రెడ్ టీమ్ పర్యవేక్షిత సరఫరా గొలుసుగా మారింది: DORA TLPT వ్యవస్థ నిజంగా ఏమి కోరుతోంది
ముప్పు ఆధారిత చొచ్చుకుపోయే పరీక్ష అంటే కాగితపు పని ఎక్కువగా ఉన్న చొచ్చుకుపోయే పరీక్ష కాదు. DORA ఆర్టికల్ 26 కింది నియంత్రణ సాంకేతిక ప్రమాణాలు Commission Delegated Regulation (EU) 2025/1190 ద్వారా అమల్లోకి రావడంతో, యూరోపియన్ ఆర్థిక రంగంలో శత్రు అనుకరణ ఇప్పుడు పర్యవేక్షిత కార్యకలాపంగా మారింది — నిర్దిష్ట పరీక్ష పరిధి, తప్పనిసరి వ్యవధి, గుర్తింపు పొందిన సరఫరాదారుల మార్కెట్, మరియు మొత్తం కసరత్తు స్వరూపాన్నే నిశ్శబ్దంగా మార్చే ఒక నిబంధన: ముప్పు నిఘా సమాచార ప్రదాత ఎప్పుడూ పరీక్షకు గురయ్యే సంస్థకు బాహ్యంగా ఉండాలి. చాలా బ్యాంకులు పరీక్ష ఖర్చును లెక్కించాయి. అది ఇప్పుడు ఆధారపడే సరఫరా గొలుసును లెక్కించినవి తక్కువ.
కార్యనిర్వాహక సారాంశం
- ఇప్పుడు వ్యవస్థ రూపురేఖలు కాదు, స్పష్టమైన నిర్దేశం. 18 జూన్ 2025న అధికారిక పత్రికలో ప్రచురితమైన Commission Delegated Regulation (EU) 2025/1190, DORA ఆర్టికల్ 26కు నియంత్రణ సాంకేతిక ప్రమాణాలను జోడిస్తుంది — పరీక్ష పరిధి, పద్ధతి, ఫలితాలు, అంతర్గత పరీక్ష ప్రదాతల వినియోగం, సభ్య దేశాల మధ్య పరస్పర గుర్తింపుతో సహా పర్యవేక్షక సహకారం.
- TIBER-EU ఆధార పునాది. ముప్పు నిఘా ఆధారిత నైతిక రెడ్ టీమింగ్ కోసం రూపొందిన యూరోపియన్ చట్రంపైనే ఈ వ్యవస్థ నిర్మితమైంది; కాబట్టి TIBER అనుభవం ఉన్న సంస్థలు సున్నా నుంచి మొదలుపెట్టడం లేదు — కానీ TIBERలో పాల్గొనడం స్వచ్ఛందం, ఇది కాదు.
- మూడేళ్లు కనీస స్థాయి, ప్రణాళిక కాదు. నియమిత సంస్థలు కీలక విధులన్నిటిపై కనీసం ప్రతి మూడేళ్లకోసారి పరీక్షిస్తాయి; సంస్థ ప్రమాద స్వరూపాన్ని బట్టి సమర్థ అధికార సంస్థ ఆ వ్యవధిని పెంచవచ్చు లేదా తగ్గించవచ్చు.
- పరీక్ష చేయడం సగం పని మాత్రమే. TLPT పర్యవేక్షక సాక్ష్యాన్ని ఉత్పత్తి చేస్తుంది. పరిధి నిర్ణయ హేతువు, ముప్పు నిఘా సమాచారం, దాడి వివరణ, సవరణ మరియు పునఃపరీక్ష — ఈ దస్త్రాలే అసలు ఫలితం, వాటిని కసరత్తు తర్వాత కూర్చడం కాదు, కసరత్తు జరుగుతున్నప్పుడే నిర్మించాలి.
ఒక పరీక్ష TLPTగా మారినప్పుడు నిజంగా ఏమి మారుతుంది
చాలా బ్యాంకులు ఇప్పటికే దాడి ఆధారిత భద్రతా పరీక్షలు నడుపుతున్నాయి. అందుకే TLPTని ఇప్పటికే ఉన్న సామర్థ్యానికి అనుసరణ పొరను తగిలించడంగా చూసే సహజ ధోరణి ఉంది. ఆ ధోరణి నాలుగు నిర్దిష్ట చోట్ల తప్పు, మరియు ప్రతి దానికీ బడ్జెట్ పరిణామం ఉంది.
