Dora TLPT och TIBER-SE: vad kravet faktiskt innebär

Kravet gäller berörda finansiella entiteter, alltså inte alla som omfattas av Dora. Vilka som ska genomföra TLPT bestäms genom en bedömning som utgår från entitetens betydelse och riskprofil, och mikroföretag är undantagna.

För dem som omfattas är kravet konkret: avancerad testning genom TLPT minst var tredje år. Behöriga myndigheter kan justera intervallet utifrån riskprofil och verksamhetens omständigheter, alltså både uppåt och nedåt.

Två avgränsningar är hårdare än i ett vanligt penetrationstest. Testningen ska omfatta flera eller alla kritiska eller viktiga funktioner, vilket gör funktionsklassificeringen till en förutsättning. Och den ska utföras på faktiska produktionssystem, vilket är en annan riskbild än ett test i en isolerad miljö.

Riksbanken beskriver förhållandet mellan de två på ett sätt som är värt att citera exakt, eftersom det avgör var ni hämtar era instruktioner: Dora TLPT följer TIBER-SE:s testprocess. TLPT beskriver vad som ska göras, TIBER-SE hur det ska göras.

TIBER-EU är i sin tur ett ramverk utvecklat av Europeiska centralbanken för att möjliggöra standardiserad testning av cybermotståndskraft i finanssektorn. TIBER-SE är den svenska tillämpningen, och Riksbanken samordnar den.

Konsekvensen för er kontaktlista är att Dora ger er två myndigheter. FI för tillsyn, register och incidentrapportering. Riksbanken för TLPT-processen. Riksbanken har dessutom föreslagit föreskrifter om avgifter för hotbildsstyrda penetrationstester, vilket är en post som hör i budgeten.

Dora TLPT följer TIBER-SE:s testprocess. TLPT beskriver vad som ska göras medan TIBER-SE beskriver hur det ska göras.

Reglerna om testare är strängare än i vanlig upphandling och de är lätta att missa i planeringen.

Finansiella entiteter får använda interna testare, men ska anlita externa testare vart tredje test. Kreditinstitut som klassats som betydande ska enligt artikel 27 endast använda externa testare. Det innebär att en organisation som byggt en intern förmåga ändå behöver en extern part med i planeringen, och att upphandlingen behöver ligga i tid.

IKT-tredjepartsleverantörer ska medverka, samtidigt som ni behåller det fulla ansvaret för efterlevnaden. Om en leverantörs medverkan skulle påverka tjänstekvaliteten negativt finns i stället möjligheten till samordnad testning tillsammans med andra kunder och en extern testare.

TIBER-SE är en process med steg och roller, och den förutsätter en del som tar tid att få fram. Att börja med den delen först kortar hela projektet.

Fyra saker återkommer. Funktionsklassificeringen måste vara gjord, eftersom omfattningen följer kritiska och viktiga funktioner. Informationsregistret behöver vara aktuellt, eftersom det visar vilka leverantörer som ska medverka. Avtalen behöver redan reglera den medverkan, annars börjar projektet med en förhandling. Och budgeten behöver täcka flera år, eftersom kravet är återkommande och externa testare ska anlitas vart tredje test.

Lägg till en intern förankring som liknar den vid en red team-övning. Testningen sker på produktionssystem, vilket betyder att era egna larm kommer att gå och att någon måste kunna bekräfta att aktiviteten är planerad, dygnet runt under testperioden.

Ett vanligt penetrationstest utgår från en avgränsning ni har satt och letar efter så många utnyttjbara svagheter som möjligt. Ett TLPT utgår från en hotbild och försöker nå ett mål som en verklig angripare skulle söka.

Skillnaden i utgångspunkt ger skillnad i leverans. Ett penetrationstest ger en åtgärdslista. Ett TLPT ger en beskrivning av om ett scenario var genomförbart, och en tidslinje över vad ni såg. Riksbanken påpekar att testerna inte är godkänt eller icke godkänt, utan syftar till att identifiera svagheter och stärka motståndskraften.

Praktiskt betyder det att ett TLPT inte ersätter er vanliga testning. Programmet enligt artikel 24 och 25 löper parallellt, och TLPT är den avancerade delen ovanpå, inte i stället.