Pentesting para Cumplimiento DORA
Pon a prueba tus funciones críticas como lo haría un atacante real de tu sector y obtén la evidencia que DORA exige, con pruebas de intrusión dirigidas por inteligencia de amenazas (TLPT).
- Modalidad
- Dirigido por amenazas (TLPT)
- Alcance
- Funciones críticas
- Entregable clave
- Informe y carta de atestación
Beneficios
Qué gana tu organización
Diseñado para DORA
Cubre los requisitos de pruebas de penetración dirigidas por amenazas (TLPT) que DORA exige a las entidades financieras en la UE.
Basado en amenazas reales
Simulamos las tácticas de actores de amenaza reales y conocidos para tu sector, no ataques genéricos.
Personas, procesos y tecnología
Los escenarios combinan ataques técnicos e ingeniería social, y muestran si tu equipo detecta el ataque y cómo responde.
Evidencia lista para el regulador
Documentación verificable del alcance, la metodología y los resultados de la prueba, para presentar ante la autoridad competente.
¿Es para ti?
Este servicio es para ti si…
Si te reconoces en alguna de estas situaciones, es un buen momento para conversar.
Cuéntanos tu caso- Tu grupo tiene entidades financieras en la Unión Europea alcanzadas por DORA.
- Prestas servicios TIC a entidades financieras europeas y te piden participar en sus pruebas TLPT.
- Tus pentests anuales no reflejan cómo atacaría un adversario real a tu sector.
- Eres una entidad financiera en Chile y quieres probar tus defensas con el estándar que exige DORA.
El servicio
¿En qué consiste?
DORA (Digital Operational Resilience Act) es el reglamento de la Unión Europea que, desde el 17 de enero de 2025, exige a las entidades financieras fortalecer su resiliencia operativa digital. Para las entidades que identifique la autoridad competente, incluye pruebas de penetración dirigidas por amenazas (TLPT), que simulan las tácticas, técnicas y procedimientos (TTP) de actores reales que atacan a su sector. Te concierne si tu grupo tiene entidades financieras en Europa o si les prestas servicios TIC, porque los proveedores pueden quedar dentro del alcance.
Ejecutamos el proceso completo: inteligencia de amenazas del sector, evaluación de vulnerabilidades, pruebas de compromiso de red, escenarios de ataque e ingeniería social, y explotación controlada sobre los sistemas que soportan tus funciones críticas, con MITRE ATT&CK y TIBER-EU como referencia.
Recibes un informe técnico con remediación, la documentación para presentar ante la autoridad y nuestra carta de atestación de la prueba. Si operas solo en Chile, la misma metodología te mide frente a las amenazas reales de tu sector.
Entregables
Qué recibes
Escenarios de amenaza
Los actores y escenarios de ataque seleccionados para tu sector, que definen qué se prueba y por qué.
Informe técnico
Cada ruta de ataque con evidencia, impacto sobre tus funciones críticas y pasos de remediación.
Verificación de requisitos DORA
Revisión de que el ejercicio y su documentación cubren lo que el reglamento exige para el TLPT.
Carta de atestación
Documento que resume el alcance, las fechas, la metodología y el resultado de la prueba realizada.
Metodología
Cómo trabajamos
Un proceso en cuatro fases, de principio a fin, con tu equipo informado en cada etapa.
-
Planificación y alcance
Definimos junto a tu equipo de control el alcance regulatorio y de negocio del ejercicio.
- Identificación de funciones críticas a evaluar
- Inteligencia de amenazas de tu sector
- Reglas de enganche y canales de escalamiento
-
Evaluación y simulación
Ejecutamos las pruebas siguiendo los escenarios de amenaza definidos para tu sector.
- Evaluación de vulnerabilidades y análisis de brechas
- Pruebas de compromiso de red
- Escenarios de ataque e ingeniería social
-
Explotación controlada
Validamos el impacto real de los hallazgos críticos, en coordinación con tu equipo de control.
- Explotación ética de vulnerabilidades
- Validación de rutas de ataque priorizadas
- Evidencia técnica mapeada a MITRE ATT&CK
-
Reporte y atestación
Entregamos lo necesario para demostrar el ejercicio ante la autoridad.
- Informe técnico con remediación
- Carta de atestación de la prueba
- Verificación frente a requisitos DORA
Preguntas frecuentes
Resolvemos tus dudas
Las entidades financieras que operan en la Unión Europea, como bancos, aseguradoras, entidades de pago y empresas de inversión. El TLPT es obligatorio para las que la autoridad competente identifica según los criterios del reglamento, y sus proveedores de servicios TIC pueden quedar dentro del alcance. Lo revisamos contigo según tu caso.
Sí: DORA exige que el TLPT se realice sobre los sistemas en producción que soportan tus funciones críticas. Por eso trabajamos con reglas de enganche estrictas, un equipo de control reducido dentro de tu organización y canales para pausar la prueba si algo lo requiere.
DORA establece una periodicidad mínima, en general cada 3 años, para las entidades obligadas a realizar TLPT; lo confirmamos según tu caso. Entre un ejercicio y otro, conviene mantener pentests periódicos sobre tus sistemas críticos.
Sí. Aunque DORA no te obligue, la metodología TLPT te mide contra las amenazas reales de tu sector y entrega evidencia útil para tu directorio y tu gestión de riesgo, ya sea ante la normativa de la CMF o, si eres prestador de servicios esenciales u OIV, ante la Ley Marco de Ciberseguridad.
Comparten técnicas, pero el TLPT de DORA sigue un proceso regulado: alcance sobre funciones críticas, inteligencia de amenazas formal y documentación para la autoridad. Si no tienes una exigencia regulatoria, nuestro servicio de Red Team / Simulación de Adversarios es la alternativa más directa.
¿Tienes otra pregunta? Escríbenos y te respondemos.
Sigue explorando
Servicios relacionados
Auditoría y Cumplimiento (GRC)
Sabrás exactamente qué controles te faltan para ISO 27001, PCI DSS o la normativa chilena, y llegarás a la auditoría con los controles funcionando y la evidencia en orden.
Ver servicioPentesting de Aplicaciones Web
Encontramos las vulnerabilidades explotables de tus aplicaciones web y APIs antes que un atacante, y te decimos exactamente cómo cerrarlas.
Ver servicioPentesting de Redes (Interno y Externo)
Te mostramos por dónde podría entrar un atacante a tu red y hasta dónde llegaría una vez dentro, con un plan claro para cerrar esas rutas antes de que alguien las use.
Ver servicio¿Avanzamos con Pentesting para Cumplimiento DORA?
Agenda una reunión de 30 minutos: entendemos tu contexto y te proponemos el alcance adecuado para tu organización.
Agenda una reunión