TIBER-RO: Scurtă prezentare a regulamentului

BNR a elaborat în 2022, regulamentul privind cadrul de desfăşurare a testelor de rezilienţă cibernetică TIBER-RO¹ (Regulament nr. 6 din 3.mai.2022). Acesta are la bază regulamentul TIBER-EU, elaborat de Banca Centrală Europeană în 2018.

Acest regulament se aplică administratorilor de infrastructuri ale pieţei financiare aflaţi în aria de monitorizare a Băncii Naţionale a României, precum şi instituţiilor de credit desemnate drept participanţi critici la infrastructurile pieţei financiare. Alte instituții participante la infrastructurile pieţei financiare, care nu sunt desemnate participanţi critici, pot să realizeze testul TIBER-RO în mod voluntar.

Conform BNR, entitățile care au obligația de a efectua teste de tip TIBER-RO, ar fi următoarele:

Administratorii de infrastructuri ale pieței financiare:

• BNR-IPF - ReGIS, SaFIR
• Transfond - SENT
• Depozitarul central - RoClear

Instituțiile de credit desemnate drept participanți critici în 2022:

• ING Bank N.V., Amsterdam - Sucursala București
• Raiffeisen Bank S.A
• Banca Comercială Română S.A.
• UniCredit Bank S.A.
• BRD - Groupe Société Générale S.A.
• Citibank Europe p.l.c. Dublin - Sucursala România
• Banca Transilvania S.A.

Aceștia au obligația de a efectua teste TIBER-RO cel puțin o dată la 3 ani.
Primul test trebuie realizat la maxim 3 ani de la intrarea în vigoare a regulamentului, asta însemnând până la 3 mai 2025.

Testele se realizează asupra infrastructurii de producție, a procedurilor, personalului și serviciilor externalizate care susțin funcțiile critice ale entității testate.

Părți implicate în testarea TIBER-RO

Testarea se efectuează într-un mod controlat de către un furnizor de servicii de Red Teaming, pe baza raportului de tip Cyber Threat Intelligence specific entității testate.

Testele simulează, într-un mod controlat, atacuri de natură cibernetică ale unor atacatori avansaţi din punct de vedere tehnologic şi persistenţi, inclusiv grupări de crimă organizată sau actori statali, care pot afecta disponibilitatea, integritatea şi confidenţialitatea resurselor care susţin funcţiile critice ale entităţii testate, folosind instrumente, metode şi tehnici specifice acestor atacatori, cu scopul de a verifica şi îmbunătăţi rezilienţa cibernetică a entităţii testate.

Desfășurarea testului TIBER-RO

Testul TIBER-RO se desfășoară pe o perioadă îndelungată, iar activitatea Red Team trebuie să se realizeze etapizat, pentru a fi limitată probabilitatea de detecție de către echipa Blue Team. Durata minimă totală este de 25 de săptămâni și poate fi determinată pe etape, din graficul de mai jos.

Testele si

BNR este implicată în toate fazele testului:

• Monitorizează testele pe tot parcursul desfășurării lor
• Furnizează îndrumare către White Team pe toată durata desfășurării testului
• Avizează documentația de testare
• Atestă realizarea testării conform regulamentului
• Monitorizează implementarea măsurilor cuprinse în Planul de remediere

---

¹⁾ TIBER = Threat Intelligence Based Ethical Red Teaming
https://www.bnro.ro/apage.aspx?pid=404&actId=333255
https://www.ecb.europa.eu/pub/pdf/other/ecb.tiber_eu_framework.en.pdf

---