الفريق الأحمر صار سلسلة توريد خاضعة للإشراف: ما يطلبه TLPT في DORA

TL;DR. نظام TLPT في DORA يحوّل عمل الفريق الأحمر إلى التزام خاضع للإشراف. القيود المُلزِمة هي سوق مقدّمي خدمة الاختبار المعتمَدين، والوتيرة، وأطرافك الثالثة.

النقاط الرئيسية

ما الذي يتغيّر فعلًا حين يصير الاختبار TLPT. أغلب البنوك تُشغّل أمنًا هجوميًا بالفعل.
من يقع داخل النطاق، ولماذا القرار ليس لك. لا يطبّق DORA التزام TLPT على كل كيان داخل محيطه.
سوق مقدّمي خدمة الاختبار هو القيد المُلزِم. هذا هو الجزء الذي ينتمي إلى شريحة عرض أمام مجلس الإدارة، ونادرًا ما يظهر فيها.
الفرق الداخلية تساعد، لكنها لا تستطيع حمل العبء. البنوك ذات القدرة الهجومية الناضجة تسأل بحق ما إذا كان الفريق الداخلي قادرًا على استيعاب هذا.

اختبار الاختراق الموجّه بالتهديدات ليس اختبار اختراق مع مزيد من الأوراق. مع دخول المعايير التقنية التنظيمية الصادرة بموجب Article 26 من DORA حيّز النفاذ عبر Commission Delegated Regulation (EU) 2025/1190، صارت محاكاة الخصم في القطاع المالي الأوروبي نشاطًا خاضعًا للإشراف، له نطاق اختبار مُسمّى، ووتيرة إلزامية، وسوق موردين معتمَد، وقاعدة تعيد تشكيل التمرين كله بهدوء: يجب أن يكون مزوّد استخبارات التهديدات خارجيًا دائمًا عن المؤسسة الخاضعة للاختبار. أغلب البنوك حسبت تكلفة الاختبار. وقليل منها حسب تكلفة سلسلة التوريد التي صار يعتمد عليها.

الملخص التنفيذي

النظام صار محدَّدًا بالتفصيل، لا مرسومًا بخطوط عامة. يستكمل Commission Delegated Regulation (EU) 2025/1190، المنشور في الجريدة الرسمية في 18 يونيو 2025، أحكام Article 26 من DORA بمعايير تقنية تنظيمية تغطي نطاق الاختبار والمنهجية والنتائج واستخدام مقدّمي خدمة اختبار داخليين والتعاون الإشرافي، بما في ذلك الاعتراف المتبادل بين الدول الأعضاء.

TIBER-EU هو الأساس. بُني النظام على الإطار الأوروبي لعمل الفريق الأحمر الأخلاقي القائم على استخبارات التهديدات، لذا فالمؤسسات ذات الخبرة في TIBER لا تبدأ من الصفر — لكن المشاركة في TIBER كانت طوعية، وهذا الالتزام ليس كذلك.

ثلاث سنوات هي الحد الأدنى، لا الخطة. الكيانات المُسمّاة تختبر كل ثلاث سنوات على الأقل عبر الوظائف الحرجة، وللسلطة المختصة أن ترفع تلك الوتيرة أو تخفضها بحسب ملف مخاطر الكيان.

الاختبار نصف المُخرَج فقط. ينتج TLPT أدلة إشرافية. والمخرجات — مسوّغ تحديد نطاق الاختبار، واستخبارات التهديدات، وسردية الهجوم، والمعالجة وإعادة الاختبار — هي ما يهم فعلًا، ويجب بناؤها أثناء التمرين لا تجميعها بعده.

ما الذي يتغيّر فعلًا حين يصير الاختبار TLPT

أغلب البنوك تُشغّل أمنًا هجوميًا بالفعل. لذا فالغريزة الأولى هي التعامل مع TLPT كقدرة قائمة مع غلاف امتثالي. تلك الغريزة خاطئة في أربعة مواضع محدّدة، ولكل موضع منها أثر على الميزانية.