పట్టిక 1: సంప్రదాయ దాడి ఆధారిత పరీక్ష వర్సెస్ DORA కింది TLPT
| అంశం | సంప్రదాయ చొచ్చుకుపోయే పరీక్ష | DORA కింది TLPT |
|---|---|---|
| ఇది జరగాలని ఎవరు నిర్ణయిస్తారు | సంస్థే, తన సొంత ప్రమాద ఆసక్తిని బట్టి | సమర్థ అధికార సంస్థ సంస్థను నియమిస్తుంది; వ్యవధి కనీసం ప్రతి మూడేళ్లకోసారి |
| లక్ష్యం ఏమిటి | భద్రతా విభాగం ఎంచుకున్న వ్యవస్థలు | కీలకమైన లేదా ముఖ్యమైన విధులు — ఉత్పత్తిలో నడుస్తున్నవి, అవుట్సోర్స్ చేసినవి కూడా |
| ముప్పు నమూనా ఎక్కడి నుంచి వస్తుంది | అంతర్గత అంచనా లేదా పరీక్ష ప్రదాత సొంత సమాచార నిల్వ | సంస్థకు బాహ్యంగా ఉన్న ప్రదాత నుంచి కొనుగోలు చేసిన ముప్పు నిఘా సమాచారం |
| ఎవరు అమలు చేయవచ్చు | ఏ సమర్థ సరఫరాదారైనా, లేదా అంతర్గత బృందం | ఆర్టికల్ 27 షరతులు తీర్చే పరీక్ష ప్రదాతలు; అంతర్గత బృందాలు ప్రతి మూడు చక్రాల్లో గరిష్ఠంగా రెండింటికి |
| ఫలితం దేనికి ఉపయోగం | అంతర్గత నివేదిక మరియు సవరణ పనుల జాబితా | పర్యవేక్షక సాక్ష్యం — ఫలితాలు, సవరణ అధికార సంస్థ పరిశీలనకు మరియు సరిహద్దుల మధ్య గుర్తింపుకు లోబడి |
చివరి వరుస దగ్గరే కార్యక్రమాలు పని పరిమాణాన్ని తక్కువ అంచనా వేస్తాయి. చొచ్చుకుపోయే పరీక్ష నివేదిక లోపాలను సరిచేసే వారి కోసం రాస్తారు. TLPT దస్త్రాల సమూహం మాత్రం గదిలో లేని పర్యవేక్షకుడి కోసం రాస్తారు — పరీక్ష పరిధిని అక్కడే ఎందుకు గీశారో, నిఘా సమాచారం ఏమి చెప్పిందో, రెడ్ టీమ్ నిజంగా ఏమి చేసిందో, ఫలితంగా ఏమి మారిందో అది పునర్నిర్మించి చూపాలి.
ఎవరు పరిధిలో ఉన్నారు, ఆ నిర్ణయం మీ చేతిలో ఎందుకు లేదు
DORA తన పరిధిలోని ప్రతి సంస్థకూ TLPT బాధ్యతను వర్తింపజేయదు. వ్యవస్థాగత ప్రాముఖ్యత, పరిమాణం, ICT ప్రమాద స్వరూపాన్ని పరిగణనలోకి తీసుకుని దీన్ని నిర్వహించాల్సిన ఆర్థిక సంస్థలను సమర్థ అధికార సంస్థలు గుర్తిస్తాయి; సూక్ష్మ సంస్థలు మినహాయింపు.
దీని నుంచి సులభంగా చేజారిపోయే రెండు పరిణామాలు వస్తాయి.
నియామకం పరిణతికి ఇచ్చే పురస్కారం కాదు. పేరు రావడమంటే మీ వైఫల్యం తీవ్ర పరిణామాలకు దారితీస్తుందని పర్యవేక్షకుడు భావిస్తున్నాడని అర్థం, మరియు దానితో పాటే వ్యవధి బాధ్యత వస్తుంది. దీన్ని ఒకసారి చేసి వదిలేసే ప్రాజెక్టుగా కాక, సంబంధిత సరఫరాదారు సేకరణతో కూడిన శాశ్వత మూడేళ్ల నిబద్ధతగా చదవాలి.
నియామకం లేకపోవడం ఆ తర్కం నుంచి మినహాయింపు కాదు. నియమితం కాని సంస్థ కూడా DORA సాధారణ పరీక్ష నిబంధనల కింద తగిన స్థాయిలో ఉన్నత పరీక్షను నిరూపించాలి. తేడా ఉన్నది వ్యవస్థ లాంఛనప్రాయతలో, ఆశించే ప్రమాణంలో కాదు.
