W lutym 2025 roku Europejski Bank Centralny opublikował zaktualizowane wytyczne, które zmieniają sposób myślenia o testach odporności cyfrowej w sektorze finansowym. Dokument dotyczy przygotowania Targeted Threat Intelligence Report (TTIR) w ramach frameworka TIBER-EU i ma bezpośrednie przełożenie na zgodność z wymogami NIS2 oraz DORA. Dla instytucji finansowych nie jest to kolejny techniczny dokument do przeczytania - to fundamentalna zmiana w podejściu do weryfikacji, czy organizacja rzeczywiście jest przygotowana na atak ze strony zaawansowanych grup przestępczych.
Standardowe testy penetracyjne weryfikują, czy da się włamać do systemu. TIBER-EU idzie znacznie dalej - weryfikuje, czy organizacja jest w stanie obronić się przed atakiem przeprowadzonym dokładnie tak, jak przeprowadziłby go prawdziwy przeciwnik. Różnica między tymi podejściami jest fundamentalna. Jeden test pokazuje techniczne luki, drugi - realną odporność organizacji na scenariusze, które faktycznie mogą się zmaterializować. Raport TTIR jest sercem tego drugiego podejścia, dostarczając zespołom testującym wiedzę o tym, jak naprawdę działają grupy atakujące sektor finansowy.
Czym jest TIBER-EU i dlaczego raport wywiadu zagrożeń jest jego fundamentem?
TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) to europejski framework do przeprowadzania zaawansowanych testów penetracyjnych opartych na rzeczywistym wywiadzie zagrożeń. W odróżnieniu od standardowych testów penetracyjnych, TIBER-EU wymaga, aby scenariusze ataków były oparte na realnych zagrożeniach specyficznych dla danej organizacji - nie na abstrakcyjnych możliwościach technicznych.
Targeted Threat Intelligence Report jest fundamentem całego procesu testowania. To właśnie ten raport dostarcza kontekstowej analizy krajobrazu zagrożeń dla konkretnej instytucji, profilów aktorów zagrożeń i ich motywacji, scenariuszy ataków opartych na rzeczywistych technikach adversariów oraz podstawy dla zespołów red team do operacjonalizacji testów.
Według nowych wytycznych ECB, TTIR stanowi punkt wyjścia dla red team testerów (RTT) do opracowania i wykonania realistycznych scenariuszy ataków podczas fazy aktywnego testowania. Bez dobrego TTIR, nawet najlepszy zespół red team będzie strzelać w ciemno - testując scenariusze, które nigdy nie zmaterializowałyby się w praktyce, ignorując te, które stanowią realne zagrożenie.
Kluczowa różnica: Standard penetration test odpowiada na pytanie “co można zhakować?”. TIBER-EU odpowiada na pytanie “czy przetrwamy atak takiego przeciwnika, jakiego faktycznie możemy się spodziewać?”.
📚 Przeczytaj kompletny przewodnik: Testy Penetracyjne: Testy penetracyjne - rodzaje, metodologie, przebieg
Co musi zawierać raport TTIR według nowych wytycznych?
ECB precyzyjnie określa, jakie elementy musi zawierać prawidłowo przygotowany TTIR. Raport nie może być ogólnikowym opracowaniem o zagrożeniach w sektorze finansowym - musi być ostro skoncentrowany na specyfice konkretnej organizacji.
Pierwszym wymaganym elementem jest zakres badań wywiadowczych. Raport musi jasno określać krytyczne lub ważne funkcje (CIF) objęte zakresem testu, lokalizację geograficzną badanych systemów, język oficjalny używany w organizacji, istotnych dostawców usług ICT (zewnętrznych providerów) oraz okres czasu, w którym prowadzono research.
Drugim elementem jest ocena dostępnych informacji wywiadowczych - analiza informacji, które mogłyby zostać wykorzystane przez atakujących. Obejmuje to nazwy użytkowników i hasła pracowników znalezione w internecie, domeny podobne (look-alike domains), które mogą być mylone z oficjalnymi domenami instytucji, rekonesans techniczny obejmujący podatne i eksploitowalne oprogramowanie, systemy i technologie, informacje publikowane przez pracowników w mediach społecznościowych, dane dostępne w dark webie dotyczące organizacji oraz informacje o fizycznym dostępie do budynków.