الجدول 1: الاختبار الهجومي التقليدي مقابل TLPT بموجب DORA

البُعد	اختبار الاختراق التقليدي	TLPT بموجب DORA
من يقرّر حدوثه	المؤسسة، وفق شهيتها للمخاطر	السلطة المختصة تُسمّي الكيان؛ والوتيرة كل ثلاث سنوات على الأقل
ما المستهدَف	أنظمة تختارها وظيفة الأمن	الوظائف الحرجة أو المهمة، بما فيها العاملة في الإنتاج والمُسنَدة للخارج
من أين يأتي نموذج التهديد	حكم داخلي أو مكتبة مقدّم خدمة الاختبار نفسه	استخبارات تهديدات مُتعاقَد عليها، من مزوّد خارجي عن المؤسسة
من يجوز له التنفيذ	أي مورد كفؤ، أو فريق داخلي	مقدّمو خدمة اختبار يستوفون شروط Article 27؛ والفرق الداخلية في اختبارين على الأكثر من كل ثلاثة اختبارات
ما الغرض من المُخرَج	تقرير داخلي وقائمة معالجة متراكمة	أدلة إشرافية، بنتائج ومعالجة خاضعة لتدقيق السلطة وللاعتراف العابر للحدود

الصف الأخير هو حيث تميل البرامج إلى الاستهانة بحجم العمل. تقرير اختبار الاختراق مكتوب لمن سيصلحون النتائج. أما حزمة TLPT فمكتوبة لجهة مشرفة لم تكن في الغرفة، وعليها أن تعيد بناء سبب رسم نطاق الاختبار حيث رُسم، وما قالته الاستخبارات، وما فعله الفريق الأحمر فعليًا، وما الذي تغيّر نتيجة لذلك.

من يقع داخل النطاق، ولماذا القرار ليس لك

لا يطبّق DORA التزام TLPT على كل كيان داخل محيطه. السلطات المختصة تحدّد الكيانات المالية المُلزَمة بأدائه، آخذةً في الاعتبار الأهمية النظامية والحجم وملف مخاطر تقنية المعلومات والاتصالات؛ والمشروعات متناهية الصغر مستثناة.

وتترتب على ذلك نتيجتان يسهل إغفالهما.

التسمية ليست جائزة نضج. أن تُسمّى يعني أن جهة مشرفة ترى فشلك ذا عواقب، وتأتي التسمية ومعها التزام بوتيرة محدّدة. القراءة الصحيحة هي التزام دائم كل ثلاث سنوات مع ما يصاحبه من شراء لخدمات الموردين، لا مشروع لمرة واحدة.

عدم التسمية ليس إعفاءً من المنطق نفسه. الكيان غير المُسمّى يظل مطالَبًا بإثبات اختبار متقدّم متناسب بموجب أحكام الاختبار العامة في DORA. الفارق هو رسمية النظام، لا وجود التوقّع من عدمه.

سوق مقدّمي خدمة الاختبار هو القيد المُلزِم

هذا هو الجزء الذي ينتمي إلى شريحة عرض أمام مجلس الإدارة، ونادرًا ما يظهر فيها.

لا يشترط Article 27 مجرد مقدّمي خدمة اختبار أكفاء. إنه يشترط مقدّمي خدمة يُظهرون قدرة تقنية وتنظيمية بخبرة محدّدة في استخبارات التهديدات واختبار الاختراق وعمل الفريق الأحمر؛ ومعتمَدين من هيئة اعتماد في دولة عضو، أو ملتزمين بمدونات سلوك رسمية أو أُطر أخلاقية؛ وقادرين على تقديم ضمان مستقل أو تقرير تدقيق يغطي الإدارة السليمة للمخاطر التي يولّدها الاختبار نفسه؛ ويحملون تأمين المسؤولية المهنية شاملًا التغطية ضد سوء السلوك والإهمال.

