TIBER-EU: ce înseamnă un test de penetrare condus de amenințări reale
TIBER-EU transformă exercițiul de red team într-un proces controlat, cu reguli europene comune. Iată cum arată un test real, cine joacă fiecare rol și de ce rezultatul nu e niciodată „pass/fail”.
Un test de penetrare obișnuit îți spune dacă un atacator ipotetic ar putea intra prin aplicația web. TIBER-EU îți spune dacă un atacator real — cel care chiar vă vânează instituția, cu tactici, tehnici și proceduri (TTP) culese din amenințările care vă privesc efectiv — ar putea ajunge la funcțiile voastre critice. Diferența pare subtilă, dar schimbă totul: de la cine definește ținta, la cine știe că testul are loc și la ce se întâmplă cu rezultatul.
Ce este TIBER-EU și de unde vine
TIBER-EU (Threat Intelligence-based Ethical Red-teaming) este cadrul european pentru red teaming etic bazat pe informații despre amenințări. A fost dezvoltat în comun de Banca Centrală Europeană și de băncile centrale naționale din UE, aprobat de Consiliul Guvernatorilor BCE și publicat în mai 2018. Nu este un produs comercial și nici un standard privat: este un set de ghiduri și șabloane care spune explicit cum trebuie să colaboreze autoritățile, entitățile testate, furnizorii de threat intelligence și echipele de red team, astfel încât un test făcut în România să fie recunoscut ca valid și în Olanda sau în Germania.
Ideea centrală a cadrului este armonizarea. Fără un limbaj comun, fiecare autoritate națională ar impune propriile reguli, fiecare bancă ar primi cerințe diferite, iar un grup financiar prezent în zece țări ar repeta același exercițiu de zece ori, în zece feluri. TIBER-EU reduce această povară prin recunoașterea reciprocă: dacă testul respectă cerințele cadrului, rezultatul lui este acceptat și de celelalte autorități relevante.
Deși a fost gândit pentru infrastructura financiară centrală, cadrul poate fi folosit de entități din toate sectoarele critice, nu doar din cel financiar. În practică însă, adopția a fost condusă de sectorul financiar: Austria, Belgia, Cehia, Danemarca, Estonia, Finlanda, Franța, Germania, Islanda, Irlanda, Italia, Liechtenstein, Luxemburg, Malta, Olanda, Norvegia, Portugalia, România, Slovacia, Spania și Suedia au adoptat cadrul, iar BCE îl aplică la nivel european prin supervizarea bancară. Alte jurisdicții sunt în proces de adoptare.
De ce contează acum: legătura cu DORA
Până de curând, TIBER-EU era o bună practică. Odată cu Regulamentul privind reziliența operațională digitală (DORA), a devenit o piesă de conformare. DORA impune anumitor entități financiare testări de penetrare conduse de amenințări (TLPT — threat-led penetration testing), iar cadrul TIBER-EU a fost actualizat în 2024 tocmai pentru a se alinia complet cu standardele tehnice de reglementare (RTS) privind TLPT din DORA.
Asta înseamnă că o instituție care adoptă TIBER-EU nu mai tratează exercițiul ca pe un proiect izolat de securitate, ci ca pe o cerință de reglementare cu metodologie, documentație și dovezi. Iar pentru echipele de securitate, diferența dintre „am făcut un pentest” și „am făcut un TLPT conform” este exact diferența dintre o factură și un dosar de conformare.
Notă: TIBER-EU nu înlocuiește testele de penetrare clasice. Un pentest obișnuit rămâne util pentru aplicații, segmente de rețea sau verificări periodice. TIBER-EU acoperă alt nivel: funcțiile critice ale întregii entități, atacate cu TTP-uri reale, fără ca echipa albastră să știe dinainte.
