Pasukan Merah Menjadi Rantaian Bekalan Diselia: Tuntutan Sebenar Rejim TLPT DORA

Ujian penembusan berasaskan ancaman bukan ujian penembusan dengan lebih banyak kertas kerja. Dengan piawaian teknikal kawal selia di bawah Article 26 DORA kini berkuat kuasa menerusi Commission Delegated Regulation (EU) 2025/1190, simulasi musuh dalam sektor kewangan Eropah telah menjadi aktiviti diselia dengan skop ujian yang dinamakan, kitaran yang diwajibkan, pasaran pembekal terakreditasi, dan satu peraturan yang secara senyap membentuk semula keseluruhan latihan: penyedia risikan ancaman mesti sentiasa berada di luar institusi yang diuji. Kebanyakan bank sudah mengira kos ujian itu. Lebih sedikit yang mengira kos rantaian bekalan yang kini menyokongnya.

Ringkasan Eksekutif

Rejim ini kini terperinci, bukan lakaran kasar. Commission Delegated Regulation (EU) 2025/1190, diterbitkan dalam Jurnal Rasmi pada 18 Jun 2025, melengkapkan Article 26 DORA dengan piawaian teknikal kawal selia yang merangkumi skop ujian, metodologi, keputusan, penggunaan penyedia ujian dalaman, dan kerjasama penyeliaan termasuk pengiktirafan bersama merentas Negara Anggota.

TIBER-EU ialah asasnya. Rejim ini dibina di atas rangka kerja Eropah untuk pasukan merah beretika berasaskan risikan ancaman, jadi institusi yang berpengalaman dengan TIBER tidak bermula dari kosong — tetapi penyertaan TIBER bersifat sukarela dan yang ini tidak.

Tiga tahun ialah lantai, bukan rancangan. Entiti yang ditetapkan menguji sekurang-kurangnya setiap tiga tahun merentas fungsi kritikal, dan pihak berkuasa berwibawa boleh menaikkan atau menurunkan kekerapan itu berdasarkan profil risiko entiti berkenaan.

Ujian hanyalah separuh daripada penghantaran. Sesuatu TLPT menghasilkan bukti penyeliaan. Artifaknya — rasional skop ujian, risikan ancaman, naratif serangan, pemulihan dan ujian semula — ialah keluaran yang penting, dan ia perlu dibina sepanjang latihan berjalan, bukan dihimpun selepasnya.

Apa Yang Sebenarnya Berubah Apabila Sesuatu Ujian Menjadi TLPT

Kebanyakan bank sudah menjalankan keselamatan ofensif. Naluri mereka kerananya adalah melayan TLPT sebagai keupayaan sedia ada yang dibalut pematuhan. Naluri itu salah pada empat tempat khusus, dan setiap satu membawa kesan belanjawan.

Jadual 1: Ujian ofensif konvensional berbanding TLPT di bawah DORA

Dimensi	Ujian penembusan konvensional	TLPT di bawah DORA
Siapa yang memutuskan ia berlaku	Institusi itu sendiri, mengikut selera risikonya	Pihak berkuasa berwibawa menetapkan entiti tersebut; kekerapan sekurang-kurangnya setiap tiga tahun
Apa yang disasarkan	Sistem yang dipilih oleh fungsi keselamatan	Fungsi kritikal atau penting, termasuk yang berjalan dalam pengeluaran dan yang disumber luar
Dari mana model ancaman datang	Pertimbangan dalaman atau pustaka milik penyedia ujian sendiri	Risikan ancaman yang ditauliahkan, daripada penyedia di luar institusi
Siapa yang boleh melaksanakan	Mana-mana pembekal berkelayakan, atau pasukan dalaman	Penyedia ujian yang memenuhi syarat Article 27; pasukan dalaman bagi paling banyak dua daripada setiap tiga kitaran
Untuk apa hasilnya digunakan	Laporan dalaman dan senarai kerja pemulihan	Bukti penyeliaan, dengan keputusan dan pemulihan tertakluk kepada penelitian pihak berkuasa dan pengiktirafan rentas sempadan

Baris terakhir ialah tempat program cenderung memandang rendah bebannya. Laporan ujian penembusan ditulis untuk orang yang akan membaiki penemuan. Pakej TLPT ditulis untuk penyelia yang tiada di dalam bilik, dan ia mesti membina semula sebab skop ujian ditarik di tempat ia ditarik, apa yang dinyatakan oleh risikan, apa yang benar-benar dilakukan oleh pasukan merah, dan apa yang berubah hasilnya.

Siapa Yang Berada dalam Skop, dan Mengapa Anda Tidak Memutuskannya

DORA tidak mengenakan kewajipan TLPT kepada setiap entiti dalam perimeternya. Pihak berkuasa berwibawa mengenal pasti entiti kewangan yang dikehendaki melaksanakannya, dengan mengambil kira kepentingan sistemik, saiz, dan profil risiko ICT; perusahaan mikro dikecualikan.