الجدول 2: ما يطلبه Article 27 من مقدّم خدمة الاختبار، وما يستبعده

المتطلب	ما يختبره فعليًا	من يُخرجه من السوق
خبرة مُثبَتة عبر استخبارات التهديدات واختبار الاختراق وعمل الفريق الأحمر	قدرة المورد على تشغيل السلسلة كاملة، لا حلقة واحدة منها	البيوت المتخصصة القوية في الاستغلال والخالية من وظيفة استخباراتية
الاعتماد في دولة عضو، أو مدونة سلوك رسمية	مكانة قابلة للتحقق بدل السمعة	المتعاقدون الأفراد والتجمعات غير الرسمية
ضمان مستقل أو تقرير تدقيق عن إدارة المخاطر	أن اختبار بنك في الإنتاج لن يُعطّله	الموردون الذين تنقصهم حوكمة ناضجة خاصة بهم
تغطية تأمين المسؤولية المهنية، شاملة سوء السلوك والإهمال	أن هناك ميزانية عمومية خلف المخاطرة	الشركات ضعيفة الرسملة

اقرأ هذه الصفوف الأربعة معًا يتضح شكل السوق: عدد متواضع من الشركات، أغلبها كبير، وكلها تبيع لكل كيان مُسمّى في الاتحاد على إيقاع متزامن مدته ثلاث سنوات.

المؤسسات التي تعامل شراء خدمات مقدّمي الاختبار كعملية توريد روتينية تُجدوَل قبل ربع سنة ستكتشف القيد في أسوأ لحظة. المورد النادر ليس الفريق الأحمر؛ بل فريق أحمر مؤهّل، بالنافذة الزمنية المناسبة، وبلا تضارب مع منظومتك.

الفرق الداخلية تساعد، لكنها لا تستطيع حمل العبء

البنوك ذات القدرة الهجومية الناضجة تسأل بحق ما إذا كان الفريق الداخلي قادرًا على استيعاب هذا. جزئيًا.

يُسمح بمقدّمي خدمة اختبار داخليين، رهنًا بموافقة الجهة المشرفة وكفاية الموارد وإدارة تضارب المصالح — لكن بحدّين صارمين. يجب التعاقد مع مقدّمي خدمة خارجيين كل ثلاثة اختبارات، أي أن الفريق الداخلي يغطي اختبارين على الأكثر من كل ثلاثة. ويجب أن يكون مزوّد استخبارات التهديدات خارجيًا عن المؤسسة في كل اختبار، بما في ذلك الاختبارات التي ينفّذها الفريق الداخلي.

القاعدة الثانية هي الأكثر إثارة للاهتمام، لأنها ليست عن القدرة أصلًا. الوظيفة الاستخباراتية الداخلية تعرف أي الاستنتاجات ستكون مزعجة. واشتراط أن تأتي الاستخبارات من الخارج دفاع بنيوي ضد فريق أحمر يختبر بهدوء ما اعتادت المنظمة أن تكون مرتاحة لاختباره — وهو نمط الفشل الذي يجعل التمرين مطمئنًا بدل أن يكون مفيدًا.

النتيجة العملية على التخطيط: ابنِ القدرة الداخلية للدورات التي تستطيع خدمتها، لكن تعامل مع الاستخبارات الخارجية كبند دائم في الميزانية لا كبند دوري.

أطرافك الثالثة داخل الاختبار

حين تعتمد وظيفة حرجة أو مهمة على مزوّد خارجي لتقنية المعلومات والاتصالات، يمكن أن تقع أنظمة ذلك المزوّد داخل نطاق اختبار TLPT، وقد يُلزَم المزوّد بالمشاركة.

بالنسبة لبنك يخدم الشركات، هذه ليست حاشية. الوظائف الحرجة في المدفوعات والحفظ والتسوية تعمل بنسبة غير متناسبة على منصات موردين وخدمات مُدارة وسحابة. والاختبار المُحدَّد نطاقه بأمانة مقابل الوظائف الحرجة سيمتد إلى الموردين، وفي اللحظة التي يفعل فيها ذلك تصل ثلاثة أسئلة تعاقدية لا تقنية:

هل يسمح العقد بذلك؟ بنود حق الاختبار المكتوبة لتقييم تقليدي كثيرًا ما لا تتصوّر فريقًا أحمر موجَّهًا بالاستخبارات يعمل مقابل الإنتاج دون إخطار مسبق لموظفي عمليات المزوّد.
من يتحمّل المخاطرة إذا تسبب الاختبار في حادث؟ بين البنك ومقدّم خدمة الاختبار والمزوّد، هذا يحتاج تسوية كتابية قبل تحديد نطاق الاختبار، لا تفاوضًا تحت ضغط الوقت بعد حجز نافذة الاختبار.
هل يستطيع المزوّد خدمة الجميع في آن واحد؟ المزوّد المُركَّز الذي يخدم كيانات مُسمّاة كثيرة يواجه الطلب المتزامن نفسه الذي يواجهه سوق مقدّمي خدمة الاختبار — وليس عليه أي التزام بإعطائك الأولوية.