పరీక్ష ప్రదాతల మార్కెట్టే అసలు కట్టుబాటు
ఇది బోర్డు స్లయిడ్లో ఉండాల్సిన అంశం, కానీ అరుదుగా అక్కడ కనిపిస్తుంది.
ఆర్టికల్ 27 కేవలం సమర్థులైన పరీక్ష ప్రదాతలను కోరదు. ముప్పు నిఘా సమాచారం, చొచ్చుకుపోయే పరీక్ష, రెడ్ టీమింగ్లలో నిర్దిష్ట నైపుణ్యంతో సాంకేతిక మరియు సంస్థాగత సామర్థ్యాన్ని నిరూపించే; ఒక సభ్య దేశంలోని గుర్తింపు సంస్థ ధ్రువీకరణ పొందిన, లేదా అధికారిక ప్రవర్తనా నియమావళులకు లేదా నైతిక చట్రాలకు కట్టుబడిన; పరీక్ష స్వయంగా సృష్టించే ప్రమాదాల సమర్థ నిర్వహణపై స్వతంత్ర హామీ లేదా ఆడిట్ నివేదిక ఇవ్వగల; మరియు దుష్ప్రవర్తన, నిర్లక్ష్యానికి కవర్తో సహా వృత్తిపరమైన బాధ్యతా బీమా కలిగిన పరీక్ష ప్రదాతలను అది కోరుతుంది.
పట్టిక 2: ఆర్టికల్ 27 పరీక్ష ప్రదాత నుంచి కోరేది, అది వడపోసేది
| షరతు | ఇది నిజంగా దేని కోసం చూస్తుంది | మార్కెట్ నుంచి ఎవరిని తొలగిస్తుంది |
|---|---|---|
| ముప్పు నిఘా సమాచారం, చొచ్చుకుపోయే పరీక్ష, రెడ్ టీమింగ్ అంతటా నిరూపిత నైపుణ్యం | సరఫరాదారు ఒక్క లంకె కాక మొత్తం గొలుసును నడపగలడా అని | దాడి అమలులో బలంగా ఉండి నిఘా విభాగం లేని చిన్న సంస్థలు |
| ఒక సభ్య దేశంలో గుర్తింపు, లేదా అధికారిక ప్రవర్తనా నియమావళి | పేరు ప్రఖ్యాతుల కంటే ధ్రువీకరించదగిన హోదా | వ్యక్తిగత కాంట్రాక్టర్లు, అనధికారిక బృందాలు |
| ప్రమాద నిర్వహణపై స్వతంత్ర హామీ లేదా ఆడిట్ నివేదిక | ఉత్పత్తిలో ఉన్న బ్యాంకును పరీక్షిస్తే అది చెడిపోదని | సొంత పాలనా పరిణతి లేని సరఫరాదారులు |
| దుష్ప్రవర్తన, నిర్లక్ష్యంతో సహా వృత్తిపరమైన బాధ్యతా బీమా | ప్రమాదం వెనుక ఒక బ్యాలెన్స్ షీట్ ఉందని | పలుచని మూలధనం ఉన్న సంస్థలు |
ఈ నాలుగు వరుసలను కలిపి చదివితే మార్కెట్ స్వరూపం స్పష్టమవుతుంది: కొద్ది సంఖ్యలో సంస్థలు, ఎక్కువగా పెద్దవి, అన్నీ యూనియన్ అంతటా ప్రతి నియమిత సంస్థకూ ఒకే మూడేళ్ల లయలో సేవలు అమ్ముతున్నాయి.
పరీక్ష ప్రదాత సేకరణను త్రైమాసికం ముందుగా షెడ్యూల్ చేసే సాధారణ సోర్సింగ్ పనిగా చూసే సంస్థలు ఈ పరిమితిని అత్యంత చెడ్డ క్షణంలో గుర్తిస్తాయి. కొరత ఉన్నది రెడ్ టీమ్కు కాదు; అర్హత ఉన్న, సరైన సమయ కిటికీ ఉన్న, మీ వ్యవస్థలతో ప్రయోజన వైరుధ్యం లేని రెడ్ టీమ్కు.
అంతర్గత బృందాలు సాయపడతాయి, కానీ మోయలేవు
పరిణతి చెందిన దాడి సామర్థ్యం ఉన్న బ్యాంకులు అంతర్గత బృందం దీన్ని భరించగలదా అని సహేతుకంగానే అడుగుతాయి. కొంతవరకే.
పర్యవేక్షక ఆమోదం, తగిన వనరులు, ప్రయోజన వైరుధ్య నిర్వహణకు లోబడి అంతర్గత పరీక్ష ప్రదాతలకు అనుమతి ఉంది — కానీ రెండు కఠిన పరిమితులతో. ప్రతి మూడు పరీక్షలకోసారి బాహ్య పరీక్ష ప్రదాతలతో ఒప్పందం చేసుకోవాలి, కాబట్టి అంతర్గత బృందం మూడింటిలో గరిష్ఠంగా రెండు చక్రాలనే కవర్ చేయగలదు. అలాగే ప్రతి పరీక్షలోనూ ముప్పు నిఘా సమాచార ప్రదాత సంస్థకు బాహ్యంగా ఉండాలి — అంతర్గత బృందం అమలు చేసే పరీక్షలలో కూడా.
ఆ రెండో నిబంధనే మరింత ఆసక్తికరం, ఎందుకంటే అది నిజానికి సామర్థ్యం గురించి కాదు. అంతర్గత నిఘా విభాగానికి ఏ ముగింపులు ఇబ్బంది కలిగిస్తాయో తెలుసు. నిఘా సమాచారం బయటి నుంచి రావాలని కోరడం ఒక నిర్మాణాత్మక రక్షణ — సంస్థ ఇప్పటికే పరీక్షించబడటానికి సౌకర్యంగా భావించే వాటినే రెడ్ టీమ్ నిశ్శబ్దంగా పరీక్షించే ధోరణికి వ్యతిరేకంగా. అదే ధోరణి కసరత్తును సమాచారదాయకంగా కాక ఊరటనిచ్చేదిగా మారుస్తుంది.
ఆచరణాత్మక ప్రణాళిక పరిణామం: అంతర్గత సామర్థ్యాన్ని అది సేవించగల చక్రాల కోసం నిర్మించండి, కానీ బాహ్య నిఘా సమాచారాన్ని అప్పుడప్పుడూ వచ్చే ఖర్చుగా కాక శాశ్వత బడ్జెట్ అంశంగా పరిగణించండి.
మీ మూడో పక్షాలు పరీక్షలో ఉన్నాయి
ఒక కీలకమైన లేదా ముఖ్యమైన విధి ICT మూడో పక్ష ప్రదాతపై ఆధారపడితే, ఆ ప్రదాత వ్యవస్థలు TLPT పరీక్ష పరిధిలోకి రావచ్చు, మరియు ప్రదాత పాల్గొనాల్సి రావచ్చు.
హోల్సేల్ బ్యాంకుకు ఇది చిన్న గమనిక కాదు. చెల్లింపులు, కస్టడీ, సెటిల్మెంట్లోని కీలక విధులు అసమానంగా విక్రేత వేదికలు, నిర్వహిత సేవలు, క్లౌడ్పై నడుస్తాయి. కీలక విధులపై నిజాయితీగా పరిధి నిర్ణయించిన పరీక్ష సరఫరాదారుల లోపలికి చొచ్చుకుపోతుంది, అలా జరిగిన క్షణంలోనే సాంకేతికం కాక ఒప్పంద సంబంధమైన మూడు ప్రశ్నలు వస్తాయి:
- ఒప్పందం దీన్ని అనుమతిస్తుందా? సంప్రదాయ మూల్యాంకనం కోసం రాసిన పరీక్షా హక్కు నిబంధనలు, ప్రదాత కార్యనిర్వహణ సిబ్బందికి ముందస్తు సమాచారం ఇవ్వకుండా ఉత్పత్తి వ్యవస్థపై నిఘా ఆధారిత రెడ్ టీమ్ పనిచేయడాన్ని తరచుగా ఊహించవు.
- పరీక్ష వల్ల ఘటన జరిగితే ప్రమాదాన్ని ఎవరు భరిస్తారు? బ్యాంకు, పరీక్ష ప్రదాత, ప్రదాతల మధ్య దీన్ని పరిధి నిర్ణయానికి ముందే రాతపూర్వకంగా తేల్చాలి — పరీక్ష సమయ కిటికీ బుక్ అయ్యాక సమయ ఒత్తిడిలో బేరమాడడం కాదు.
