Como planejar testes de resiliência DORA usando IA

Visão geral

Você aprenderá como projetar e implementar um programa de testes de resiliência operacional digital que atenda aos Artigos 24-27 da DORA usando IA. Este guia abrange o programa de testes geral (avaliações de vulnerabilidades, testes de penetração, testes baseados em cenários), requisitos avançados de Threat-Led Penetration Testing (TLPT), escopo e frequência dos testes, relatórios de resultados para o órgão de gestão e integração dos testes com o seu framework de gestão de riscos de TIC, com prompts específicos do ISMS Copilot para gerar cada componente.

A quem se destina

Este guia é para:

• CISOs e gestores de segurança responsáveis por projetar e supervisionar programas de testes de resiliência
• Gestores de riscos de TI que integram resultados de testes em avaliações de riscos de TIC
• Coordenadores de testes de penetração que gerenciam atividades de testes internos e externos
• Oficiais de conformidade que garantem que os programas de testes atendam às expectativas regulatórias
• Consultores que auxiliam entidades financeiras a se prepararem para TLPT ou testes de resiliência em geral

Antes de começar

Você precisará de:

• Uma conta no ISMS Copilot (teste gratuito disponível)
• Seu framework de gestão de riscos de TIC e inventário de ativos de TIC de Como construir um framework de gestão de riscos de TIC da DORA usando IA
• Seus procedimentos de classificação e resposta a incidentes de Como implementar o reporte de incidentes da DORA usando IA
• Compreensão das suas atividades atuais de testes (varreduras de vulnerabilidades, testes de penetração, testes de DR)
• Conhecimento sobre se a sua entidade foi designada para TLPT pela sua autoridade competente
• Autorização orçamentária para serviços de testes externos (particularmente para TLPT)

Compreendendo os requisitos de testes de resiliência da DORA

Análise artigo por artigo

O Capítulo IV da DORA (Artigos 24-27) estabelece uma abordagem estruturada para testes de resiliência operacional digital:

Article

Title

Key requirements

Applicability

Art 24

Requisitos gerais para testes de resiliência operacional digital

Estabelecer programa de testes como parte da gestão de riscos de TIC, abordagem baseada em risco

Todas as entidades financeiras (proporcional)

Art 25

Testes de ferramentas e sistemas de TIC

Tipos específicos de testes: avaliações de vulnerabilidades, testes de penetração, testes baseados em cenários, testes de compatibilidade, testes de desempenho, revisões de código-fonte

Todas as entidades financeiras (proporcional)

Art 26

Testes avançados por meio de TLPT

Testes de penetração liderados por ameaças com base no framework TIBER-EU, a cada 3 anos

Apenas entidades designadas

Art 27

Requisitos para testadores

Qualificações, independência e padrões para testadores (internos e externos)

Todas as entidades que conduzem testes

Testes gerais vs. TLPT

Compreender a distinção entre testes gerais e TLPT é fundamental para definir o escopo do seu programa:

Aspect

Testes gerais (Art 24-25)

TLPT (Art 26-27)

Key difference

Quem

Todas as entidades financeiras

Apenas entidades designadas

A autoridade competente designa as entidades para TLPT

Frequência

Baseada em risco; sistemas críticos pelo menos anualmente

Pelo menos a cada 3 anos

O TLPT é menos frequente, mas muito mais intensivo

Escopo

Todos os sistemas de TIC (proporcional)

Funções críticas e importantes, sistemas de produção em tempo real

O TLPT testa sistemas em produção, não apenas ambientes de teste

Metodologia

Várias (varreduras de vulnerabilidades, testes de penetração, testes de cenários)

Framework TIBER-EU, liderado por inteligência de ameaças

O TLPT simula táticas de adversários do mundo real

Testadores

Internos ou externos (com requisitos de independência)

Testadores externos obrigatórios (com exceções limitadas)

O TLPT requer uma equipe vermelha externa certificada

Relatórios

Internos (órgão de gestão, função de risco de TIC)

Para a autoridade competente, com atestação

Os resultados do TLPT são enviados ao regulador

Passo 1: Projete seu programa de testes gerais (Artigos 24-25)

Framework do programa de testes

O Artigo 24 exige um programa de testes que seja parte integrante do seu framework de gestão de riscos de TIC, siga uma abordagem baseada em risco e seja proporcional ao tamanho e perfil de risco da sua entidade.