عمل صياغة البنود يستغرق مهلة أطول من الاختبار نفسه. ومكانه قالب التجديد الآن، للسبب نفسه ووفق المنطق نفسه المطبَّق على أي حق وصول إشرافي آخر.

ما يدين به المدافعون للتمرين

الفريق الأحمر الذي ينجح في صمت يعلّم المؤسسة القليل جدًا. القيمة تكمن في إعادة البناء: ما الذي بُثّ، وما الذي اكتُشف، وما الذي صُعِّد، وكم استغرقت كل خطوة.

ثلاثة التزامات تصنع الفارق بين تمرين يُنتج أدلة وتمرين يُنتج حكاية.

جهّز أدوات القياس لإعادة البناء قبل الاختبار، لا أثناءه. إذا لم تكن بيانات القياس عن بُعد للكشف محفوظة أصلًا بدقة كافية، يصير التحليل اللاحق للتمرين مسألة استذكار. وهذه أشيع طريقة يُنتج بها تمرين ناجح تقنيًا حزمة إشرافية ضعيفة.

قِس الزمن، لا النتيجة وحدها. ما إذا كان الفريق الأحمر قد حقق الهدف هو أقل النتائج إثارة للاهتمام. الزمن حتى أول كشف، والزمن حتى الإسناد الصحيح، والزمن حتى الاحتواء هي الأرقام التي تصف القدرة الدفاعية، وهي الأرقام التي تتحسّن بين الدورات.

أغلق الحلقة مع الفريق الأزرق عن قصد. التعاون مع الفريق المدافع مبنيّ داخل الإطار لا مضاف إليه، وهو ما يحوّل تمرينًا واحدًا إلى قدرة دائمة. والمؤسسة التي تُجري الاختبار وتودع التقرير ولا تُغيّر شيئًا ملحوظًا تكون قد استوفت وتيرة وتعلّمت لا شيء.

دليل التشغيل

حدّد ما إذا كنت تتوقع التسمية، وخطّط على أساس أنها آتية. مهلة الشراء طويلة بما يكفي لجعل انتظار الإخطار الرسمي هو الخيار الأغلى.
ضع شراء خدمات مقدّمي الاختبار على خطة استشرافية مدتها ثلاث سنوات، لا على جدول مشروع. أهّل قائمة موردين مقابل شروط Article 27 — الاعتماد أو الالتزام بمدونة سلوك، وتقرير الضمان، وتغطية التأمين — قبل الحاجة إلى نافذة زمنية بوقت كافٍ.
تعاقد على استخبارات تهديدات خارجية كترتيب دائم. إنها مطلوبة في كل دورة بصرف النظر عمّن ينفّذ الاختبار، فهي ليست تكلفة متغيرة.
أصلح بنود الأطراف الثالثة هذا الربع. حق الاختبار، والتزامات المشاركة، وتوزيع مخاطر الحوادث. هذا أطول بند مهلةً في كل ما سبق، وهو ليس مهمة هندسية.
ارفع دقة بيانات القياس عن بُعد للكشف قبل التمرين الأول. حزمة الأدلة لا تفوق جودتها ما جرى تسجيله بينما كان الفريق الأحمر يعمل.
أبلغ عن التوقيتات، لا عن الحكم النهائي. الزمن حتى الكشف والإسناد والاحتواء، متتبَّعًا عبر الدورات، هو المقياس الذي يُظهر للجهة المشرفة قدرة لا حدثًا امتثاليًا.

المؤسسات التي ستتعامل مع هذا بارتياح ليست تلك التي تملك أكثر الفرق الحمراء الداخلية إبهارًا. بل تلك التي تعاملت مع التزام اختبار خاضع للإشراف باعتباره مشكلة سلسلة توريد وأدلة، في وقت مبكر يكفي لحلّها بهدوء.