Dua akibat menyusul dan kedua-duanya mudah terlepas pandang.

Penetapan bukan anugerah kematangan. Dinamakan bermakna seorang penyelia menganggap kegagalan anda membawa kesan besar, dan ia datang bersama kewajipan kitaran. Bacaan yang betul ialah komitmen tiga tahun yang berkekalan berserta perolehan pembekal yang berkaitan, bukan projek sekali sahaja.

Tidak ditetapkan bukan pengecualian daripada penaakulannya. Entiti yang tidak ditetapkan tetap perlu menunjukkan ujian lanjutan yang berkadar di bawah peruntukan ujian am DORA. Perbezaannya ialah keformalan rejim itu, bukan kewujudan jangkaan tersebut.

Pasaran Penyedia Ujian Ialah Kekangan Yang Mengikat

Inilah bahagian yang wajar berada dalam slaid lembaga pengarah, dan ia jarang muncul di situ.

Article 27 bukan sekadar menuntut penyedia ujian yang berkelayakan. Ia menuntut penyedia ujian yang menunjukkan keupayaan teknikal dan organisasi dengan kepakaran khusus dalam risikan ancaman, ujian penembusan dan pasukan merah; yang diperakui oleh badan akreditasi di sesebuah Negara Anggota, atau mematuhi kod tatalaku formal atau rangka kerja etika; yang boleh menyediakan jaminan bebas atau laporan audit meliputi pengurusan kukuh terhadap risiko yang dicetuskan oleh ujian itu sendiri; dan yang membawa insurans tanggung rugi profesional termasuk perlindungan terhadap salah laku dan kecuaian.

Jadual 2: Apa yang dituntut Article 27 daripada penyedia ujian, dan siapa yang tersingkir

Keperluan	Apa yang sebenarnya diuji	Siapa yang tersingkir daripada pasaran
Kepakaran terbukti merentas risikan ancaman, ujian penembusan dan pasukan merah	Bahawa pembekal mampu menjalankan seluruh rantaian, bukan satu mata rantai sahaja	Butik yang kuat dalam eksploitasi tetapi tanpa fungsi risikan
Akreditasi di sesebuah Negara Anggota, atau kod tatalaku formal	Kedudukan yang boleh disahkan dan bukan sekadar reputasi	Kontraktor perseorangan dan kolektif tidak formal
Jaminan bebas atau laporan audit mengenai pengurusan risiko	Bahawa menguji bank dalam pengeluaran tidak akan merosakkannya	Pembekal tanpa kematangan tadbir urus mereka sendiri
Perlindungan tanggung rugi profesional, termasuk salah laku dan kecuaian	Bahawa ada kunci kira-kira di sebalik risiko itu	Firma yang nipis modalnya

Baca keempat-empat baris itu bersama-sama dan bentuk pasaran menjadi jelas: sebilangan kecil firma, kebanyakannya besar, dan kesemuanya menjual kepada setiap entiti yang ditetapkan di seluruh Kesatuan pada rentak tiga tahun yang segerak.

Institusi yang melayan perolehan penyedia ujian sebagai kerja pensumberan rutin yang dijadualkan suku tahun lebih awal akan menemui kekangan ini pada saat paling buruk. Sumber yang jarang bukan pasukan merah; ia pasukan merah yang layak, dengan tetingkap masa yang betul dan tanpa konflik terhadap estet anda.

Pasukan Dalaman Membantu, Tetapi Tidak Mampu Memikulnya

Bank yang memiliki keupayaan ofensif matang dengan munasabah bertanya sama ada pasukan dalaman boleh menyerap kerja ini. Sebahagiannya boleh.

Penyedia ujian dalaman dibenarkan, tertakluk kepada kelulusan penyeliaan, sumber yang mencukupi, dan pengurusan konflik kepentingan — tetapi dengan dua had keras. Penyedia ujian luaran mesti dikontrakkan setiap tiga ujian, jadi pasukan dalaman boleh meliputi paling banyak dua kitaran daripada tiga. Dan penyedia risikan ancaman mesti berada di luar institusi dalam setiap ujian, termasuk ujian yang dilaksanakan oleh pasukan dalaman.

Peraturan kedua itu lebih menarik, kerana ia sebenarnya bukan tentang keupayaan. Fungsi risikan dalaman tahu kesimpulan mana yang akan menyusahkan. Menuntut risikan datang dari luar ialah pertahanan berstruktur terhadap pasukan merah yang secara senyap menguji perkara yang organisasi sudah selesa diuji — mod kegagalan yang menjadikan sesuatu latihan itu melegakan dan bukannya bermaklumat.

