TLPT

Testy TLPT to zaawansowane badania bezpieczeństwa (Red Team) w środowisku produkcyjnym. Symulują działania cyberprzestępców w prawdziwych warunkach. Prowadzone są na podstawie rzeczywistych i realnych scenariuszy zagrożeń (np. ataki ransomware, nieautoryzowany dostęp do wrażliwych informacji itp.).

Głównym celem testów jest sprawdzenie jak dobrze organizacja (ludzie, systemy, zabezpieczenia fizyczne, procedury) jest chroniona przed włamaniami i cyberatakami.

Zrealizowane projekty: Pracowaliśmy m.in. dla banków, domów maklerskich, firm leasingowych, energetycznych, telekomunikacyjnych, produkcyjnych oraz e-commerce.

Dowiedz się więcej

Kluczowe cechy usługi TLPT:

Naśladują działania cyberprzestępcy, który z dowolnego punktu na świecie próbuje naruszyć bezpieczeństwo systemu (np. uzyskać nieautoryzowany dostęp, zmodyfikować dane, ukraść dane, bądź też przejąć kontrolę nad systemami informatycznymi, zaburzyć ich dostępność, itp.).
Realizowane są zgodnie z metodyką Optima Partners opartą o międzynarodowe standardy i wytyczne takie jak MITRE, Cyber Kill Chain.
Realizowane są z wykorzystaniem odpowiednich taktyk, technik i procedur (Tactics, Techniques and Procedures – TTPs) w tym technik socjotechnicznych.
Dopasowane do potrzeb firmy, bazując na analizie zagrożeń (Threat Intelligence) i raportu TTI (Targeted Threat Intelligence Report).
Badane są trzy kluczowe aspekty: poufność, integralność i dostępność danych (CIA – Confidentiality, Integrity, Availability) w ramach przynajmniej jednego odrębnego scenariusza.
Wyniki testów stanowią informacje wejściowe dla procesów zarządzania ryzykiem oraz incydentami bezpieczeństwa w organizacji.
Ryzyko oceniane według międzynarodowych standardów CVSS, OWASP RRM.
Testy realizowane przez ekspertów z certyfikatami, m.in. OSCE, OSCP, OSWE, OSEE, CPTE, CEH, CISSP, CISA i wieloletnim doświadczeniem w zabezpieczaniu systemów, administracji i programowaniu.

Korzyści

Sprawdzenie bezpieczeństwa

Ocena, jak dobrze chronione są systemy IT i procesy w organizacji.

SWOT bezpieczeństwa

Wskazanie mocnych i słabych stron systemów IT oraz procedur bezpieczeństwa.

Zmniejszenie ryzyka

Wykrywanie i usuwanie słabych punktów, aby ograniczyć możliwość ataków i incydentów.

Zgodność z DORA

Testy spełniają wymagania dla sektora finansowego i regulowanego zgodnie z DORA.

Ochrona przed atakami

Testy oparte na rzeczywistych scenariuszach pomagają w skutecznej obronie przed cyberzagrożeniami.

Oszczędność kosztów

Wczesne wykrycie luk pozwala uniknąć wydatków na naprawę skutków ataków.

Większe bezpieczeństwo danych

Zwiększenie ochrony danych przetwarzanych w systemach IT.

Szybkie wykrycie problemów

Identyfikacja podatności, błędów i luk w systemach, zanim zrobią to cyberprzestępcy.

Praktyczne rekomendacje

Dostosowane i opłacalne porady do szybkiego wdrożenia, które pomagają uniknąć strat finansowych, reputacyjnych i prawnych.

Uniknięcie kary

Ochrona przed stratami finansowymi, prawnymi i wizerunkowymi. Uniknięcie kar i sankcji (w tym dla Zarządu zgodnie z DORA).

Przemyślany plan działania

PL

EN

DE

Masz pytania?

Skorzystaj z BEZPŁATNEJ KONSULTACJI

Raport

ANEKS III
Zawartość raportu o ukierunkowanym wywiadzie dotyczącym zagrożeń (Targeted Threat Intelligence Report – TTI) zgodnie z DORA

Raport o ukierunkowanym wywiadzie dotyczącym zagrożeń powinien zawierać informacje na temat wszystkich poniższych aspektów:

Ogólny zakres badań wywiadowczych, obejmujący co najmniej:
1. krytyczne lub ważne funkcje objęte zakresem;
2. ich lokalizację geograficzną;
3. używany oficjalny język UE;
4. istotnych dostawców zewnętrznych usług ICT;
5. okres, w którym zbierano dane do badań.
Ogólna ocena dostępnych konkretnych i możliwych do zastosowania informacji wywiadowczych dotyczących podmiotu finansowego, takich jak:
1. nazwy użytkowników i hasła należące do pracowników;
2. domeny podobne do oficjalnych domen podmiotu finansowego, które mogą być mylone z oryginałami;
3. rekonesans techniczny: podatne i/lub posiadające możliwe do wykorzystania podatności oprogramowanie, systemy i technologie;
4. informacje publikowane przez pracowników w mediach społecznościowych, związane z podmiotem finansowym, które mogą być wykorzystane w celu ataku;
5. informacje na sprzedaż w dark web;
6. wszelkie inne istotne informacje dostępne w internecie lub sieciach publicznych;
7. tam, gdzie to istotne, informacje o możliwościach fizycznego dostępu, w tym sposoby dostępu do lokalizacji podmiotu finansowego.
Analiza wywiadowcza dotycząca zagrożeń, uwzględniająca ogólny krajobraz zagrożeń oraz specyficzną sytuację podmiotu finansowego, obejmująca co najmniej:
1. środowisko geopolityczne;
2. środowisko gospodarcze/ekonomiczne;
3. trendy technologiczne oraz inne trendy związane z działalnością w sektorze usług finansowych.
Profile zagrożeń ze strony złośliwych aktorów (konkretnych osób/grup lub ogólnych klas złośliwych aktorów), które mogą stanowić zagrożenie dla podmiotu finansowego, w tym systemów tego podmiotu najbardziej podatnych na ataki, możliwe motywacje, intencje i uzasadnienia potencjalnych działań oraz możliwy sposób działania napastników.
Scenariusze zagrożeń: Co najmniej trzy scenariusze zagrożeń typu end-to-end dla profili zagrożeń zidentyfikowanych zgodnie z punktem 4, które wykazują najwyższe oceny poziomu zagrożeń. Scenariusze zagrożeń powinny opisywać cały przebieg ataku i obejmować co najmniej:
1. jeden scenariusz obejmujący, lecz nie ograniczający się do, naruszenia dostępności usługi;
2. jeden scenariusz obejmujący, lecz nie ograniczający się do, naruszenia integralności danych;
3. jeden scenariusz obejmujący, lecz nie ograniczający się do, naruszenia poufności informacji.
Tam, gdzie ma to zastosowanie, opis scenariusza, o którym mowa w artykule 10(4) rozporządzenia 2025/1190.

Najczęściej zadawane pytania

Jakie doświadczenie posiadają pentesterzy?

Kierownik Testów posiada co najmniej pięcioletnie doświadczenie w testach penetracyjnych i testach typu Red Team

Pentesterzy:

Posiadają co najmniej pięcioletnie doświadczenie w testach penetracyjnych i testach typu Red Team;
Posiadają szeroki zakres i odpowiedni poziom wiedzy w zakresie testów penetracyjnych i testów typu Red Team;
Posiadają szeroki zakres i odpowiedni poziom profesjonalnej wiedzy i umiejętności, w tym wiedzy na temat działalności podmiotu finansowego, rekonesansu, zarządzania ryzykiem, opracowywania exploitów, penetracji fizycznej, inżynierii społecznej, analizy podatności;
Posiadają odpowiednie umiejętności komunikacyjne, aby jasno prezentować i raportować wyniki wykonanych prac;
Brali udział w co najmniej pięciu wcześniejszych zadaniach związanych z testami penetracyjnymi i testami typu Red Team;
Nie świadczyli jednocześnie usługi analizy zagrożeń dla tego samego testu TLPT, by zapewnić niezależność zespołów TI i RT wymaganą przez DORA.

Pentesterzy posiadają odpowiednie certyfikaty potwierdzające kwalifikacje. Opis certyfikatów znajduje w odpowiedzi na pytanie na stronie głównej.

Jak liczny zespół mają Państwo do dyspozycji?

Posiadamy zespół:

ponad 20 inżynierów bezpieczeństwa (pentesterów) posiadających m.in. następujące certyfikaty: OSCE, OSCP, OSWE, OSEE, CPTE, CEH.