الأسئلة الشائعة

هل كل كيان خاضع لـ DORA مُلزَم بإجراء TLPT؟
لا. السلطات المختصة تحدّد الكيانات المُلزَمة بتنفيذه، بناءً على الأهمية النظامية والحجم وملف مخاطر تقنية المعلومات والاتصالات، والمشروعات متناهية الصغر مستثناة. أما الكيانات غير المُسمّاة فتظل خاضعة لمتطلبات اختبار المرونة التشغيلية الرقمية العامة في DORA — التوقّع لا يختفي، بل يختفي النظام الرسمي وحده.

كم مرة يجب على الكيان المُسمّى إجراء الاختبار؟
كل ثلاث سنوات على الأقل، بما يغطي الوظائف الحرجة أو المهمة. وللسلطة المختصة أن تفرض وتيرة أعلى أو أدنى بحسب ملف مخاطر الكيان وظروفه التشغيلية.

هل يمكننا استخدام فريقنا الأحمر الخاص؟
في اختبارين على الأكثر من كل ثلاثة اختبارات، رهنًا بموافقة الجهة المشرفة وكفاية الموارد وإدارة تضارب المصالح؛ ويجب التعاقد مع مقدّمي خدمة اختبار خارجيين في كل اختبار ثالث. وبشكل منفصل، وفي كل دورة، يجب أن يكون مزوّد استخبارات التهديدات خارجيًا عن المؤسسة.

هل يجب على مزوّدينا الخارجيين المشاركة؟
يمكن إلزامهم بذلك. فحين تعتمد وظيفة حرجة أو مهمة على مزوّد خارجي لتقنية المعلومات والاتصالات، قد تقع أنظمة ذلك المزوّد داخل نطاق الاختبار وقد يُلزَم المزوّد بالمشاركة — ولهذا يجب تسوية حق الاختبار وتوزيع مخاطر الحوادث تعاقديًا مسبقًا.

نحن نُجري تمارين TIBER-EU بالفعل. هل نحن ممتثلون؟
موقعكم جيد، لأن النظام مبنيّ على الإطار نفسه، لكن الاثنين ليسا متكافئين. المشاركة في TIBER كانت طوعية؛ أما التزام DORA فخاضع للإشراف، ويحمل وتيرة إلزامية، ويأتي مع شروط مقدّمي خدمة الاختبار المحدّدة وترتيبات الاعتراف العابر للحدود المنصوص عليها في المعايير التقنية التنظيمية.

المراجع

European Parliament and Council of the European Union, 2022. Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA). بروكسل: الجريدة الرسمية للاتحاد الأوروبي. متاح على: البرلمان الأوروبي ومجلس الاتحاد الأوروبي، 2022..
European Commission, 2025. Commission Delegated Regulation (EU) 2025/1190 supplementing Regulation (EU) 2022/2554 with regard to regulatory technical standards on threat-led penetration testing. بروكسل: الجريدة الرسمية للاتحاد الأوروبي. متاح على: المفوضية الأوروبية، 2025..
European Central Bank, 2026. TIBER-EU: European framework for threat intelligence-based ethical red-teaming. فرانكفورت أم ماين: البنك المركزي الأوروبي. متاح على: البنك المركزي الأوروبي، 2026..

آخر مراجعة 2026-08-06.

إعادة نشر هذا المقال

الفريق الأحمر صار سلسلة توريد خاضعة للإشراف: ما يطلبه TLPT في DORA — Sebastien Rousseau

نظام TLPT في DORA يحوّل عمل الفريق الأحمر إلى التزام خاضع للإشراف. القيود المُلزِمة هي سوق مقدّمي خدمة الاختبار المعتمَدين، والوتيرة، وأطرافك الثالثة.

هذا المقال مرخص بموجب Creative Commons Attribution 4.0 International. تتطلب إعادة النشر الإسناد إلى عنوان URL الأساسي.

الفريق الأحمر صار سلسلة توريد خاضعة للإشراف: ما يطلبه TLPT في DORA — Sebastien Rousseau

نظام TLPT في DORA يحوّل عمل الفريق الأحمر إلى التزام خاضع للإشراف. القيود المُلزِمة هي سوق مقدّمي خدمة الاختبار المعتمَدين، والوتيرة، وأطرافك الثالثة.

Originally published at https://sebastienrousseau.com/ar/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER