Fases y roles del marco

TIBER-EU ordena la prueba en tres fases obligatorias. En la preparación se arranca formalmente, se fija el alcance (las funciones críticas y, para cada sistema, al menos una bandera: el objetivo concreto que el equipo rojo intentará alcanzar), se contratan los proveedores y se prepara la gestión de riesgos. En la prueba primero trabaja la inteligencia, que produce el informe de inteligencia dirigida con los escenarios, y después el equipo rojo, que los convierte en su plan y los ejecuta. En el cierre se escriben los informes, se repasa lo ocurrido con el equipo de defensa, se acuerda la corrección y la autoridad emite la atestación, el documento que confirma que la prueba se hizo según el marco.

El orden importa: el equipo rojo no empieza a atacar hasta que hay inteligencia aprobada y un plan aprobado, y la corrección no se decide hasta que los dos lados han contado lo que vieron.

Del lado del banco manda el equipo de control: un grupo pequeño de personas que saben de la prueba, la planean, gestionan sus riesgos y deciden en el día a día. Lo dirige su responsable, nombrado por el banco, y suele incluir a alguien de la alta dirección como último punto de escalado.

Del lado de la autoridad está el gestor de la prueba. Acompaña al equipo de control en todas las fases, valida sus decisiones y aprueba los entregables, pero es independiente: no forma parte del equipo de control ni responde de sus actos, y puede invalidar la prueba si no se hace como pide el marco. Mezclar los dos papeles en el organigrama no es un detalle de forma: borra la separación entre quien hace y quien supervisa.

Los dos proveedores no son intercambiables. El proveedor de inteligencia, que en TIBER-EU siempre es externo al banco, investiga a los adversarios que atacan a entidades como esta y lo que el banco deja ver desde fuera, y escribe el informe de inteligencia dirigida con los escenarios. El equipo rojo lee ese informe, lo convierte en su plan de prueba, lo ejecuta y escribe su informe. Trabajan juntos, pero el informe de inteligencia es responsabilidad del proveedor de inteligencia: si lo escribe quien luego ataca, los escenarios tienden a parecerse a lo que el equipo rojo ya sabe hacer.

La guía de contratación de TIBER-EU fija mínimos de experiencia, porque la prueba toca sistemas en producción de una función crítica: quien la dirige tiene que haber hecho esto antes. El jefe del equipo de inteligencia y el jefe del equipo rojo necesitan al menos cinco años en su especialidad; cada miembro, al menos dos. El equipo rojo, además, debe tener a su jefe y como mínimo dos probadores. Si un proveedor no llega, el banco tiene que justificarlo y tomar medidas ante la autoridad, y queda reflejado en la atestación.