Czy posiadacie Państwo certyfikaty potwierdzające kwalifikacje zespołu związane z bezpieczeństwem IT?

Tak, posiadamy certyfikaty potwierdzające kwalifikacje zespołu takie, jak:

1. CISSP (Certified Information Systems Security Professional),
2. OSCE (Offensive Security Certified Expert),
3. OSCP (Offensive Security Certified Professional),
4. OPST (OSSTMM Professional Security Tester),
5. OSEE (Offensive Security Exploitation Expert),
6. OSWE (Offensive Security Web Expert),
7. OSWP (Offensive Security Wireless Professional),
8. CEPT (Certified Expert Penetration Tester),
9. CEH (Certified Ethical Hacker),
10. Certified Penetration Tester (CPT),
11. CSX Cybersecurity Practitioner (CSX-P),
12. GPEN (GIAC Penetration Tester),
13. GWAPT (GIAC Web Application Penetration Tester),
14. GMOB (GIAC Mobile Device Security Analyst),
15. GXPN (GIAC Exploit Researcher and Advanced Penetration Tester),
16. Industrial Automation and Control Systems Security (ISA-99)
17. LPT (Licensed Penetration Tester),
18. ECSS (EC-Council Certified Security Specialist),
19. AWE (Advanced Windows Exploitation),
20. eCPPT (eLearnSecurity Certified Professional Penetration Tester),
21. eJPT (eLearnSecurity Junior Penetration Tester),
22. eMAPT (eLearnSecurity Mobile Application Penetration Tester),
23. eWPT (eLearnSecurity Web application Penetration Tester),
24. eWPTX (Web application Penetration Tester eXtreme),
25. CompTIA Security+,
26. Systems Security Certified Practitioner (SSCP),
27. CompTIA Project+,
28. CIA (Certified Internal Auditor),
29. CISA (Certified Information Security Auditor),
30. CISM (Certified Information Security Manager),
31. Audytor Wiodący ISO 27001,
32. Audytor wewnętrzny SZBI BS 7799,
33. Audytor Wiodący ISO 22301
34. CRISC (Certified in Risk and Information Systems Control),
35. CBCP – Certified Business Continuity Professional (DRII),
36. Certified ISO 31000 Risk Manager (PECB),
37. ITIL Foundation,
38. ITIL Intermediate,
39. Prince2 Practitioner.

i wiele więcej…

Jaki jest potencjalny czas trwania testów TLPT, włącznie z opracowaniem wyników i zaleceń po ich zakończeniu?

Zgodnie z DORA czas trwania testów powinien wynosić minimum 12 tygodni. W zależności od złożoności scenariuszy ataków testy mogą trwać od 12 do 24 tygodni.

Jakie metodyki wykorzystujecie Państwo do testów TLPT?

Autorska metodyka Optima Partners oparta jest o międzynarodowe normy i standardy takie jak:

- - MITRE
  - Cyber Kill Chain Lockheed Martin
  - TIBER-EU

Jakie ubezpieczenie posiada Optima Partners?

Optima Partners posiada odpowiednie ubezpieczenia zgodne z wymaganiami DORA.

Jak jest minimalizowane ryzyko tego, że testy TLPT są wykonywane na środowisku PROD?

Testy realizowane są przez doświadczonych pentesterów. Testy realizowane są w miarę możliwości poza godzinami pracy. Testy są realizowane i ich ryzyko jest zarządzane w uzgodnieniu z Control Team.

Jak zabezpieczacie Państwo dane i raporty z wynikami?

Stosujemy m.in. następujące zabezpieczenia zgodne z ISO 27001:

Kontrola dostępu do serwerowni, serwerów, zasobów sieciowych, na których składowane są dane i raporty.
Szyfrowanie dysków twardych.
Szyfrowanie plików za pomocą PGP.
Szyfrowanie załączników przesyłanych emailem za pomocą PGP.
Szyfrowanie treści emaili.
Ciągłe monitorowanie dostępu do danych i raportów.
Kontrola przesyłanych plików za pomocą narzędzi klasy DLP.
Itp.

Czy oferujecie Państwo dodatkowe usługi związane z DORA i bezpieczeństwem?

Tak, oferujemy wdrożenia DORA, testy penetracyjne aplikacji webowych, mobilnych, desktopowych, infrastruktury, chmury, szkolenia z bezpieczeństwa, testy socjotechniczne i inne.