Testy penetracyjne w oparciu o analitykę zagrożeń (TLPT): Jak DORA i TIBER-EU zmieniają krajobraz cyberbezpieczeństwa w Polsce?

• TLPT to zaawansowana forma testów penetracyjnych, koncentrująca się na analizie zagrożeń.
• Regulacje DORA i TIBER-EU wdrażają TLPT w europejskim sektorze finansowym.
• Dora poszerza zakres ochrony cyberobronnej w UE od stycznia 2025 roku.

Testy penetracyjne w oparciu o analitykę zagrożeń (TLPT): Jak DORA i TIBER-EU zmieniają krajobraz cyberbezpieczeństwa w Polsce?

W dynamicznym świecie cyberbezpieczeństwa, gdzie napastnicy nieustannie doskonalą swoje metody, tradycyjne podejścia do weryfikacji zabezpieczeń przestają być wystarczające. W odpowiedzi na rosnące zagrożenia, sektor finansowy w Unii Europejskiej przechodzi transformację, której motorem napędowym jest rozporządzenie DORA. Kluczowym elementem tej zmiany są testy penetracyjne w oparciu o analitykę zagrożeń (TLPT), stanowiące nową, zaawansowaną formę weryfikacji odporności organizacji. Wprowadzenie tego wymogu to nie tylko formalność regulacyjna, ale fundamentalna zmiana filozofii – od reaktywnego łatania luk po proaktywne testowanie zdolności do obrony przed realnymi, ukierunkowanymi atakami.

Dla polskich instytucji finansowych, menedżerów IT, CISO i zarządów, zrozumienie istoty TLPT, jego praktycznych aspektów oraz różnic w stosunku do klasycznych testów penetracyjnych jest dziś kluczowe. Ten artykuł to kompleksowy przewodnik po świecie Threat-Led Penetration Testing, oparty na najnowszych wytycznych i analizach rynkowych.

Czym dokładnie są testy TLPT i dlaczego to więcej niż zwykły pentest?

Threat-Led Penetration Testing (TLPT) to, jak definiuje rozporządzenie DORA, kontrolowany i dostosowany do specyfiki organizacji test, realizowany przez zespół red team w oparciu o szczegółową analitykę zagrożeń. Jego celem jest naśladowanie taktyk, technik i procedur (TTP) rzeczywistych cyberprzestępców, którzy stanowią realne zagrożenie dla danej instytucji finansowej. Jak podkreślają eksperci z Yogosha i Qualysec, TLPT to w istocie zaawansowana operacja red teaming, a nie jedynie rozszerzony test penetracyjny.

Podstawowa różnica tkwi w podejściu. Zgodnie z analizą Deloitte, tradycyjne testy koncentrują się na identyfikacji jak największej liczby podatności technicznych w z góry określonym, często wąskim zakresie. TLPT natomiast ma na celu ocenę całościowej odporności organizacji – jej zdolności do wykrywania, reagowania i odzyskiwania sprawności po zaawansowanym ataku. Testy te muszą obejmować pełną powierzchnię ataku, na którą, jak wskazuje Yogosha, składają się trzy wymiary:

• Powierzchnia cyfrowa: Systemy informatyczne, sieci i aplikacje dostępne z zewnątrz.
• Powierzchnia ludzka: Pracownicy podatni na ataki socjotechniczne, takie jak phishing czy pretexting.
• Powierzchnia fizyczna: Obiekty i infrastruktura firmy, które mogą stać się celem fizycznego wtargnięcia.

Celem zespołu red team jest osiągnięcie zdefiniowanych celów (tzw. “flag”) wszelkimi dostępnymi, etycznymi środkami, symulując determinację prawdziwego przeciwnika.

DORA i TIBER-EU: Regulacyjny fundament dla TLPT

Impulsem do powszechnego wdrożenia TLPT w europejskim sektorze finansowym jest rozporządzenie w sprawie operacyjnej odporności cyfrowej, znane jako DORA (Digital Operational Resilience Act). Jak informuje Kroll, rozporządzenie to, obowiązujące w pełni od 17 stycznia 2025 roku, nakłada na wyznaczone, systemowo ważne instytucje finansowe obowiązek przeprowadzania testów TLPT co najmniej raz na trzy lata.

Celem DORA jest ujednolicenie i wzmocnienie wymogów dotyczących zarządzania ryzykiem ICT i odporności operacyjnej w całym sektorze finansowym UE. Rozporządzenie opiera się na pięciu filarach, z których jednym jest zaawansowane testowanie zabezpieczeń, gdzie TLPT stanowi najbardziej rygorystyczną formę weryfikacji.