Cine joacă fiecare rol
Un test TIBER-EU nu este o singură echipă care lucrează în vid. Cadrul definește cinci roluri distincte, fiecare cu responsabilități precise. Confuzia între ele este una dintre cele mai frecvente surse de eșec în primele exerciții.
| Rol | Ce face | Cine știe de test |
|---|---|---|
| Echipa albastră | Apără: prevenție, detecție, răspuns | Nu știe dinainte |
| Furnizor threat intel | Analizează amenințările și face recunoaștere | Da |
| Red team | Execută atacul simulat pe funcțiile critice | Da |
| Echipa de control | Conduce testul din interiorul entității | Da |
| Echipa cibernetică TIBER | Supraveghează conformitatea cu cadrul | Da |
Echipa albastră este cea testată cu bună știință, fără să știe. Nu este o capcană, ci esența exercițiului: dacă apărătorii ar ști că sunt atacați, ai măsura altceva — reacția la un exercițiu, nu capacitatea reală de detecție. Echipa de control, în schimb, este mică și formată din oameni din entitate care știu totul și coordonează testul împreună cu echipa cibernetică TIBER a autorității. Ea este plasa de siguranță: oprește testul dacă apare un risc real pentru operațiuni.
Furnizorul de threat intelligence și echipa de red team sunt, de regulă, actori externi. Primul face recunoașterea și construiește profilul de amenințare relevant pentru entitate; al doilea transformă acel profil în atac. Iar echipa cibernetică TIBER din cadrul autorității veghează ca totul să respecte cadrul, astfel încât testul să poată fi recunoscut reciproc. Fără această supraveghere, ai un red team frumos, dar nerecunoscut de nimeni.
Cum arată un test, fază cu fază
Cadrul descrie un parcurs end-to-end, cu șabloane și ghiduri pentru fiecare etapă. Nu este o listă de bifat, ci o secvență în care fiecare fază alimentează următoarea.
Inițierea și scopul
Totul începe cu decizia de a face testul și cu definirea a ceea ce este testat: funcțiile critice ale entității și sistemele care le susțin — oameni, procese și tehnologii. Scopul bine formulat este crucial: un test care încearcă să „atace tot” sfârșește prin a nu dovedi nimic despre ce contează cu adevărat.
Threat intelligence
Aici TIBER-EU se desparte cel mai clar de pentestul clasic. Furnizorul de threat intelligence analizează gama de amenințări posibile și face recunoaștere asupra entității. Rezultatul nu este o listă generică de CVE-uri, ci un profil al actorilor care v-ar putea viza, al TTP-urilor lor și al căilor pe care le-ar folosi. Red team-ul nu inventează un atac: îl construiește pe baza acestui profil.
Planificarea și execuția red team
Echipa de red team planifică atacul simulat și îl execută, încercând să compromită funcțiile critice definite la scoping. Totul se face controlat, cu reguli de angajament clare și cu echipa de control pregătită să intervină. Pe parcurs sau la închidere poate fi folosit și purple teaming — cadrul are o ghidare dedicată pentru asta — adică o colaborare structurată între atacatori și apărători pentru a înțelege împreună de ce o tehnică a funcționat sau nu.
Raportarea și planul de remediere
La final se produc rapoarte distincte: raportul echipei de red team, raportul echipei albastre și planul de remediere. Acesta din urmă este partea care contează cel mai mult pe termen lung, pentru că transformă constatările în acțiuni cu responsabili și termene. Totul se formalizează printr-un raport de sinteză al testului și o atestare, care stau la baza recunoașterii reciproce.
Atenție: TIBER-EU nu are rezultat de tip „pass/fail”. Cadrul o spune explicit: scopul este să scoată la iveală punctele forte și slăbiciunile măsurilor de reziliență, cu accent pe efectul de învățare. O instituție care tratează exercițiul ca pe un examen pe care trebuie să-l treacă va ascunde exact lucrurile pe care ar trebui să le repare.