- ప్రదాత అందరికీ ఒకేసారి సేవలందించగలడా? అనేక నియమిత సంస్థలకు సేవలందించే కేంద్రీకృత ప్రదాత, పరీక్ష ప్రదాతల మార్కెట్ ఎదుర్కొనే అదే ఏకకాల డిమాండ్ను ఎదుర్కొంటాడు — మీకు ప్రాధాన్యమివ్వాల్సిన బాధ్యత అతనికి లేదు.
నిబంధనల పని పరీక్ష కంటే ఎక్కువ ముందస్తు సమయం తీసుకుంటుంది. ఏ ఇతర పర్యవేక్షక ప్రవేశ హక్కుకైనా వర్తించే అదే కారణం, అదే తర్కంతో అది ఇప్పుడే పునరుద్ధరణ ఒప్పంద నమూనాలో చేరాలి.
రక్షకులు కసరత్తుకు ఇవ్వాల్సినది
నిశ్శబ్దంగా విజయం సాధించే రెడ్ టీమ్ సంస్థకు చాలా తక్కువ నేర్పుతుంది. విలువ ఉన్నది పునర్నిర్మాణంలో: ఏమి వెలువడింది, ఏమి గుర్తించబడింది, ఏమి పైస్థాయికి చేరింది, ప్రతి అడుగుకూ ఎంత సమయం పట్టింది.
సాక్ష్యాన్ని ఉత్పత్తి చేసే కసరత్తుకూ, కేవలం ఒక కథను ఉత్పత్తి చేసే కసరత్తుకూ మధ్య తేడాను మూడు నిబద్ధతలు నిర్ణయిస్తాయి.
పునర్నిర్మాణం కోసం పరీక్ష సమయంలో కాక, ముందే కొలత సాధనాలు అమర్చండి. గుర్తింపు టెలిమెట్రీ ఇప్పటికే తగినంత స్పష్టతతో నిల్వ చేయకపోతే, కసరత్తు తర్వాతి విశ్లేషణ జ్ఞాపకశక్తిపై ఆధారపడుతుంది. సాంకేతికంగా విజయవంతమైన కసరత్తు బలహీన పర్యవేక్షక దస్త్రాలను ఇవ్వడానికి ఇదే అత్యంత సాధారణ కారణం.
ఫలితాన్నే కాక, సమయాన్ని కొలవండి. రెడ్ టీమ్ లక్ష్యాన్ని సాధించిందా లేదా అన్నది అతి తక్కువ ఆసక్తికరమైన ఫలితం. మొదటి గుర్తింపుకు పట్టిన సమయం, సరైన ఆపాదనకు పట్టిన సమయం, నియంత్రణకు పట్టిన సమయం — ఇవే రక్షణ సామర్థ్యాన్ని వర్ణించే సంఖ్యలు, చక్రాల మధ్య మెరుగుపడేవి కూడా ఇవే.
బ్లూ టీమ్తో ఉద్దేశపూర్వకంగా వలయాన్ని పూర్తి చేయండి. రక్షణ బృందంతో సహకారం చట్రంలో బయటి నుంచి తగిలించినది కాదు, లోపలే అంతర్భాగంగా ఉంది; ఒకే కసరత్తును శాశ్వత సామర్థ్యంగా మార్చేది అదే. పరీక్ష నడిపి, నివేదిక దాఖలు చేసి, గమనించదగిన మార్పు ఏదీ చేయని సంస్థ ఒక వ్యవధిని తీర్చింది, ఏమీ నేర్చుకోలేదు.
కార్యాచరణ ప్రణాళిక
- మీరు నియామకాన్ని ఆశిస్తున్నారో లేదో తేల్చుకోండి, ఆశిస్తున్నట్టే ప్రణాళిక వేయండి. సేకరణకు పట్టే ముందస్తు సమయం ఎంతంటే, అధికారిక నోటీసు కోసం ఎదురుచూడటం ఖరీదైన ఎంపిక.
- పరీక్ష ప్రదాత సేకరణను ప్రాజెక్టు షెడ్యూల్లో కాక, మూడేళ్ల ముందస్తు ప్రణాళికలో పెట్టండి. ఆర్టికల్ 27 షరతులకు — గుర్తింపు లేదా నియమావళి పాటింపు, హామీ నివేదిక, బాధ్యతా బీమా — వ్యతిరేకంగా ఒక ప్యానెల్ను, సమయ కిటికీ అవసరమయ్యే చాలా ముందే అర్హత పరీక్షించండి.