Akibat perancangan yang praktikal: bina keupayaan dalaman untuk kitaran yang mampu ia layan, tetapi layan risikan luaran sebagai butiran belanjawan tetap dan bukan berkala.

Pihak Ketiga Anda Berada di Dalam Ujian

Apabila fungsi kritikal atau penting bergantung pada penyedia pihak ketiga ICT, sistem penyedia itu boleh termasuk dalam skop ujian TLPT, dan penyedia itu boleh dikehendaki menyertainya.

Bagi bank borong, itu bukan nota kaki. Fungsi kritikal dalam pembayaran, kustodi dan penyelesaian secara tidak seimbang berjalan pada platform vendor, perkhidmatan terurus dan awan. Ujian yang diskopkan secara jujur terhadap fungsi kritikal akan menjangkau ke dalam pembekal, dan sebaik ia berbuat demikian, tiga soalan muncul yang bersifat kontraktual dan bukan teknikal:

Adakah kontrak membenarkannya? Klausa hak untuk menguji yang ditulis untuk penilaian konvensional selalunya tidak membayangkan pasukan merah berpandukan risikan yang beroperasi terhadap pengeluaran tanpa kakitangan operasi penyedia diberi amaran awal.
Siapa memikul risiko jika ujian mencetuskan insiden? Antara bank, penyedia ujian dan penyedia perkhidmatan, perkara ini perlu diselesaikan secara bertulis sebelum penskopan, bukan dirundingkan di bawah tekanan masa apabila tetingkap ujian sudah ditempah.
Bolehkah penyedia itu melayan semua orang serentak? Penyedia tertumpu yang melayan banyak entiti yang ditetapkan menghadapi permintaan segerak yang sama seperti pasaran penyedia ujian — dan ia tiada kewajipan mengutamakan anda.

Kerja klausa mempunyai masa pendahuluan yang lebih panjang daripada ujian itu sendiri. Ia wajar dimasukkan ke dalam templat pembaharuan sekarang, atas sebab dan logik yang sama seperti mana-mana hak akses penyeliaan yang lain.

Apa Yang Pihak Bertahan Perlu Sumbangkan kepada Latihan Ini

Pasukan merah yang berjaya secara senyap mengajar institusi terlalu sedikit. Nilainya terletak pada pembinaan semula: apa yang dipancarkan, apa yang dikesan, apa yang dinaikkan taraf, dan berapa lama setiap langkah mengambil masa.

Tiga komitmen membezakan latihan yang menghasilkan bukti daripada latihan yang menghasilkan cerita.

Pasang instrumen untuk pembinaan semula sebelum ujian, bukan semasa ujian. Jika telemetri pengesanan belum disimpan pada ketelitian yang mencukupi, analisis pasca-latihan menjadi soal ingatan. Itulah cara paling lazim sesuatu latihan yang berjaya secara teknikal menghasilkan pakej penyeliaan yang lemah.

Ukur masa, bukan sekadar keputusan. Sama ada pasukan merah mencapai objektifnya ialah penemuan paling kurang menarik. Masa hingga pengesanan pertama, masa hingga atribusi yang betul, dan masa hingga pembendungan ialah angka yang menggambarkan keupayaan bertahan, dan itulah angka yang bertambah baik antara kitaran.

Tutup gelung ke arah pasukan biru secara sengaja. Kerjasama dengan pasukan bertahan terbina ke dalam rangka kerja ini dan bukan ditampal kemudian, dan itulah yang menukar satu latihan menjadi keupayaan yang tahan lama. Institusi yang menjalankan ujian, memfailkan laporan dan tidak mengubah apa-apa yang boleh dilihat telah memenuhi kitaran dan tidak mempelajari apa-apa.

Buku Panduan Operasi

Tentukan sama ada anda menjangka penetapan, dan rancang seolah-olah anda ditetapkan. Masa pendahuluan perolehan cukup panjang sehingga menunggu notifikasi rasmi menjadi pilihan yang mahal.
Letakkan perolehan penyedia ujian pada pelan hadapan tiga tahun, bukan jadual projek. Layakkan sebuah panel terhadap syarat Article 27 — akreditasi atau pematuhan kod, laporan jaminan, perlindungan tanggung rugi — jauh sebelum tetingkap masa diperlukan.
Kontrakkan risikan ancaman luaran sebagai pengaturan berkekalan. Ia dituntut dalam setiap kitaran tanpa mengira siapa yang melaksanakan ujian, jadi ia bukan kos berubah.
Betulkan klausa pihak ketiga pada suku tahun ini. Hak untuk menguji, kewajipan penyertaan, pengagihan risiko insiden. Ini mempunyai masa pendahuluan paling panjang antara semua perkara di sini dan ia bukan tugas kejuruteraan.
Naikkan ketelitian telemetri pengesanan sebelum latihan pertama. Pakej bukti hanya sebaik apa yang dirakam semasa pasukan merah sedang beroperasi.
Laporkan pemasaan, bukan keputusan menang kalah. Masa untuk mengesan, mengatribusi dan membendung, dijejaki merentas kitaran, ialah metrik yang menunjukkan kepada penyelia satu keupayaan dan bukan satu peristiwa pematuhan.

Institusi yang akan mengendalikan perkara ini dengan tenang bukanlah yang memiliki pasukan merah dalaman paling mengagumkan. Ia yang melayan kewajipan ujian diselia sebagai masalah rantaian bekalan dan bukti cukup awal untuk menyelesaikannya dengan tenang.

Soalan Lazim

Adakah setiap entiti yang dikawal selia DORA wajib melaksanakan TLPT?
Tidak. Pihak berkuasa berwibawa mengenal pasti entiti yang dikehendaki melaksanakannya, berdasarkan kepentingan sistemik, saiz dan profil risiko ICT, dan perusahaan mikro dikecualikan. Entiti yang tidak ditetapkan kekal tertakluk kepada keperluan ujian daya tahan operasi digital am DORA — jangkaan itu tidak hilang, hanya rejim formalnya sahaja.

Berapa kerap entiti yang ditetapkan mesti menguji?
Sekurang-kurangnya setiap tiga tahun, meliputi fungsi kritikal atau penting. Pihak berkuasa berwibawa boleh menuntut kekerapan lebih tinggi atau lebih rendah bergantung pada profil risiko dan keadaan operasi entiti berkenaan.

Bolehkah kami menggunakan pasukan merah kami sendiri?
Bagi sehingga dua daripada setiap tiga ujian, tertakluk kepada kelulusan penyeliaan, sumber yang mencukupi dan pengurusan konflik kepentingan; penyedia ujian luaran mesti dikontrakkan pada setiap ujian ketiga. Secara berasingan, dan dalam setiap kitaran, penyedia risikan ancaman mesti berada di luar institusi.

Adakah penyedia yang kami sumber luar perlu turut serta?
Mereka boleh dikehendaki berbuat demikian. Apabila fungsi kritikal atau penting bergantung pada penyedia pihak ketiga ICT, sistem penyedia itu boleh termasuk dalam skop ujian dan penyedia itu boleh dikehendaki menyertainya — sebab itulah hak untuk menguji dan pengagihan risiko insiden perlu diselesaikan secara kontraktual terlebih dahulu.

Kami sudah menjalankan latihan TIBER-EU. Adakah kami mematuhi?
Kedudukan anda baik, kerana rejim ini dibina di atas rangka kerja yang sama, tetapi kedua-duanya tidak setara. Penyertaan TIBER bersifat sukarela; kewajipan DORA diselia, membawa kitaran yang diwajibkan, dan datang bersama syarat penyedia ujian yang khusus serta pengaturan pengiktirafan rentas sempadan yang ditetapkan dalam piawaian teknikal kawal selia.

Rujukan

European Parliament and Council of the European Union, 2022. Regulation (EU) 2022/2554 mengenai daya tahan operasi digital bagi sektor kewangan (DORA). Brussels: Jurnal Rasmi Kesatuan Eropah. Tersedia di: European Parliament and Council of the European Union, 2022..
European Commission, 2025. Commission Delegated Regulation (EU) 2025/1190 yang melengkapkan Regulation (EU) 2022/2554 berhubung piawaian teknikal kawal selia mengenai ujian penembusan berasaskan ancaman. Brussels: Jurnal Rasmi Kesatuan Eropah. Tersedia di: European Commission, 2025..
European Central Bank, 2026. TIBER-EU: Rangka kerja Eropah untuk pasukan merah beretika berasaskan risikan ancaman. Frankfurt am Main: European Central Bank. Tersedia di: European Central Bank, 2026..

Semakan terakhir 2026-08-06.

Terbit semula artikel ini

Pasukan Merah Menjadi Rantaian Bekalan Diselia: Tuntutan Sebenar Rejim TLPT DORA — Sebastien Rousseau

Rejim TLPT DORA menjadikan pasukan merah satu kewajipan diselia. Kekangan sebenar ialah pasaran penyedia ujian, kitaran ujian dan pihak ketiga anda.

Artikel ini dilesenkan di bawah Creative Commons Attribution 4.0 International. Penerbitan semula memerlukan atribusi kepada URL kanonik.

Pasukan Merah Menjadi Rantaian Bekalan Diselia: Tuntutan Sebenar Rejim TLPT DORA — Sebastien Rousseau

Rejim TLPT DORA menjadikan pasukan merah satu kewajipan diselia. Kekangan sebenar ialah pasaran penyedia ujian, kitaran ujian dan pihak ketiga anda.

Originally published at https://sebastienrousseau.com/ms/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER