Test di resilienza operativa digitale (DORA) e TLPT

La risposta breve: il pilastro 3 di DORA chiede a tutte le entità finanziarie di provare, non solo dichiarare, la propria resilienza operativa digitale. C'è un programma di test di base valido per tutti, calibrato con proporzionalità, e un livello avanzato, il TLPT (Threat-Led Penetration Testing), richiesto solo alle entità significative individuate dalle autorità. La differenza tra i due non è di grado, è di natura: uno verifica i controlli, l'altro simula un attacco vero.

Se arrivi dalla guida completa a DORA, questo articolo entra nel dettaglio del pilastro dei test: cosa prevede, chi fa cosa e perché è il punto in cui la conformità smette di essere un esercizio documentale.

Cosa chiede il pilastro 3 di DORA

DORA parte da un'osservazione tanto semplice quanto scomoda: molte organizzazioni credono di essere pronte a reggere un incidente, ma non lo hanno mai verificato davvero. Il pilastro 3 nasce per colmare questa distanza. Chiede a ogni entità finanziaria di dotarsi di un programma di test della resilienza operativa digitale, periodico e documentato, che metta alla prova sistemi, processi e persone.

Vale anche qui il principio di proporzionalità che attraversa tutto il regolamento: l'ampiezza e la frequenza dei test si calibrano sulla dimensione, sul profilo di rischio e sulla complessità dell'entità. Una piccola realtà non è tenuta allo stesso apparato di un grande gruppo, ma nessuno è esonerato dal provare le proprie capacità.

C'è un modo utile di leggere questo pilastro: è il banco di prova degli altri. La gestione del rischio ICT (pilastro 1) definisce i presidi, la gestione e notifica degli incidenti (pilastro 2) stabilisce come si reagisce, la governance dei fornitori (pilastro 4) mappa le dipendenze esterne. I test sono il momento in cui si verifica se tutto questo regge davvero sotto pressione, invece di limitarsi a esistere nei documenti. Per questo DORA non li tratta come un adempimento isolato, ma come la verifica sul campo dell'intero impianto di resilienza operativa digitale.

Il programma di test di base (per tutte le entità)

Il livello di base è quello che riguarda l'intero perimetro DORA. Il regolamento indica una gamma di strumenti che compongono il programma di test, da usare in combinazione a seconda del contesto:

• valutazioni di vulnerabilità, per individuare le debolezze note nei sistemi;
• scansioni automatiche e periodiche dell'infrastruttura;
• analisi delle configurazioni, per verificare che sistemi e servizi siano impostati in modo corretto;
• gap analysis, per confrontare lo stato attuale con i requisiti attesi;
• test basati su scenari, che simulano situazioni di stress o incidente;
• penetration test, per mettere alla prova la tenuta dei sistemi con tecniche offensive controllate.

Sono strumenti diversi con obiettivi diversi. Le valutazioni di vulnerabilità e le scansioni fotografano le debolezze in modo estensivo; l'analisi delle configurazioni e la gap analysis lavorano sulla qualità dell'impianto; i test su scenari e i penetration test verificano la tenuta in condizioni realistiche. Un buon programma li orchestra invece di usarne uno solo e considerarsi a posto.

Il TLPT: il test guidato dalla minaccia

Sopra il testing di base c'è il livello più avanzato previsto da DORA: il Threat-Led Penetration Testing, letteralmente il test di penetrazione guidato dalla minaccia. Non è un penetration test più lungo: è un esercizio di natura diversa, che parte da scenari di attacco realistici, costruiti sulle minacce effettivamente rilevanti per quella entità, e li porta fino in fondo come farebbe un avversario reale.

A chi si applica

Il TLPT non riguarda tutti. DORA lo richiede alle entità finanziarie significative, individuate dalle autorità competenti sulla base di criteri di rilevanza, tra cui il peso sistemico e il profilo di rischio. Per tutte le altre entità è sufficiente il programma di test di base. È un punto importante da chiarire subito, perché genera parecchia confusione: la maggior parte delle organizzazioni non è tenuta al TLPT, ma tutte sono tenute a un programma di test serio.

Il framework TIBER-EU

Il TLPT non si improvvisa. DORA lo àncora al framework TIBER-EU, il quadro europeo di riferimento per i test guidati dalla minaccia. TIBER-EU definisce come si struttura l'esercizio, come si costruiscono gli scenari a partire dalla threat intelligence, come si coordinano gli attori coinvolti e come si gestisce l'intero ciclo in sicurezza. L'obiettivo è armonizzare il modo in cui questi test avanzati vengono condotti nell'Unione, così che i risultati siano confrontabili e credibili.