1. Abra o seu espaço de trabalho DORA no ISMS Copilot

2. Gere o documento do programa de testes:

   "Crie um Programa de Testes de Resiliência Operacional Digital para um [tipo de entidade] que atenda aos Artigos 24-25 da DORA. Inclua: propósito e objetivos do programa, governança (supervisão do órgão de gestão, responsável pelo programa, funções e responsabilidades), abordagem baseada em risco para o planejamento de testes (como os riscos determinam o que é testado e com que frequência), escopo dos testes (mapeado para o inventário de ativos de TIC e funções críticas/importantes), tipos de testes a serem conduzidos (avaliações de vulnerabilidades, testes de segurança de rede, testes de penetração, testes baseados em cenários, testes de compatibilidade, testes de desempenho, revisões de código-fonte, testes de software de código aberto, testes de ponta a ponta), frequência dos testes por criticidade do ativo e tipo de teste, requisitos para testadores internos vs. externos, requisitos de independência conforme o Artigo 27, relatórios de resultados e comunicação com o órgão de gestão, processo de acompanhamento de remediação, integração com atualizações do framework de gestão de riscos de TIC, modelo de calendário anual de testes e planejamento de orçamento e recursos. Aplique proporcionalidade para uma organização de [tamanho da entidade]."

3. Defina a metodologia de testes baseada em risco:

   "Crie uma metodologia de testes baseada em risco para testes de resiliência da DORA. Defina como determinamos: quais sistemas e funções testar (com base na criticidade dos ativos de TIC, impacto nos negócios, panorama de ameaças, incidentes anteriores), que tipo de teste aplicar (varredura de vulnerabilidades vs. teste de penetração vs. teste baseado em cenário), profundidade e intensidade dos testes (básico, padrão, avançado), frequência dos testes (trimestral, semestral, anual) e prioridade dos testes quando os recursos são limitados. Forneça uma matriz de prioridade de testes que mapeie a criticidade dos ativos e o nível de ameaça para o tipo e frequência dos testes. Inclua exemplos para um [tipo de entidade]."

Tipos de testes e sua aplicação

O Artigo 25 especifica vários tipos de testes. Use o ISMS Copilot para desenvolver planos detalhados para cada um:

1. Programa de avaliação de vulnerabilidades:

   "Crie um programa de avaliação de vulnerabilidades para conformidade com o Artigo 25 da DORA. Inclua: escopo de varredura (todos os ativos de TIC por nível de criticidade), ferramentas e metodologia de varredura, frequência de varredura (pelo menos trimestral para ativos críticos, mensal recomendado), classificação de vulnerabilidades alinhada com a pontuação CVSS, prazos de remediação por gravidade (crítico: 48 horas, alto: 7 dias, médio: 30 dias, baixo: 90 dias), processo de gestão de exceções para vulnerabilidades que não podem ser corrigidas imediatamente, formato de relatório (relatório técnico e resumo para a gestão), metodologia de análise de tendências e integração com procedimentos de gestão de patches. Forneça um fluxo de trabalho de gestão de vulnerabilidades."