Ce înseamnă asta pentru echipa ta de securitate
Pentru practicieni, TIBER-EU schimbă câteva reguli fundamentale. În primul rând, detecția devine subiectul principal. Nu contează doar dacă atacatorul a intrat, ci dacă echipa albastră l-a observat, cât de repede și ce a făcut cu informația. Un test în care red team-ul intră fără să fie văzut și iese la fel de nevăzut este un semnal mult mai grav decât o vulnerabilitate critică izolată, pentru că înseamnă că lipsesc exact capacitățile de care ai nevoie într-un incident real.
În al doilea rând, guvernanța internă contează la fel de mult ca tehnicul. Echipa de control trebuie să existe, să fie mandatată și să aibă autoritatea de a opri testul. Documentația — raportul de sinteză, atestarea — trebuie produsă la standardul cerut, altfel testul nu este recunoscut. Iar selecția furnizorilor nu este o formalitate: cadrul are o ghidare dedicată pentru achiziția serviciilor de threat intelligence și red team, iar entitatea trebuie să facă due diligence pentru a se asigura că furnizorul îndeplinește cerințele.
În al treilea rând, rezultatul trebuie să intre în buget și în planificare. Un plan de remediere care rămâne pe hârtie transformă un exercițiu scump într-o pierdere de timp. Practica noastră, ca echipă de pentest, arată că cele mai bune rezultate apar când constatările din red team sunt traduse imediat în schimbări concrete de detecție, segmentare și răspuns, nu doar în tickete de patch.
Greșeli frecvente și cum le eviți
Din experiența exercițiilor de acest tip, câteva modele se repetă. Iată ce merită anticipat înainte de a intra într-un TIBER-EU:
- Scoping prea larg. „Testăm toată banca” duce la un atac diluat. Alege funcțiile critice reale și susține-le cu sistemele relevante.
- Echipa de control subdimensionată sau fără mandat. Fără autoritate reală de oprire, testul devine riscant pentru operațiuni.
- Threat intelligence generic. Dacă profilul de amenințare nu este adaptat entității, red team-ul joacă un scenariu neverosimil.
- Echipa albastră exclusă din învățare. Raportul albastru nu este o formalitate: el arată de ce apărarea a funcționat sau nu.
- Remediere fără prioritizare. Un plan cu 200 de acțiuni fără responsabili și termene nu se execută niciodată.
Un detaliu practic care scade adesea din calitatea testului este confidențialitatea. Cu cât mai puțini oameni din entitate știu de exercițiu, cu atât măsurarea detecției este mai realistă — dar cu atât mai importantă devine disciplina echipei de control. Echilibrul acesta se stabilește la faza de inițiere, nu în timpul atacului.
Unde se situează România și ce urmează
România se află printre jurisdicțiile care au adoptat cadrul TIBER-EU, alături de majoritatea statelor din regiune. Pentru entitățile financiare românești vizate de DORA, asta înseamnă că exercițiile de tip TLPT nu mai pot fi tratate ca niște proiecte izolate: ele trebuie să respecte o metodologie comună, să fie supravegheate de echipa cibernetică națională TIBER și să producă documentația care permite recunoașterea rezultatului.
Comunitatea TIBER — cu Knowledge Centre-ul găzduit de BCE, unde echipele naționale și europene coordonează și împărtășesc experiențe — joacă un rol important în a menține implementarea consecventă. Iar entitățile active în mai multe jurisdicții pot participa la teste comune cu mai multe echipe cibernetice TIBER, ceea ce reduce duplicarea și aliniază eforturile.
Concluzia practică este simplă. TIBER-EU nu este un exercițiu de imagine și nici o bifă de conformare. Este un mecanism prin care o instituție își măsoară reziliența împotriva exact a ceea ce o amenință, cu reguli care fac rezultatul credibil și comparabil la nivel european. Iar valoarea lui reală nu stă în raportul de la final, ci în deciziile pe care le iei după ce îl citești — și în cât de repede le pui în practică înainte de următorul test.