Il punto qualificante è che gli scenari non sono generici. Partono dalla threat intelligence specifica per quella entità e per il suo settore: quali attori potrebbero colpirla, con quali tecniche, verso quali obiettivi. Un test guidato dalla minaccia riproduce un avversario plausibile, non un attaccante di fantasia. È questa aderenza alla realtà che rende i risultati significativi e distingue il TLPT da un test di sicurezza standard, che verifica i controlli ma non racconta come reagirebbe l'organizzazione a una campagna mirata e realistica.

Come si svolge

Le caratteristiche del TLPT lo rendono un esercizio impegnativo e realistico:

• si conduce su sistemi in produzione, non su ambienti di prova, perché è lì che si gioca la resilienza vera;
• è affidato a tester esterni qualificati, che portano competenze offensive e indipendenza di giudizio;
• durante la fase di red teaming il blue team interno resta all'oscuro, cioè chi presidia la sicurezza non sa che è in corso un test;
• va ripetuto almeno ogni tre anni, con una cadenza che ne fa un appuntamento strutturale e non un evento isolato.

Il dettaglio del blue team all'oscuro è quello che fa la differenza. Se chi presidia la sicurezza sa che è un'esercitazione, la reazione è artificiale. Tenendolo all'oscuro durante il red teaming, il TLPT misura la capacità reale dell'organizzazione di accorgersi di un attacco in corso e di reagire, esattamente come accadrebbe con un avversario vero. È la prova più onesta che una entità finanziaria possa fare su se stessa.

Perché il TLPT misura la capacità reale di rilevare e rispondere

Il senso ultimo del pilastro 3 non è collezionare report, è rispondere a una domanda: quando succede davvero, ce ne accorgiamo e reagiamo in tempo? Il TLPT trasforma questa domanda in un dato osservabile. Verifica sul campo la capacità di prevenire, rilevare e rispondere, che è poi il cuore della resilienza operativa.

È qui che il discorso incontra le metriche di security operations. Quanto tempo passa prima che un attacco venga individuato e quanto ne serve per contenerlo sono misure concrete di quella capacità. Sono gli indicatori che raccontano se il presidio funziona o se esiste solo sulla carta. Se vuoi approfondire come si misurano e si migliorano, l'articolo su MTTR: cos'è e come ridurlo entra proprio in questo terreno, dal rilevamento alla risposta.

Un TLPT che scopre tempi di rilevamento lunghi o una risposta scoordinata non è un fallimento: è esattamente ciò che serve sapere prima che lo scopra un attaccante. Il valore del test sta nel portare alla luce i punti deboli mentre c'è ancora tempo per intervenire.

Testing di base o TLPT: come orientarsi

Per capire dove ti collochi, la sequenza logica è questa.

1. Verifica se sei tra le entità significative. Il TLPT scatta solo su individuazione delle autorità competenti. Se non lo sei, il tuo obbligo è il programma di test di base, che resta comunque impegnativo.
2. Costruisci un programma di test di base solido. Valutazioni di vulnerabilità, scansioni, analisi delle configurazioni, gap analysis, test su scenari e penetration test, calibrati con proporzionalità e ripetuti nel tempo.
3. Se rientri nel TLPT, pianifica per tempo. Un esercizio su sistemi in produzione, con tester esterni e blue team all'oscuro, richiede preparazione, coordinamento e la base metodologica di TIBER-EU.
4. Chiudi il cerchio con la detection e response. I test hanno senso se alimentano un miglioramento continuo delle capacità di rilevamento e risposta, non se restano un adempimento a sé.

Il filo conduttore è che i test non servono a dimostrare di essere a posto, servono a scoprire dove non lo sei. È una differenza di mentalità, prima ancora che di metodo: un programma costruito per superare un controllo formale produce carta, uno costruito per trovare i punti deboli produce resilienza vera. DORA chiede il secondo tipo, e lo chiede con una periodicità che non lascia spazio agli esercizi di facciata.

Come aiuta AmagisTech

AmagisTech lavora con il mid-market italiano sulla parte che rende credibili i test di DORA: la capacità continua di rilevare e rispondere. Un programma di test misura questa capacità, ma è il lavoro quotidiano di detection e response a determinarne l'esito. Il punto di partenza è quasi sempre capire, dati alla mano, quanto tempo serve oggi per accorgersi di un evento e per contenerlo, e da lì affinare processi e presidi.

Se vuoi vedere come si presidia questo fronte, parti dai nostri servizi di observability e SecOps. Per collegare i test agli altri pilastri del regolamento, l'articolo su gestione del rischio ICT e registro dei fornitori completa il quadro sul lato governance e fornitori.

In sintesi: il pilastro 3 di DORA chiede a tutti un programma di test serio e, alle entità significative, il TLPT guidato dalla minaccia. Il valore non sta nel documento finale, ma nella verità che questi test portano a galla: quanto regge davvero l'organizzazione quando qualcuno prova a colpirla.