Metodologiczną podstawą dla testów TLPT w Europie jest framework TIBER-EU (Threat Intelligence-Based Ethical Red Teaming). Został on opracowany przez Europejski Bank Centralny (EBC) we współpracy z bankami narodowymi. Jak podaje sam EBC, w lutym 2025 roku framework TIBER-EU został zaktualizowany, aby w pełni odpowiadać technicznym standardom regulacyjnym (RTS) określonym w DORA. Ta aktualizacja wprowadziła m.in. obowiązkowe sesje purple teaming, ujednoliciła terminologię (np. “White Team” został zastąpiony przez “Control Team”) i uszczegółowiła wytyczne dotyczące poszczególnych faz testu.

Kluczowe różnice: TLPT a tradycyjne testy penetracyjne

Dla menedżerów i specjalistów IT kluczowe jest zrozumienie fundamentalnych różnic między tymi dwoma podejściami. Pozwala to nie tylko lepiej przygotować się do nowych wymogów, ale także trafniej alokować budżety i zasoby.

Jak podsumowuje portal CommSec, TLPT to holistyczny test odporności całego ekosystemu bezpieczeństwa, podczas gdy tradycyjny pentest jest raczej technicznym audytem jego poszczególnych komponentów.

Jak w praktyce wyglądają testy TLPT? Przebieg krok po kroku

Proces TLPT jest ustrukturyzowany i podzielony na kilka kluczowych faz, co zapewnia jego kontrolowany i efektywny przebieg. Zgodnie z wytycznymi TIBER-EU i analizami Kroll, proces ten można podzielić na następujące etapy:

1. Faza 1: Przygotowanie i określenie zakresu (Scoping)

   To fundament całego przedsięwzięcia. Instytucja finansowa musi najpierw zidentyfikować swoje “krytyczne lub ważne funkcje” – czyli te procesy, których zakłócenie miałoby istotny wpływ na jej działanie lub stabilność finansową. Na tej podstawie tworzony jest dokument specyfikacji zakresu, który musi zostać zatwierdzony przez odpowiedni organ nadzoru.

   W tej fazie powoływany jest również wewnętrzny zespół kontrolny (Control Team). Jak opisuje Yogosha, składa się on z kluczowych menedżerów, którzy jako jedyni w firmie wiedzą o teście i są odpowiedzialni za jego nadzór, zarządzanie ryzykiem i komunikację z dostawcami usług.

2. Faza 2: Gromadzenie i analiza danych wywiadowczych (Threat Intelligence)

   Na tym etapie do gry wchodzi zewnętrzny, wyspecjalizowany dostawca usług analityki zagrożeń. Jego zadaniem jest stworzenie szczegółowego raportu (Targeted Threat Intelligence Report). Jak wyjaśnia Kroll, raport ten zawiera analizę cyfrowego śladu organizacji, identyfikuje najbardziej prawdopodobnych adwersarzy (np. grupy ransomware, aktorów państwowych) i szczegółowo opisuje ich motywacje oraz stosowane techniki i taktyki (TTP).

   Na podstawie tej analizy tworzone są realistyczne scenariusze ataków, które będą symulowane przez red team. Zazwyczaj wybiera się trzy najbardziej prawdopodobne i dotkliwe scenariusze do realizacji.

3. Faza 3: Realizacja testu przez Red Team

   To najdłuższa i najbardziej intensywna faza, trwająca minimum 12 tygodni. Zespół red team, działając na podstawie zatwierdzonych scenariuszy, rozpoczyna symulowany atak na systemy produkcyjne organizacji. Jak podkreśla Deloitte, celem nie jest “zniszczenie” systemów, ale ciche i metodyczne działanie, naśladujące prawdziwych napastników.

   Red team wykorzystuje szeroki wachlarz technik: od rekonesansu, przez phishing i ataki na aplikacje webowe, po próby eskalacji uprawnień, ruch lateralny w sieci wewnętrznej i eksfiltrację danych. W tej fazie zespół blue team (SOC, administratorzy) jest testowany w warunkach bojowych – jego zadaniem jest wykrycie i powstrzymanie ataku, o którym nie wie, że jest symulacją.

4. Faza 4: Zakończenie i sesje Purple Teaming

   Po zakończeniu aktywnej fazy testów następuje etap analizy. Zespół red team przygotowuje szczegółowy raport z przeprowadzonych działań, a następnie odbywają się sesje purple teaming. Jest to nowość wprowadzona przez zaktualizowany framework TIBER-EU. Jak donosi EBC, są to warsztaty, podczas których red team (atakujący) i blue team (obrońcy) wspólnie analizują przebieg ataku. Celem jest transfer wiedzy, zrozumienie, dlaczego pewne techniki ataku były skuteczne, a inne nie, oraz natychmiastowe usprawnienie mechanizmów detekcji i procedur reagowania.