Trzeci element to analiza krajobrazu zagrożeń uwzględniająca środowisko geopolityczne, środowisko ekonomiczne oraz trendy technologiczne wpływające na sektor finansowy.
Jak przygotować profile aktorów zagrożeń zgodnie z wytycznymi?
Każdy TTIR musi zawierać szczegółowe profile threat actors. Nie chodzi o ogólne opisy “grup hakerskich” - chodzi o konkretną identyfikację i analizę przeciwników, którzy rzeczywiście mogą zaatakować daną organizację.
Profil aktora zagrożeń powinien zawierać identyfikację konkretnych grup lub klas zagrożeń. Dla banku może to być APT38 (Korea Północna - motywacja finansowa), FIN7 (zorganizowana przestępczość - kradzież kart), grupy ransomware jak LockBit czy BlackCat, lub insider threat - pracownicy z dostępem do krytycznych systemów.
Dla każdego aktora raport musi identyfikować systemy organizacji najbardziej narażone na kompromitację, motywacje i intencje potencjalnych atakujących oraz modus operandi - taktyki, techniki i procedury (TTP). Nie wystarczy napisać, że “APT38 może zaatakować systemy płatnicze”. Trzeba wyjaśnić, w jaki sposób przeprowadzają initial access (spear phishing na pracowników Treasury), jak się poruszają lateralnie (złośliwe użycie PowerShell i WMI), jakie narzędzia wykorzystują (custom malware, SWIFT manipulation tools) i jak realizują cel końcowy (fałszywe przelewy SWIFT w oknie czasowym weekendów i świąt).
Jakie scenariusze zagrożeń są wymagane w raporcie TTIR?
Nowe wytyczne wymagają minimum trzech kompleksowych scenariuszy dla profili zagrożeń o najwyższym poziomie ryzyka. Każdy scenariusz musi adresować inny obszar wpływu.
| Typ scenariusza | Obszar wpływu | Przykład |
|---|---|---|
| Scenariusz 1 | Dostępność usług | Atak DDoS na systemy płatnicze |
| Scenariusz 2 | Integralność danych | Manipulacja danymi transakcyjnymi |
| Scenariusz 3 | Poufność informacji | Eksfiltracja danych klientów |
Dodatkowo wytyczne wprowadzają pojęcie “Scenario X” - scenariusza forward-looking opartego na przewidywanych przyszłych zagrożeniach. To nie jest science fiction - to analiza, jakie nowe techniki i taktyki mogą pojawić się w ciągu najbliższych 12-24 miesięcy na podstawie obserwowanych trendów. Przykładowo: scenariusz wykorzystania AI do generowania spersonalizowanych wiadomości phishingowych lub deepfake’ów głosowych do social engineeringu.
Jak framework MITRE ATT&CK integruje się z TIBER-EU TTIR?
Nowe wytyczne ECB wyraźnie wskazują na konieczność wykorzystania frameworka MITRE ATT&CK jako modelu do opracowania scenariuszy zagrożeń. Każdy scenariusz powinien być zmapowany do konkretnych taktyk (strategiczne cele atakującego), technik (metody realizacji celów) i procedur (konkretne implementacje technik obserwowane w rzeczywistych atakach).
Przykładowe mapowanie z dokumentu ECB wygląda następująco: dla aktora typu APT (Nation State) z celem eksfiltracji wrażliwych danych, taktyka to “Exfiltration”, technika to “Automated Exfiltration”, a procedura to konkretna obserwacja - na przykład “Machete - automatyczna eksfiltracja na zdalne serwery”.