- బాహ్య ముప్పు నిఘా సమాచారాన్ని శాశ్వత ఏర్పాటుగా ఒప్పందం చేసుకోండి. పరీక్షను ఎవరు అమలు చేసినా ప్రతి చక్రంలోనూ ఇది తప్పనిసరి, కాబట్టి ఇది మారే ఖర్చు కాదు.
- మూడో పక్ష నిబంధనలను ఈ త్రైమాసికంలోనే సరిచేయండి. పరీక్షా హక్కు, పాల్గొనే బాధ్యతలు, ఘటన ప్రమాద కేటాయింపు. ఇక్కడి అన్ని పనుల్లోకీ దీనికే ఎక్కువ ముందస్తు సమయం పడుతుంది, మరియు ఇది ఇంజినీరింగ్ పని కాదు.
- మొదటి కసరత్తుకు ముందే గుర్తింపు టెలిమెట్రీ స్పష్టతను పెంచండి. రెడ్ టీమ్ పనిచేస్తున్నప్పుడు ఏమి నమోదైందో, సాక్ష్య దస్త్రాల నాణ్యత అంతే.
- తీర్పును కాదు, సమయాలను నివేదించండి. గుర్తించడానికి, ఆపాదించడానికి, నియంత్రించడానికి పట్టిన సమయాన్ని చక్రాల వెంబడి ట్రాక్ చేయడమే — పర్యవేక్షకుడికి అనుసరణ ఘటనను కాక ఒక సామర్థ్యాన్ని చూపే కొలమానం.
దీన్ని హాయిగా నిర్వహించే సంస్థలు అత్యంత ఆకట్టుకునే అంతర్గత రెడ్ టీమ్ ఉన్నవి కావు. పర్యవేక్షిత పరీక్ష బాధ్యతను సరఫరా గొలుసు మరియు సాక్ష్య సమస్యగా తగినంత ముందుగా గుర్తించి, ప్రశాంతంగా పరిష్కరించుకున్నవి.
తరచుగా అడిగే ప్రశ్నలు
DORA నియంత్రణలోని ప్రతి సంస్థా TLPT నిర్వహించాలా?
లేదు. వ్యవస్థాగత ప్రాముఖ్యత, పరిమాణం, ICT ప్రమాద స్వరూపం ఆధారంగా దీన్ని నిర్వహించాల్సిన సంస్థలను సమర్థ అధికార సంస్థలు గుర్తిస్తాయి; సూక్ష్మ సంస్థలు మినహాయింపు. నియమితం కాని సంస్థలు DORA సాధారణ డిజిటల్ కార్యాచరణ స్థితిస్థాపకత పరీక్ష అవసరాలకు లోబడే ఉంటాయి — ఆశించే ప్రమాణం మాయం కాదు, లాంఛనప్రాయ వ్యవస్థ మాత్రమే.
నియమిత సంస్థ ఎంత తరచుగా పరీక్షించాలి?
కీలకమైన లేదా ముఖ్యమైన విధులను కవర్ చేస్తూ కనీసం ప్రతి మూడేళ్లకోసారి. సంస్థ ప్రమాద స్వరూపం, కార్యాచరణ పరిస్థితులను బట్టి సమర్థ అధికార సంస్థ ఎక్కువ లేదా తక్కువ వ్యవధిని కోరవచ్చు.
మా సొంత రెడ్ టీమ్ను వాడుకోవచ్చా?
పర్యవేక్షక ఆమోదం, తగిన వనరులు, ప్రయోజన వైరుధ్య నిర్వహణకు లోబడి ప్రతి మూడు పరీక్షల్లో గరిష్ఠంగా రెండింటికి; ప్రతి మూడో పరీక్షకూ బాహ్య పరీక్ష ప్రదాతలతో ఒప్పందం చేసుకోవాలి. దీనికి వేరుగా, ప్రతి చక్రంలోనూ ముప్పు నిఘా సమాచార ప్రదాత సంస్థకు బాహ్యంగా ఉండాలి.
మా అవుట్సోర్స్ ప్రదాతలు పాల్గొనాలా?
పాల్గొనమని కోరవచ్చు. ఒక కీలకమైన లేదా ముఖ్యమైన విధి ICT మూడో పక్ష ప్రదాతపై ఆధారపడితే, ఆ ప్రదాత వ్యవస్థలు పరీక్ష పరిధిలోకి రావచ్చు, ప్రదాత పాల్గొనాల్సి రావచ్చు — అందుకే పరీక్షా హక్కు, ఘటన ప్రమాద కేటాయింపు ముందుగానే ఒప్పందపరంగా తేలాలి.
