DORA TLPT: pruebas de penetración dirigidas por amenazas en banca

Dentro del reglamento DORA hay una exigencia que pone a prueba de verdad la resiliencia de las entidades financieras: el DORA TLPT, las pruebas de penetración dirigidas por amenazas. No es un escaneo de vulnerabilidades más; es simular un ataque real, sofisticado y dirigido, para comprobar si la organización aguanta. En los proyectos de banca que acompaño, prepararlo bien es un ejercicio de humildad y de aprendizaje.

Qué es el TLPT y qué lo distingue

TLPT son las siglas en inglés de pruebas de penetración basadas en amenazas. La idea es imitar las tácticas, técnicas y procedimientos de atacantes reales contra los sistemas en producción de la entidad. A diferencia de un pentest tradicional, más acotado, el TLPT es amplio, realista y se basa en inteligencia de amenazas específica del sector.

El reglamento DORA lo exige a las entidades financieras más significativas, con una periodicidad establecida y bajo supervisión de las autoridades. No es un capricho técnico: es una verificación de que la resiliencia operativa que se declara existe de verdad.

TLPT frente al pentest tradicional

Alcance y realismo

El pentest clásico busca vulnerabilidades en un sistema concreto. El TLPT simula una campaña de ataque completa contra la organización, normalmente sin que la mayoría del equipo defensor lo sepa, para medir la capacidad real de detección y respuesta.

Inteligencia de amenazas

El TLPT parte de inteligencia sobre qué atacantes amenazan al sector y cómo operan. Eso lo hace mucho más representativo de un ataque real que una prueba genérica, y conecta con la gestión del riesgo de ciberseguridad basada en amenazas concretas.

Cómo prepararse para un TLPT

La preparación no consiste en blindarse para aprobar, sino en tener una postura de seguridad madura todo el año. Recomiendo ensayar la detección y respuesta antes, revisar la continuidad de negocio y asumir que el TLPT encontrará cosas: ese es justamente su valor. Llegar con la idea de aprender, y no solo de pasar, cambia por completo el resultado.

El equipo y las personas detrás del TLPT

Un TLPT bien ejecutado depende menos de la herramienta y más de las personas. Necesitas un equipo rojo con experiencia real en amenazas del sector financiero, un equipo de control que supervise el alcance sin filtrar información al equipo defensor, y un equipo azul que reaccione sin saber que está siendo evaluado. Coordinar esos tres roles, en mi experiencia, es la parte más delicada: cualquier fuga de información invalida el realismo de la prueba y convierte un ejercicio caro en un simulacro sin valor.

Aquí choco siempre con una realidad incómoda del sector: la escasez de perfiles capaces de diseñar y sostener estos ejercicios. La banca compite por un talento muy limitado, un problema estructural que analizo en mi artículo sobre el déficit de ciberexpertos en la banca ante DORA. Sin un plan para atraer y retener a esas personas, ningún marco de pruebas, por bien diseñado que esté, llega a desplegar todo su potencial.

Del resultado del TLPT al plan de mejora

El verdadero valor de un TLPT no está en el informe final, sino en lo que haces con él. Cada hallazgo debe traducirse en una acción concreta, con responsable y plazo, y priorizarse según el riesgo que representa. He visto organizaciones invertir mucho en la prueba y dejar el informe en un cajón; el resultado es que repiten los mismos fallos el año siguiente. Yo trato el TLPT como el punto de partida de un ciclo de mejora continua, no como un trámite de cumplimiento que cerrar.

Muchas de las recomendaciones que surgen de estas pruebas empujan hacia un modelo de seguridad sin perímetros de confianza implícita. Por eso suelo alinear el plan de remediación con una estrategia más amplia de Zero Trust en banca y entornos regulados, que aborda de raíz muchas de las debilidades que un TLPT saca a la luz. Conectar el ejercicio puntual con la arquitectura de seguridad a largo plazo es lo que convierte el gasto en inversión.

Conviene también ser realista con los plazos y el presupuesto. Un TLPT serio no se improvisa: la fase de inteligencia de amenazas, la planificación del alcance y la ejecución controlada pueden extenderse durante varios meses, y el coste no es menor. Por eso recomiendo planificarlo con suficiente antelación dentro del calendario regulatorio y reservar margen para la remediación posterior, que suele ser la partida que más se infravalora. Llegar con prisas a un ejercicio de esta envergadura es la forma más segura de desperdiciar la inversión.

Por último, documenta cada decisión del ejercicio: el alcance acordado, los escenarios de amenaza elegidos y las reglas de enfrentamiento. Esa documentación no solo facilita la repetición futura del TLPT en condiciones comparables, sino que constituye la evidencia que el supervisor espera encontrar cuando revise la madurez de tu resiliencia operativa.

Conclusión: ponerse a prueba para mejorar

El DORA TLPT es exigente, pero es uno de los ejercicios que más madurez aporta a una entidad financiera. Simular el ataque que temes es la mejor forma de descubrir tus puntos débiles antes que un atacante real. Quien lo afronta con mentalidad de mejora, y no de mero trámite, sale reforzado de cada prueba.

Preguntas frecuentes sobre el TLPT de DORA