To mapowanie ma praktyczne znaczenie dla zespołu red team. Zamiast abstrakcyjnego zadania “przetestuj odporność na eksfiltrację danych”, dostaje konkretne wytyczne: “zasymuluj zachowanie grupy APTxx, która wykorzystuje automatyczne narzędzia eksfiltracyjne działające według schematu X”. Testerzy wiedzą, jakie techniki emulować, a obrońcy wiedzą, jakie sygnatury i zachowania powinien wykryć ich SOC.
Dlaczego wytyczne kładą nacisk na ryzyko związane z dostawcami ICT?
Nowe wytyczne kładą szczególny nacisk na ryzyko związane z dostawcami zewnętrznymi. To nie przypadek - ataki przez łańcuch dostaw (supply chain attacks) stały się jednym z najskuteczniejszych wektorów ataku na sektor finansowy. SolarWinds, Kaseya, 3CX - lista głośnych incydentów rośnie.
TIP (Threat Intelligence Provider) powinien przeanalizować, którzy dostawcy zewnętrzni organizacji byli wcześniej kompromitowani, jak kompromitacja dostawcy może umożliwić atak na organizację oraz które usługi ICT wspierające krytyczne funkcje mogą stanowić wektor ataku. W przypadku testów wielostronnych (multi-party test) obejmujących dostawcę ICT, minimum jeden scenariusz musi dotyczyć systemów, procesów i technologii tego dostawcy.
To oznacza, że instytucja finansowa musi znać nie tylko swoje własne zagrożenia, ale również zagrożenia dla swoich kluczowych dostawców. Jeśli korzystasz z zewnętrznego providera płatności, jego kompromitacja może być równie groźna jak bezpośredni atak na Twoją organizację.
Jak wygląda proces przygotowania TTIR w praktyce?
Według wytycznych ECB, faza threat intelligence trwa zazwyczaj 4-6 tygodni. Proces przebiega w jasno określonych etapach.
W pierwszych trzech tygodniach Threat Intelligence Provider zbiera wywiad i tworzy scenariusze. Wykorzystuje przy tym wielowymiarowe podejście obejmujące OSINT (Open Source Intelligence) z analizą mediów społecznościowych pracowników, badaniem infrastruktury technicznej, monitoringiem forów branżowych i darknetu. Równolegle zbiera HUMINT (Human Intelligence) - informacje od źródeł ludzkich z zachowaniem etycznych standardów działania. Organizacja dostarcza również Business Overview obejmujący wyjaśnienie krytycznych funkcji biznesowych, własną ocenę zagrożeń wraz z historią incydentów, informacje o modelu biznesowym i strukturze organizacyjnej oraz dane o zależnościach od dostawców zewnętrznych.
W tygodniu 3-4 odbywa się spotkanie dotyczące wyboru scenariuszy (shortlist). Control Team i Test Manager organizacji weryfikują zaproponowane scenariusze i wybierają te, które zostaną przetestowane.
W tygodniach 4-6 następuje finalizacja raportu TTIR i jego zatwierdzenie przez TIBER authority.
Jak TTIR wspiera zgodność z NIS2 i DORA?
Choć dokument ECB nie jest bezpośrednio regulacją NIS2, ma istotne implikacje dla zgodności z oboma ramami regulacyjnymi.
Dyrektywa NIS2 wymaga od operatorów usług kluczowych zarządzania ryzykiem cyberbezpieczeństwa, ochrony krytycznych usług, analizy zagrożeń oraz regularnych testów odporności. TTIR dostarcza strukturyzowanych danych wspierających wszystkie te obszary poprzez dokumentowanie analizy zagrożeń w standardowym formacie, dostarczanie podstaw do oceny ryzyka i przygotowanie do audytów zgodności.
Dokument ECB wprost wskazuje, że TTIR spełnia minimalne wymagania TLPT (Threat-Led Penetration Testing) wynikające z rozporządzenia DORA. To kluczowa informacja dla instytucji finansowych, które muszą przeprowadzać zaawansowane testy penetracyjne zgodnie z DORA. Przywoływany fragment z dokumentu ECB jest jednoznaczny: “In addition to the minimum requirements for complying with the TLPT obligations under DORA, this document also includes operational TIBER-EU guidance based on best practices, knowledge and experience from numerous previous tests.”