2. Programa de testes de penetração:

   "Crie um programa de testes de penetração para conformidade com o Artigo 25 da DORA. Inclua: escopo dos testes (perímetro externo, rede interna, aplicações web, aplicações móveis, segurança de API, engenharia social), frequência dos testes (pelo menos anual para sistemas críticos, mais frequente para áreas de alto risco), metodologia de testes (OWASP, PTES ou equivalente), modelo de regras de engajamento (escopo, timing, escalonamento, ações proibidas), requisitos de qualificação dos testadores conforme o Artigo 27 da DORA (independência, competência, seguro), procedimentos pré-teste (autorização, confirmação de escopo, comunicação), requisitos de relatório (resumo executivo, descobertas técnicas, classificações de risco, recomendações de remediação), procedimentos pós-teste (verificação de remediação, reteste) e formato de relatório para o órgão de gestão. Forneça um modelo de regras de engajamento."

3. Programa de testes baseados em cenários:

   "Projete um programa de testes de resiliência baseados em cenários para o Artigo 25 da DORA. Crie cenários de teste abrangendo: ataque de ransomware em sistemas bancários/pagamentos principais, interrupção de um grande provedor de nuvem que afeta serviços críticos, ataque DDoS durante períodos de pico de transações, ameaça interna comprometendo dados sensíveis, ataque à cadeia de suprimentos por meio de um provedor crítico de TIC de terceiros, falha simultânea de sistemas primários e de backup, perda de pessoal chave de TIC durante um incidente, violação de dados regulatórios que exige notificação aos clientes. Para cada cenário, defina: objetivos do teste, escopo e sistemas envolvidos, narrativa do cenário e linha do tempo de injeção, critérios de sucesso, participantes e funções, procedimentos de execução do teste, resultados esperados, critérios de avaliação e modelo de relatório. Inclua formatos de exercício tanto de mesa quanto simulado."

Passo 2: Estabeleça requisitos para testadores (Artigo 27)

Independência e qualificações dos testadores

O Artigo 27 estabelece requisitos para testadores que conduzem testes de resiliência. Estes se aplicam tanto a testadores internos quanto externos:

"Crie uma política de requisitos e qualificação de testadores para o Artigo 27 da DORA. Aborde: testadores internos (independência das áreas sendo testadas, certificações relevantes como OSCP/CREST/GPEN, competência mantida, requisitos de rotação), testadores externos (certificações profissionais e acreditações, experiência relevante em testes no setor financeiro, seguro de responsabilidade civil profissional, verificação de independência, verificação de referências), gestão de conflitos de interesse, procedimentos de triagem e autorização de segurança dos testadores, requisitos de não divulgação e confidencialidade, e critérios de avaliação de desempenho dos testadores. Forneça uma lista de verificação de qualificação de testadores para testadores internos e externos, e um modelo de declaração de trabalho para contratações de testes externos."

Passo 3: Planeje o TLPT (Artigos 26-27)

Compreendendo os requisitos do TLPT

O Threat-Led Penetration Testing (TLPT) sob a DORA é baseado no framework TIBER-EU e representa o requisito de teste mais intensivo. Mesmo que você não tenha sido designado para TLPT, compreender os requisitos é valioso para a preparação.

1. Avalie a aplicabilidade do TLPT:

   "Avalie se nossa [tipo de entidade] com [tamanho, importância sistêmica, perfil de risco de TIC] provavelmente será designada para TLPT da DORA sob o Artigo 26. Considere: nossa importância sistêmica no setor financeiro, criticidade dos serviços que fornecemos, nosso perfil e complexidade de risco de TIC, critérios de designação da autoridade competente a partir de orientações publicadas. Se for provável a designação, forneça uma avaliação de prontidão para TLPT e um cronograma de preparação. Se for improvável, recomende medidas preparatórias que devemos tomar independentemente."

2. Gere o framework do TLPT:

   "Crie um framework de preparação e execução de TLPT para o Artigo 26 da DORA, alinhado com a metodologia TIBER-EU. Inclua: Fase 1 - Preparação: definição do escopo (funções críticas e importantes a serem testadas em sistemas de produção em tempo real), engajamento e notificação da autoridade competente, seleção do provedor de inteligência de ameaças, seleção do provedor da equipe vermelha, formação da equipe branca (equipe interna ciente do teste), aprovações de governança interna. Fase 2 - Inteligência de Ameaças: relatório de inteligência de ameaças (análise do panorama de ameaças direcionado), cenários de ameaças baseados em atores e técnicas de ameaças atuais, análise de superfície de ataque e revisão dos cenários de ameaças pela autoridade competente. Fase 3 - Testes da Equipe Vermelha: engajamento da equipe vermelha (ataques simulados em sistemas de produção em tempo real), execução do teste ao longo de [duração típica: 8-12 semanas], mecanismos de segurança para testes controlados, atividades da equipe roxa (se acordado) e documentação das descobertas. Fase 4 - Encerramento: relatório da equipe vermelha com descobertas e evidências, avaliação da resposta da equipe azul, desenvolvimento do plano de remediação, briefing para o órgão de gestão e processo de atestação pela autoridade competente. Forneça estimativas de cronograma e requisitos de recursos para cada fase."

Seleção de provedores para TLPT

O TLPT requer tanto um provedor de inteligência de ameaças quanto um provedor de equipe vermelha. Use o ISMS Copilot para desenvolver critérios de seleção:

"Crie um framework de seleção de provedores para TLPT conforme os Artigos 26-27 da DORA. Para o Provedor de Inteligência de Ameaças: qualificações necessárias (experiência em ameaças financeiras específicas do setor, certificações reconhecidas), critérios de avaliação (qualidade de relatórios de ameaças anteriores, compreensão das ameaças do setor financeiro da UE, fontes de dados e capacidades de coleta) e lista de verificação de seleção. Para o Provedor da Equipe Vermelha: qualificações necessárias (acreditação CREST, CBEST ou equivalente, experiência com testes TIBER-EU, experiência no setor financeiro), critérios de avaliação (capacidades técnicas, metodologia, composição da equipe, histórico de segurança), verificação de independência (nenhum relacionamento atual de consultoria com a entidade), requisitos de seguro e lista de verificação de seleção. Forneça um modelo de RFP para ambos os tipos de provedores."

Definição do escopo do TLPT

A definição adequada do escopo é crítica para o sucesso do TLPT. Use o ISMS Copilot para definir o escopo dos testes:

"Ajude-nos a definir o escopo para o nosso exercício de TLPT da DORA. Nossas funções críticas e importantes incluem: [listar funções]. Para cada função crítica, identifique: os sistemas e infraestrutura de TIC de suporte que devem estar no escopo, fluxos de dados e integrações que podem ser caminhos de ataque, provedores de TIC de terceiros que suportam a função (e se devem ser incluídos nos testes conforme o Artigo 26(3)), possíveis superfícies de ataque (externa, interna, física, engenharia social) e sistemas que devem ser explicitamente excluídos por razões de segurança. Produza um documento de escopo de TLPT adequado para revisão pela autoridade competente."

Passo 4: Relatórios de resultados e acompanhamento de remediação

Relatórios de resultados dos testes para a gestão

A DORA exige que os resultados dos testes sejam reportados ao órgão de gestão e usados para atualizar o framework de gestão de riscos de TIC:

1. Gere modelos de relatórios de resultados dos testes:

   "Crie um modelo de relatório de resultados de testes de resiliência para relatórios ao órgão de gestão conforme o Artigo 24 da DORA. Inclua: resumo executivo (postura geral de resiliência, principais descobertas, comparação de tendências), resumo da execução do programa de testes (testes realizados, escopo, timing), descobertas por gravidade (crítico, alto, médio, baixo) com contexto de impacto nos negócios, comparação com ciclos de testes anteriores (melhoria ou degradação), status de remediação para vulnerabilidades identificadas anteriormente, novas recomendações de remediação com priorização baseada em risco, avaliação da eficácia do programa de testes, utilização de orçamento e recursos e recomendações para ajustes no programa de testes. O relatório deve ser adequado para membros não técnicos do conselho, mantendo detalhes suficientes para supervisão de riscos."