మేము ఇప్పటికే TIBER-EU కసరత్తులు నడుపుతున్నాం. మేము అనుసరణలో ఉన్నట్టేనా?
ఈ వ్యవస్థ అదే చట్రంపై నిర్మితం కాబట్టి మీ స్థానం బాగుంది, కానీ రెండూ సమానం కావు. TIBERలో పాల్గొనడం స్వచ్ఛందం; DORA బాధ్యత పర్యవేక్షితం, తప్పనిసరి వ్యవధితో వస్తుంది, మరియు నియంత్రణ సాంకేతిక ప్రమాణాలలో పేర్కొన్న నిర్దిష్ట పరీక్ష ప్రదాత షరతులు, సరిహద్దుల మధ్య గుర్తింపు ఏర్పాట్లతో వస్తుంది.
మూలాలు
- European Parliament and Council of the European Union, 2022. Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA). బ్రస్సెల్స్: యూరోపియన్ యూనియన్ అధికారిక పత్రిక. ఇక్కడ లభ్యం: European Parliament and Council of the European Union, 2022..
- European Commission, 2025. Commission Delegated Regulation (EU) 2025/1190 supplementing Regulation (EU) 2022/2554 with regard to regulatory technical standards on threat-led penetration testing. బ్రస్సెల్స్: యూరోపియన్ యూనియన్ అధికారిక పత్రిక. ఇక్కడ లభ్యం: European Commission, 2025..
- European Central Bank, 2026. TIBER-EU: European framework for threat intelligence-based ethical red-teaming. ఫ్రాంక్ఫర్ట్ ఆమ్ మెయిన్: యూరోపియన్ సెంట్రల్ బ్యాంక్. ఇక్కడ లభ్యం: European Central Bank, 2026..
చివరిగా సమీక్షించబడింది .
ఈ వ్యాసాన్ని క్రాస్-పోస్ట్ చేయండి
Medium కోసం ఫార్మాట్ చేసి కాపీ చేయండి
# రెడ్ టీమ్ పర్యవేక్షిత సరఫరా గొలుసుగా మారింది: DORA TLPT డిమాండ్ — Sebastien Rousseau > Originally published at [https://sebastienrousseau.com/te/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/](https://sebastienrousseau.com/te/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/) DORA TLPT వ్యవస్థ రెడ్ టీమింగ్ను పర్యవేక్షిత బాధ్యతగా మారుస్తుంది. కట్టుబడే పరిమితులు పరీక్ష ప్రదాతల మార్కెట్, మూడేళ్ల వ్యవధి, మీ మూడో పక్షాలు. Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/te/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/
Mastodon కోసం ఫార్మాట్ చేసి కాపీ చేయండి
రెడ్ టీమ్ పర్యవేక్షిత సరఫరా గొలుసుగా మారింది: DORA TLPT డిమాండ్ — Sebastien Rousseau DORA TLPT వ్యవస్థ రెడ్ టీమింగ్ను పర్యవేక్షిత బాధ్యతగా మారుస్తుంది. కట్టుబడే పరిమితులు పరీక్ష ప్రదాతల మార్కెట్, మూడేళ్ల వ్యవధి, మీ మూడో పక్షాలు. https://sebastienrousseau.com/te/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/
LinkedIn కోసం ఫార్మాట్ చేసి కాపీ చేయండి
రెడ్ టీమ్ పర్యవేక్షిత సరఫరా గొలుసుగా మారింది: DORA TLPT డిమాండ్ — Sebastien Rousseau DORA TLPT వ్యవస్థ రెడ్ టీమింగ్ను పర్యవేక్షిత బాధ్యతగా మారుస్తుంది. కట్టుబడే పరిమితులు పరీక్ష ప్రదాతల మార్కెట్, మూడేళ్ల వ్యవధి, మీ మూడో పక్షాలు. ముఖ్యమైన వ్యూహాత్మక అంశాలు ఇవి: - ఒక పరీక్ష TLPTగా మారినప్పుడు నిజంగా ఏమి మారుతుంది. చాలా బ్యాంకులు ఇప్పటికే దాడి ఆధారిత భద్రతా పరీక్షలు నడుపుతున్నాయి. - ఎవరు పరిధిలో ఉన్నారు, ఆ నిర్ణయం మీ చేతిలో ఎందుకు లేదు. DORA తన పరిధిలోని ప్రతి సంస్థకూ TLPT బాధ్యతను వర్తింపజేయదు. - పరీక్ష ప్రదాతల మార్కెట్టే అసలు కట్టుబాటు. ఇది బోర్డు స్లయిడ్లో ఉండాల్సిన