringen. Fase 2 - Threat Intelligence: threat intelligence-rapport (gerichte dreigingslandschapsanalyse), dreigingscenario's gebaseerd op huidige dreigingsactoren en -technieken, aanvalsoppervlakteanalyse, en beoordeling van dreigingscenario's door de bevoegde autoriteit. Fase 3 - Red Team Testing: inhuur van red team (gesimuleerde aanvallen op live productiesystemen), testuitvoering over [typische duur: 8-12 weken], gecontroleerd testen met veiligheidsmechanismen, purple team-activiteiten (indien overeengekomen), en documentatie van bevindingen. Fase 4 - Afsluiting: red team-rapport met bevindingen en bewijsmateriaal, beoordeling van de blue team-respons, ontwikkeling van herstelplan, briefing van het managementorgaan, attestatieproces bij de bevoegde autoriteit. Geef tijdschattingen en resourcevereisten voor elke fase."

Selectie van TLPT-providers

TLPT vereist zowel een threat intelligence-provider als een red team-provider. Gebruik ISMS Copilot om selectiecriteria te ontwikkelen:

"Maak een selectiekader voor TLPT-providers voor DORA Artikelen 26-27. Voor de Threat Intelligence Provider: vereiste kwalificaties (sector-specifieke financiële dreigingsexpertise, erkende certificeringen), evaluatiecriteria (kwaliteit van eerdere dreigingsrapporten, begrip van EU-financiële sector dreigingen, databronnen en verzamelcapaciteiten), en selectiechecklist. Voor de Red Team Provider: vereiste kwalificaties (CREST, CBEST, of equivalente accreditatie, ervaring met TIBER-EU-testen, ervaring in de financiële sector), evaluatiecriteria (technische capaciteiten, methodologie, teamopbouw, veiligheidsgeschiedenis), verificatie van onafhankelijkheid (geen huidige adviesrelatie met de entiteit), verzekeringseisen, en selectiechecklist. Geef een RFP-sjabloon voor beide providertypen."

TLPT-bereik

Een juiste afbakening is cruciaal voor een succesvolle TLPT. Gebruik ISMS Copilot om het testbereik te definiëren:

"Help ons het bereik voor onze DORA TLPT-oefening te definiëren. Onze kritieke en belangrijke functies omvatten: [lijst functies]. Identificeer voor elke kritieke functie: de ondersteunende ICT-systemen en -infrastructuur die binnen het bereik moeten vallen, gegevensstromen en integraties die aanvalspaden kunnen vormen, derde ICT-providers die de functie ondersteunen (en of zij moeten worden opgenomen in het testen volgens Artikel 26(3)), potentiële aanvalsoppervlakken (extern, intern, fysiek, social engineering), en systemen die om veiligheidsredenen expliciet moeten worden uitgesloten. Maak een TLPT-bereikdocument dat geschikt is voor beoordeling door de bevoegde autoriteit."

Stap 4: Resultaten rapporteren en herstel bijhouden

Testresultaten rapporteren aan het management

DORA vereist dat testresultaten worden gerapporteerd aan het managementorgaan en worden gebruikt om het ICT-risicomanagementframework bij te werken:

1. Genereer sjablonen voor testresultatenrapporten:

   "Maak een sjabloon voor een rapport over resiliencetestresultaten voor rapportage aan het managementorgaan volgens DORA Artikel 24. Inclusief: managementsamenvatting (algehele resiliencetoestand, belangrijkste bevindingen, trendvergelijking), samenvatting van de uitvoering van het testprogramma (uitgevoerde testen, bereik, timing), bevindingen per ernst (kritiek, hoog, gemiddeld, laag) met context van bedrijfsimpact, vergelijking met eerdere testcycli (verbetering of verslechtering), herstelstatus van eerder geïdentificeerde kwetsbaarheden, nieuwe hersteladviezen met risicogebaseerde prioritering, beoordeling van de effectiviteit van het testprogramma, budget- en resourcegebruik, en aanbevelingen voor aanpassingen van het testprogramma. Het rapport moet geschikt zijn voor niet-technische bestuursleden, terwijl het voldoende detail behoudt voor risicotoezicht."

2. Maak TLPT-attestatiedocumentatie:

   "Maak een TLPT-attestatiedocumentatiepakket voor indiening bij onze bevoegde autoriteit volgens DORA Artikel 26(6). Inclusief: TLPT-samenvattingsrapport (bereik, methodologie, tijdlijn), geanonimiseerde red team-bevindingen (kritieke en hoge ernst), herstelplan met tijdlijn en status, goedkeuring en erkenning door het managementorgaan, organisatorische lessen geleerd, en eventuele verzoeken om wederzijdse erkenning met andere bevoegde autoriteiten. Volg het formaat zoals voorgeschreven door [bevoegde autoriteit] en het TIBER-EU-framework."

Herstel bijhouden

Testen is alleen waardevol als bevindingen leiden tot verbeteringen. Stel robuuste herstelprocedures vast:

"Maak een procedure voor het bijhouden van herstel na resiliencetesten voor naleving van DORA. Inclusief: hoe bevindingen worden vertaald naar herstelacties, prioriteringsmethodologie (kritiek: herstel binnen 30 dagen, hoog: 60 dagen, gemiddeld: 90 dagen, laag: volgende testcyclus), toewijzing en verantwoordelijkheid van hersteleigenaar, voortgangsbewaking en escalatie voor achterstallig herstel, verificatie van herstel (bevestiging dat oplossingen effectief zijn), uitzonderingsproces voor bevindingen die niet kunnen worden verholpen (compenserende maatregelen, risicoacceptatie met goedkeuring van het managementorgaan), integratie met het ICT-risicoregister (bijwerken van risicobeoordelingen op basis van testbevindingen), en rapportagefrequentie aan het managementorgaan. Geef een sjabloon voor een herstelregister."

Stap 5: Integreer testen met je ICT-risicomanagementframework

Resultaten invoeren in risicomanagement

DORA vereist dat testresultaten je ICT-risicomanagementframework informeren en bijwerken. Gebruik ISMS Copilot om deze integratie te formaliseren:

"Definieer hoe resultaten van resiliencetesten integreren met ons DORA ICT-risicomanagementframework. Inclusief: hoe testbevindingen het ICT-risicoregister bijwerken (nieuwe geïdentificeerde risico's, aangepaste risicoclassificaties, herbeoordeling van effectiviteit van controles), hoe testresultaten het jaarlijkse ICT-risicomanagementframework beïnvloeden volgens Artikel 6(5), hoe TLPT-resultaten onze ICT-risicostrategie en risicoappetijt beïnvloeden, hoe resultaten van scenario-gebaseerde testen onze bedrijfscontinuïteits- en disaster recovery-plannen bijwerken, hoe trends uit kwetsbaarheidsbeoordelingen onze beschermings- en preventiemaatregelen volgens Artikel 9 informeren, en hoe incidentsimulaties onze incidentclassificatie- en rapportageprocedures valideren of uitdagen. Geef een processtroom die de terugkoppellus tussen testen en risicomanagement toont."

Continue verbetering van testen

Je testprogramma zelf moet evolueren op basis van resultaten en veranderende dreigingen:

"Maak een jaarlijks beoordelingsproces voor het testprogramma voor naleving van DORA. De beoordeling moet het volgende evalueren: testdekking (hebben we alle kritieke systemen en functies getest zoals gepland?), effectiviteit van testen (hebben de testen echte kwetsbaarheden geïdentificeerd? hoe verhouden bevindingen zich tot daadwerkelijke incidenten?), efficiëntie van testen (gebruiken we onze middelen effectief? zijn er overlappende of redundante testen?), wijzigingen in het dreigingslandschap (weerspiegelen onze testscenario's de huidige dreigingen?), nieuwe systemen of diensten toegevoegd sinds de laatste beoordeling (zijn deze opgenomen in het testbereik?), regelgevende feedback of richtlijnen over testverwachtingen, en aanbevolen programma-aanpassingen voor de volgende cyclus. Maak een sjabloon voor een jaarlijks beoordelingsrapport van het testprogramma voor goedkeuring door het managementorgaan."

Stap 6: Beheer testlogistiek en governance

Testkalender en coördinatie

Stel een gestructureerde jaarlijkse testkalender op om ervoor te zorgen dat alle testactiviteiten gepland, van middelen voorzien en gecoördineerd zijn:

"Maak een jaarlijkse kalender voor resiliencetesten voor onze [entiteitstype]. Breng alle vereiste testactiviteiten over het jaar in kaart: kwetsbaarheidsscans (per kwartaal voor kritieke, maandelijks voor internetgerichte systemen), penetratietesten (jaarlijks extern, jaarlijks intern, jaarlijks applicatie), scenario-gebaseerde oefeningen (halfjaarlijks tabletop, jaarlijks simulatie), bedrijfscontinuïteitstesten (jaarlijks failover, jaarlijks back-uprestauratie), en TLPT-voorbereidingsactiviteiten (indien van toepassing). Inclusief: resourcevereisten voor elke activiteit, coördinatievereisten (wijzigingsstopvensters, betrokkenheid van bedrijfsonderdelen), afhankelijkheden tussen testactiviteiten, budgettoewijzing per kwartaal, en mijlpalen voor rapportage aan het managementorgaan. Formatteer als een kalenderoverzicht met Gantt-chartstructuur."

Testen van derde ICT-providers

Artikel 26(3) behandelt testen waarbij ICT-dienstverleners van derden betrokken zijn. Coördineer testvereisten met je leveranciers:

"Maak procedures voor het coördineren van resiliencetesten met ICT-dienstverleners van derden onder DORA. Inclusief: contractuele vereisten voor deelname van de provider aan testen (koppeling aan Artikel 28-contractclausules), procedures voor melding en coördinatie met de provider, gedeelde verantwoordelijkheid voor testen (wat wij testen vs wat de provider test), omgaan met weigering van de provider om deel te nemen aan testen, alternatieve testbenaderingen wanneer directe testen bij de provider niet mogelijk zijn (synthetisch testen, door de provider verstrekte testrapporten), TLPT waarbij systemen van derde providers betrokken zijn (Artikel 26(3) gezamenlijke testregelingen), en verzameling van bewijsmateriaal uit testactiviteiten van de provider. Behandel scenario's voor cloudproviders, managed service providers en providers van kritieke infrastructuur."

Volgende stappen

Je hebt nu een uitgebreid programma voor digitale operationele resiliencetesten:

• Testprogrammakader met risicogebaseerde methodologie
• Gedetailleerde plannen voor kwetsbaarheidsbeoordelingen, penetratietesten en scenario-gebaseerde testen
• Kwalificatie- en onafhankelijkheidsvereisten voor testers
• TLPT-voorbereidingsframework (indien aangewezen of waarschijnlijk aangewezen)
• Sjablonen voor resultatenrapportage aan het managementorgaan en de bevoegde autoriteit
• Procedures voor het bijhouden van herstelacties
• Integratie met het ICT-risicomanagementframework

Ga verder met de laatste gids in deze DORA-reeks:

• Hoe beheer je DORA-risico's van derde ICT-partijen met behulp van AI -- Zorg ervoor dat je derde partijen zijn opgenomen in je testprogramma en dat contracten je testverplichtingen ondersteunen

Voor de basisopzet, zie Hoe begin je met DORA-implementatie met behulp van AI. Voor het ICT-risicoframework, zie Hoe bouw je een DORA ICT-risicomanagementframework met behulp van AI. Voor integratie van incidentrapportage, zie Hoe implementeer je DORA-incidentrapportage met behulp van AI.

Voor kant-en-klare prompts, zie de DORA Compliance Prompt Library. Voor het volledige regelgevende overzicht, raadpleeg de DORA Compliance Guide for Financial Entities.

Hulp krijgen

Voor extra ondersteuning bij het plannen van je resiliencetestprogramma:

• Vraag ISMS Copilot: Gebruik je DORA-werkruimte om testspecifieke scenario's te genereren voor je entiteitstype en ICT-omgeving
• Upload bestaande testrapporten: Ontvang een gap-analyse door eerdere penetratietest- of kwetsbaarheidsbeoordelingsrapporten te uploaden ter vergelijking met DORA-vereisten
• TLPT-voorbereiding: Gebruik ISMS Copilot om je TLPT-bereikdocument en selectiecriteria voor providers te ontwikkelen voordat je contact opneemt met je bevoegde autoriteit
• Valideer outputs: Beoordeel alle testplannen aan de hand van DORA-artikelen 24-27, relevante RTS en het TIBER-EU-framework voordat je goedkeuring vraagt aan het managementorgaan