2. Crie documentação de atestação do TLPT:

   "Crie um pacote de documentação de atestação do TLPT para submissão à nossa autoridade competente conforme o Artigo 26(6) da DORA. Inclua: relatório resumido do TLPT (escopo, metodologia, cronograma), descobertas anonimizadas da equipe vermelha (críticas e de alta gravidade), plano de remediação com cronograma e status, reconhecimento e aprovação do órgão de gestão, lições aprendidas pela organização e quaisquer solicitações de reconhecimento mútuo com outras autoridades competentes. Siga o formato de orientação da [autoridade competente] e do framework TIBER-EU."

Acompanhamento de remediação

Os testes só têm valor se as descobertas levarem a melhorias. Estabeleça um acompanhamento robusto de remediação:

"Crie um procedimento de acompanhamento de remediação de testes de resiliência para conformidade com a DORA. Inclua: como as descobertas são traduzidas em ações de remediação, metodologia de priorização (crítico: remediar em 30 dias, alto: 60 dias, médio: 90 dias, baixo: próximo ciclo de testes), atribuição de responsável pela remediação e prestação de contas, acompanhamento de progresso e escalonamento para remediações atrasadas, testes de verificação (confirmando que as correções são eficazes), processo de exceção para descobertas que não podem ser remediadas (controles compensatórios, aceitação de risco com aprovação do órgão de gestão), integração com o registro de riscos de TIC (atualizando avaliações de risco com base nas descobertas dos testes) e periodicidade de relatórios para o órgão de gestão. Forneça um modelo de registro de acompanhamento de remediação."

Passo 5: Integre os testes ao seu framework de gestão de riscos de TIC

Alimentando resultados na gestão de riscos

A DORA exige que os resultados dos testes informem e atualizem o seu framework de gestão de riscos de TIC. Use o ISMS Copilot para formalizar essa integração:

"Defina como os resultados dos testes de resiliência se integram ao nosso framework de gestão de riscos de TIC da DORA. Inclua: como as descobertas dos testes atualizam o registro de riscos de TIC (novos riscos identificados, reajuste de classificações de risco, reavaliação da eficácia dos controles), como os resultados dos testes informam a revisão anual do framework de gestão de riscos de TIC conforme o Artigo 6(5), como os resultados do TLPT influenciam nossa estratégia de risco de TIC e apetite ao risco, como os resultados dos testes baseados em cenários atualizam nossos planos de continuidade de negócios e recuperação de desastres, como as tendências de avaliação de vulnerabilidades informam nossas medidas de proteção e prevenção conforme o Artigo 9 e como os resultados de simulação de incidentes validam ou desafiam nossos procedimentos de classificação e reporte de incidentes. Forneça um fluxo de processo mostrando o ciclo de feedback entre testes e gestão de riscos."

Melhoria contínua dos testes

O seu programa de testes em si deve evoluir com base nos resultados e nas ameaças em mudança:

"Crie um processo de revisão anual do programa de testes para conformidade com a DORA. A revisão deve avaliar: cobertura dos testes (testamos todos os sistemas e funções críticos conforme planejado?), eficácia dos testes (os testes identificaram vulnerabilidades reais? como as descobertas se comparam a incidentes reais?), eficiência dos testes (estamos usando os recursos de forma eficaz? há testes sobrepostos ou redundantes?), mudanças no panorama de ameaças (nossos cenários de teste refletem as ameaças atuais?), novos sistemas ou serviços adicionados desde a última revisão (eles estão incluídos no escopo dos testes?), feedback regulatório ou orientações sobre expectativas de testes e ajustes recomendados para o programa no próximo ciclo. Produza um modelo de relatório de revisão anual do programa de testes para aprovação do órgão de gestão."