Co nowe wytyczne oznaczają dla polskich instytucji finansowych?
Dla polskich organizacji objętych wymogami TIBER-PL (polska implementacja TIBER-EU), nowe wytyczne oznaczają konieczność aktualizacji procesów, czyli dostosowania procedur testowania do nowych wymagań. Wymagają również większego nacisku na third-party risk w postaci pogłębionej analizy ryzyka związanego z dostawcami.
Nowe wytyczne oznaczają także możliwość integracji z compliance DORA - wykorzystanie TTIR jako elementu zgodności regulacyjnej. Wreszcie, wymuszają inwestycje w threat intelligence, czyli zapewnienie dostępu do wysokiej jakości wywiadu zagrożeń. Organizacje, które dotychczas traktowały threat intelligence jako “nice to have”, muszą przemyśleć to podejście - TTIR przygotowany na podstawie słabego wywiadu będzie miał ograniczoną wartość.
Podsumowanie
Nowe wytyczne ECB dotyczące TIBER-EU TTIR stanowią kolejny krok w kierunku zwiększenia odporności cyfrowej europejskiego sektora finansowego. Dokument dostarcza jasnej struktury raportu wywiadu zagrożeń, konkretnych wymagań dotyczących zawartości TTIR, wskazówek praktycznych dla dostawców wywiadu i organizacji oraz powiązania z regulacjami NIS2 i DORA.
Kluczowe przesłanie nowych wytycznych jest jasne: testy odporności mają sens tylko wtedy, gdy są oparte na realistycznych scenariuszach zagrożeń. A realistyczne scenariusze można zbudować tylko na fundamencie solidnego wywiadu zagrożeń. Dla organizacji planujących testy TIBER-EU lub przygotowujących się do wymogów DORA, zapoznanie się z nowymi wytycznymi nie jest opcją - to konieczność.
Potrzebujesz wsparcia w przygotowaniu do testów TIBER-EU lub zgodności z DORA? Nasi eksperci oferują kompleksowe usługi w zakresie threat intelligence, testów penetracyjnych i doradztwa compliance. Skontaktuj się z nami, aby omówić potrzeby Twojej organizacji.
Powiązane pojęcia
Poznaj kluczowe terminy związane z tym artykułem w naszym słowniku cyberbezpieczeństwa:
- Cyberbezpieczeństwo — Cyberbezpieczeństwo to zbiór technik, procesów i praktyk ochrony systemów IT,…
- OSINT — OSINT (Open Source Intelligence) to proces gromadzenia i analizy informacji z…
- SOC 2 — SOC 2 to standard audytu AICPA oceniający kontrole bezpieczeństwa, dostępności…
- Blue Team — Blue Team to zespół specjalistów odpowiedzialny za obronę systemów…
- NIS2 — NIS2 (Network and Information Security Directive 2) to dyrektywa UE…
Dowiedz się więcej
Zapoznaj się z powiązanymi artykułami w naszej bazie wiedzy:
- Audyty PCI DSS - Kompleksowa Ochrona Danych Płatniczych
- Ciemna strona IIoT: Jak zabezpieczyć inteligentne sensory, zanim staną się one furtką dla atakujących?
- Bezpieczeństwo w finansach: Jak banki i FinTechy bronią się przed cyberatakami w erze cyfrowej?
- Co to jest OSINT? Kompletny przewodnik po wywiadzie z otwartych źródeł w biznesie i cyberbezpieczeństwie
- Programy bug bounty: Jak wykorzystać globalną społeczność hakerów do wzmocnienia swojego bezpieczeństwa?
Sprawdź nasze usługi
Potrzebujesz wsparcia w zakresie cyberbezpieczeństwa? Sprawdź:
- SOC as a Service - całodobowy monitoring bezpieczeństwa
- Incident Response - szybka reakcja na incydenty bezpieczeństwa
Cyberbezpieczeństwo w Twojej branży
Dowiedz się więcej o cyberbezpieczeństwie w Twojej branży:
Tematy powiązane
Zobacz również:
