Dentro del ámbito regulatorio de las operaciones de red team es necesario destacar dos marcos principales, por el cuál se rigen habitualmente los ejercicios.
DORA y TLPT
DORA (Digital Operational Resilience Act) es un reglamento de la Unión Europea que entró en vigor en enero de 2025 con el objetivo de reforzar la resiliencia operativa digital de las entidades financieras. A diferencia de normativas anteriores centradas en la protección de datos, DORA obliga a bancos, aseguradoras, gestoras de fondos y proveedores críticos de TI a demostrar que sus sistemas pueden resistir, responder y recuperarse ante incidentes cibernéticos graves, no solo prevenirlos.
Dentro de DORA, el TLPT (Threat-Led Penetration Testing) es el mecanismo mediante el cual las entidades consideradas más críticas para el sistema financiero deben validar su resiliencia real. No se trata de un pentesting convencional, sino de un ejercicio de red team basado en inteligencia de amenazas, que simula a actores reales relevantes para el sector financiero europeo, replicando sus TTPs conocidas en lugar de usar ataques genéricos.
Estructura de un ejercicio TLPT
Un TLPT sigue una estructura similar a la de TIBER-EU. Comienza con una fase de scoping, donde se identifican los sistemas críticos que soportan funciones importantes para la entidad, ya que no todo el entorno se prueba, sino únicamente aquello cuya caída tendría impacto sistémico. A continuación, un proveedor de threat intelligence desarrolla un informe de amenazas específico para la entidad, que sirve de base para diseñar escenarios de ataque realistas.
Con ese informe, un equipo de red team ejecuta el ataque simulado contra los sistemas en scope, intentando alcanzar los objetivos definidos sin ser detectado. Durante todo el proceso participa un controlador independiente que supervisa que el ejercicio se mantenga dentro de los límites acordados y que documenta cada fase para el regulador. Al finalizar, se realiza una sesión de replay o purple teaming con el equipo defensivo de la entidad, donde se comparten las técnicas usadas para que el SOC entienda qué detectó, qué no detectó y por qué.
Diferencias clave con un pentesting o red team tradicional
Lo que distingue a un TLPT de un red team convencional es principalmente su carácter regulado y supervisado. Mientras que en un red team estándar el cliente y el proveedor acuerdan libremente el alcance y los escenarios, en TLPT el marco metodológico, la duración mínima, los roles involucrados y la validación final están definidos por el regulador correspondiente en cada país, coordinado a nivel europeo por las autoridades competentes bajo DORA.
Además, un TLPT exige la participación de proveedores certificados tanto para la parte de inteligencia de amenazas como para la parte de red team, y en muchos casos deben ser entidades independientes entre sí para evitar conflictos de interés.