Passo 6: Gerencie a logística e governança dos testes

Calendário e coordenação dos testes

Estabeleça um calendário anual estruturado de testes para garantir que todas as atividades de testes sejam planejadas, tenham recursos alocados e sejam coordenadas:

"Crie um calendário anual de testes de resiliência para nossa [tipo de entidade]. Mapeie todas as atividades de testes necessárias ao longo do ano: varreduras de vulnerabilidades (trimestrais para sistemas críticos, mensais para sistemas voltados à internet), testes de penetração (anual externo, anual interno, anual de aplicações), exercícios baseados em cenários (semestral de mesa, anual simulado), testes de continuidade de negócios (anual de failover, anual de restauração de backup) e atividades de preparação para TLPT (se aplicável). Inclua: requisitos de recursos para cada atividade, requisitos de coordenação (janelas de congelamento de mudanças, envolvimento de unidades de negócios), dependências entre atividades de testes, alocação de orçamento por trimestre e marcos de relatórios para o órgão de gestão. Formate como uma visão de calendário com estrutura de gráfico de Gantt."

Testes com provedores de TIC de terceiros

O Artigo 26(3) aborda testes que envolvem provedores de serviços de TIC de terceiros. Coordene os requisitos de testes com seus fornecedores:

"Crie procedimentos para coordenar testes de resiliência com provedores de TIC de terceiros sob a DORA. Inclua: requisitos contratuais para participação do provedor em testes (vinculado às cláusulas contratuais do Artigo 28), procedimentos de notificação e coordenação com o provedor, testes de responsabilidade compartilhada (o que testamos vs. o que o provedor testa), tratamento de recusa do provedor em participar dos testes, abordagens alternativas de testes quando o teste direto do provedor não for possível (testes sintéticos, relatórios de testes fornecidos pelo provedor), TLPT envolvendo sistemas de provedores de terceiros (acordos de testes agrupados conforme o Artigo 26(3)) e coleta de evidências das atividades de testes do provedor. Aborde cenários para provedores de nuvem, provedores de serviços gerenciados e provedores de infraestrutura crítica."

Próximos passos

Agora você tem um programa abrangente de testes de resiliência operacional digital:

• Framework do programa de testes com metodologia baseada em risco
• Planos detalhados para avaliações de vulnerabilidades, testes de penetração e testes baseados em cenários
• Requisitos de qualificação e independência dos testadores
• Framework de preparação para TLPT (se designado ou com probabilidade de ser designado)
• Modelos de relatórios de resultados para o órgão de gestão e autoridade competente
• Procedimentos de acompanhamento de remediação
• Integração com o framework de gestão de riscos de TIC

Continue com o guia final desta série sobre DORA:

• Como gerenciar o risco de TIC de terceiros da DORA usando IA -- Garanta que seus provedores de terceiros estejam incluídos no seu programa de testes e que os contratos suportem suas obrigações de testes

Para a configuração inicial, consulte Como começar a implementação da DORA usando IA. Para o framework de risco de TIC, consulte Como construir um framework de gestão de riscos de TIC da DORA usando IA. Para integração com o reporte de incidentes, consulte Como implementar o reporte de incidentes da DORA usando IA.

Para prompts prontos para uso, consulte a DORA Compliance Prompt Library. Para a visão geral regulatória completa, consulte o DORA Compliance Guide for Financial Entities.

Obtendo ajuda

Para suporte adicional no planejamento do seu programa de testes de resiliência:

• Pergunte ao ISMS Copilot: Use o seu espaço de trabalho DORA para gerar cenários de teste específicos para o tipo de entidade e ambiente de TIC
• Envie relatórios de testes existentes: Obtenha uma análise de lacunas enviando relatórios anteriores de testes de penetração ou avaliações de vulnerabilidades para comparação com os requisitos da DORA
• Preparação para TLPT: Use o ISMS Copilot para desenvolver o documento de escopo do TLPT e critérios de seleção de provedores antes de engajar sua autoridade competente
• Valide saídas: Revise todos os planos de testes em relação aos Artigos 24-27 da DORA, RTS relevantes e o framework TIBER-EU antes da aprovação do órgão de gestão