5. Faza 5: Plan naprawczy i wdrożenie

   Ostatnim etapem jest stworzenie formalnego planu naprawczego (Remediation Plan). Jak wskazuje Qualysec, dokument ten musi szczegółowo adresować wszystkie zidentyfikowane luki i słabości – zarówno technologiczne, jak i procesowe. Plan jest przedstawiany organowi nadzoru, a jego realizacja jest monitorowana. To gwarantuje, że wnioski z kosztownego i czasochłonnego testu TLPT przekładają się na realne wzmocnienie odporności organizacji.

Praktyczne porady: Jak przygotować organizację na TLPT?

Przygotowanie do testu TLPT to maraton, a nie sprint. Organizacje, które podchodzą do tego procesu strategicznie, odnoszą największe korzyści. Oto kilka kluczowych kroków, które warto podjąć:

1. Zbuduj świadomość na poziomie zarządu: Upewnij się, że kierownictwo wyższego szczebla rozumie, czym jest TLPT, jakie są wymogi regulacyjne i jakie zasoby (finansowe i ludzkie) będą potrzebne. To nie jest kolejny projekt IT, ale strategiczna inicjatywa z obszaru zarządzania ryzykiem.
2. Przeprowadź dokładną analizę BIA: Zidentyfikuj swoje krytyczne funkcje biznesowe i zmapuj wspierającą je infrastrukturę ICT. Bez tego niemożliwe jest prawidłowe określenie zakresu testu.
3. Dokonaj przeglądu i wzmocnienia podstaw: Zanim poddasz się zaawansowanemu testowi, upewnij się, że podstawy cyberbezpieczeństwa są na swoim miejscu. Zaktualizuj systemy, wdróż solidne zarządzanie tożsamością i dostępem, wzmocnij monitoring bezpieczeństwa (SIEM/SOC).
4. Zacznij od mniejszych symulacji: Rozważ przeprowadzenie wewnętrznych ćwiczeń red team lub mniejszych, celowanych testów, aby zidentyfikować i usunąć najbardziej oczywiste słabości. To pozwoli zespołowi blue team nabrać doświadczenia, a cała organizacja lepiej zrozumie, czego się spodziewać.
5. Starannie wybierz dostawców: Wybór kompetentnych partnerów do przeprowadzenia analizy zagrożeń i testów red team jest kluczowy. Jak wskazują wymogi TIBER-EU, dostawcy ci muszą posiadać odpowiednie certyfikaty, doświadczenie w sektorze finansowym i działać w sposób etyczny oraz profesjonalny.
6. Przygotuj procedury wewnętrzne: Opracuj jasne zasady działania dla zespołu kontrolnego, w tym procedury komunikacji, zarządzania ryzykiem i eskalacji w przypadku nieprzewidzianych problemów podczas testu (tzw. “kill switch”).

Podsumowanie: TLPT jako inwestycja w realną odporność

Testy penetracyjne w oparciu o analitykę zagrożeń to znacznie więcej niż tylko wymóg regulacyjny. To potężne narzędzie, które pozwala organizacjom spojrzeć na swoje bezpieczeństwo oczami realnego przeciwnika. Proces ten, choć wymagający i kosztowny, dostarcza bezcennych informacji o faktycznej skuteczności mechanizmów obronnych, procesów reagowania na incydenty i świadomości pracowników.

Wdrożenie DORA i TIBER-EU w Polsce to punkt zwrotny, który wymusza na sektorze finansowym przyjęcie proaktywnej i opartej na danych wywiadowczych postawy wobec cyberzagrożeń. Organizacje, które podejdą do TLPT jako do strategicznej inwestycji w swoją odporność operacyjną, nie tylko spełnią wymogi regulatora, ale przede wszystkim zbudują trwałą przewagę konkurencyjną w coraz bardziej niepewnym cyfrowym świecie.

Jak możemy pomóc?

Nawigacja po złożonym świecie regulacji DORA i przygotowanie do zaawansowanych testów TLPT może być wyzwaniem. W VIPentest posiadamy głęboką wiedzę i praktyczne doświadczenie w realizacji zaawansowanych operacji red teaming oraz testów penetracyjnych, które pomagają naszym klientom nie tylko spełnić wymogi zgodności, ale przede wszystkim realnie wzmocnić ich cyberbezpieczeństwo.

Nasz zespół ekspertów może wesprzeć Państwa organizację na każdym etapie tego procesu – od analizy gotowości i wsparcia w definiowaniu zakresu, przez symulacje ataków, aż po pomoc w opracowaniu skutecznych planów naprawczych.

Jeśli chcesz dowiedzieć się więcej o tym, jak możemy pomóc Twojej firmie przygotować się na nadchodzące wyzwania, skontaktuj się z nami.

Porozmawiaj z naszym ekspertem

FAQ