Door dreigingsinformatie geleide penetratietesten (TLPT)

Een conventionele penetratietest past een standaardmethodologie toe op uw omgeving en vindt wat hij vindt. Door dreigingsinformatie geleide penetratietesten beginnen met een andere vraag: gegeven wie u bent, waar u opereert, welke systemen u draait, en welke dreigingsactors een gedocumenteerde geschiedenis hebben van het tot doel nemen van organisaties zoals de uwe, wat zou een echte tegenstander daadwerkelijk tegen u doen?

TLPT beantwoordt die vraag door uw aanvalsscenario's op te bouwen vanuit echte dreigingsinformatie. De geteste TTP's worden niet geselecteerd uit een generieke frameworkchecklist. Zij worden geselecteerd uit een intelligence-gedreven profiel van de specifieke tegenstandersgroepen, campagnes en aanvalspatronen die het meest relevant zijn voor uw organisatie, en leveren testresultaten op die uw reële dreigingsblootstelling weerspiegelen, niet een geïdealiseerde methodologie.

De Digital Operational Resilience Act (DORA) is in januari 2025 volledig van toepassing geworden. Voor significante financiële entiteiten in de EU, banken, verzekeraars, beleggingsondernemingen, betalingsverwerkers en hun kritieke ICT-third-party-providers, schrijft DORA Artikel 26 het volgende voor:

• •Door dreigingsinformatie geleide penetratietesten minimaal eens per drie jaar

• •Uitvoering door gecertificeerde, onafhankelijke, verzekerde testers die voldoen aan de competentienormen van de EBA RTS

• •Een fase dreigingsinformatie vóór het testen, die het ontwerp van aanvalsscenario's informeert

• •Dekking van live productiesystemen, geen sandboxomgevingen

• •Een volledig bewijspakket, inclusief rapport dreigingsinformatie, scopedocumentatie, uitvoeringsrecords en herstelbewijs

• •Melding aan de toezichthouder vóór aanvang en rapportage van resultaten na afronding

TLPT-trajecten van Evaluris leveren elk onderdeel van dat bewijspakket op tot de standaard die DORA en de EBA RTS vereisen.

TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) is het Europese kader voor intelligence-geleid red team-testen van financiële marktinfrastructuur. TIBER-EU-trajecten van Evaluris volgen de drie-fasenstructuur:

Voorbereidingsfase, scopedefinitie, validatie van testeraccreditatie en melding aan de toezichthouder.

Fase dreigingsinformatie, productie van een Targeted Threat Intelligence (TTI)-rapport dat het specifieke dreigingslandschap van uw organisatie profileert. Identificeert de dreigingsactors, campagnes en TTP's die het meest waarschijnlijk tegen u worden ingezet, op basis van uw sector, geografie, technologiestack en publiek bekend operationeel profiel.

Red team-fase, red team-traject opgebouwd rond de TTI-bevindingen, waarin wordt getest of de verdediging van uw organisatie de specifieke aanvalspatronen uit de inlichtingenfase zou detecteren en indammen.

CBUAE (VAE): Jaarlijkse onafhankelijke VAPT verplicht voor gelicentieerde financiële instellingen. Trajecten op TLPT-standaard voor instellingen van Tier 1.

VARA (VAE): Beveiligingstesten vereist vóór elke lancering van een nieuw systeem of product. Red team-oefeningen voor gelicentieerde virtual asset service providers.

SAMA (Saoedi-Arabië): Halfjaarlijkse penetratietesten met indiening van bewijs bij het senior management. Eisen voor geavanceerd red team voor systeemrelevante instellingen.

CBB (Bahrein): Jaarlijkse penetratietesten met formele rapportindiening bij de toezichthouder op vaste data. TLPT-equivalente eisen voor significante entiteiten.

QCB (Qatar): Jaarlijkse onafhankelijke penetratietesten met bewijseisen van de toezichthouder.

CBK CORF 2025 (Koeweit): Verplichte tests uitgebreid naar API's, IoT en open banking-infrastructuur vanaf december 2025.