అంశం, కానీ అరుదుగా అక్కడ కనిపిస్తుంది. - అంతర్గత బృందాలు సాయపడతాయి, కానీ మోయలేవు. పరిణతి చెందిన దాడి సామర్థ్యం ఉన్న బ్యాంకులు అంతర్గత బృందం దీన్ని భరించగలదా అని సహేతుకంగానే అడుగుతాయి. ఈ వ్యాసంలో వివరించిన సవాళ్లకు మీ సంస్థ దృక్పథం ఏమిటి? → https://sebastienrousseau.com/te/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/ #ముప్పుఆధారితచొచ్చుకుపోయేపరీక్ష #ThreatLedPenetrationTesting #Tlpt #DoraArticle26 #DoraArticle27 Sebastien Rousseau | CC-BY-4.0
ఈ వ్యాసాన్ని ఉదహరించండి
రెడ్ టీమ్ పర్యవేక్షిత సరఫరా గొలుసుగా మారింది: DORA TLPT డిమాండ్ — Sebastien Rousseau
DORA TLPT వ్యవస్థ రెడ్ టీమింగ్ను పర్యవేక్షిత బాధ్యతగా మారుస్తుంది. కట్టుబడే పరిమితులు పరీక్ష ప్రదాతల మార్కెట్, మూడేళ్ల వ్యవధి, మీ మూడో పక్షాలు.
BibTeX
@online{rousseau2026ర,
author = {Rousseau, Sebastien},
title = {{రెడ్ టీమ్ పర్యవేక్షిత సరఫరా గొలుసుగా మారింది: DORA TLPT డిమాండ్ — Sebastien Rousseau}},
year = {2026},
url = {https://sebastienrousseau.com/te/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/},
urldate = {2026}
}RIS
TY - GEN AU - Rousseau, Sebastien TI - రెడ్ టీమ్ పర్యవేక్షిత సరఫరా గొలుసుగా మారింది: DORA TLPT డిమాండ్ — Sebastien Rousseau PY - 2026 UR - https://sebastienrousseau.com/te/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/ ER -
Vancouver
Rousseau S. రెడ్ టీమ్ పర్యవేక్షిత సరఫరా గొలుసుగా మారింది: DORA TLPT డిమాండ్ — Sebastien Rousseau. sebastienrousseau.com. 2026 Jul 29. Available from: https://sebastienrousseau.com/te/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/
Chicago
Rousseau, Sebastien. "రెడ్ టీమ్ పర్యవేక్షిత సరఫరా గొలుసుగా మారింది: DORA TLPT డిమాండ్ — Sebastien Rousseau." sebastienrousseau.com. July 29, 2026. https://sebastienrousseau.com/te/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/.
APA
Rousseau, S. (2026, July 29). రెడ్ టీమ్ పర్యవేక్షిత సరఫరా గొలుసుగా మారింది: DORA TLPT డిమాండ్ — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/te/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/
ఈ వ్యాసాన్ని పునఃప్రచురించండి
రెడ్ టీమ్ పర్యవేక్షిత సరఫరా గొలుసుగా మారింది: DORA TLPT డిమాండ్ — Sebastien Rousseau
DORA TLPT వ్యవస్థ రెడ్ టీమింగ్ను పర్యవేక్షిత బాధ్యతగా మారుస్తుంది. కట్టుబడే పరిమితులు పరీక్ష ప్రదాతల మార్కెట్, మూడేళ్ల వ్యవధి, మీ మూడో పక్షాలు.
ఈ వ్యాసం కింది లైసెన్స్ కింద ఉంది Creative Commons Attribution 4.0 International. పునఃప్రచురణకు కానానికల్ URLకు ఆపాదన అవసరం.
రెడ్ టీమ్ పర్యవేక్షిత సరఫరా గొలుసుగా మారింది: DORA TLPT డిమాండ్ — Sebastien Rousseau DORA TLPT వ్యవస్థ రెడ్ టీమింగ్ను పర్యవేక్షిత బాధ్యతగా మారుస్తుంది. కట్టుబడే పరిమితులు పరీక్ష ప్రదాతల మార్కెట్, మూడేళ్ల వ్యవధి, మీ మూడో పక్షాలు. Originally published at https://sebastienrousseau.com/te/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/ by Sebastien Rousseau. Licensed under CC-BY-4.0.