O teste de intrusão orientado por ameaça (TLPT) exigido pelo DORA é o exercício de segurança mais invasivo que uma entidade financeira europeia pode ser obrigada a executar: roda nos sistemas de produção que sustentam funções críticas, segue o comportamento de atacantes reais e tem a autoridade supervisora dentro do processo, do escopo ao encerramento. As entidades que entram na lista das autoridades precisam começar antes da notificação formal, montando escopo, control team e dossiê de riscos, porque o ciclo completo atravessa trimestres inteiros de operação. Quem deixa o preparo para depois corre o risco de contratar fornecedores sem os requisitos mínimos e de descobrir tarde que o próprio teste ameaça a continuidade do negócio.
O que muda com o TLPT
Os padrões técnicos regulatórios publicados no Jornal Oficial em junho de 2025 detalham como o TLPT deve funcionar na prática. O texto é explícito sobre a origem do método: as regras replicam a metodologia, o processo e a estrutura do TIBER-EU, o quadro de red team baseado em inteligência de ameaça mantido pelo Banco Central Europeu. Na prática, a entidade designada não precisa inventar um processo próprio: o caminho recomendado é seguir o TIBER-EU ou uma de suas implementações nacionais, como o TIBER-PT do Banco de Portugal, na medida em que forem consistentes com o regulamento.
A outra mudança estrutural é o papel do supervisor. A autoridade responsável por TLPT participa de todas as fases do teste, valida o escopo, opina sobre a escolha dos fornecedores e emite uma ata que permite o reconhecimento mútuo do teste entre autoridades de países diferentes. O teste deixa de ser um contrato privado de pentest e passa a ser um ato supervisado, com consequência direta para quem entrega documentação incompleta: sem conformidade comprovada não há ata, e sem ata o ciclo de 3 anos não se encerra formalmente. Microempresas e entidades submetidas ao regime simplificado de gestão de risco de TIC ficam fora dessa obrigação.
Escopo começa nas funções críticas
O primeiro entregável que a autoridade valida é a seleção das funções críticas ou importantes que entrarão no teste. A escolha considera o impacto da função para a própria entidade e para o setor financeiro, incluindo peso econômico e relevância sistêmica, e precisa cobrir os sistemas, processos e tecnologias que sustentam essas funções — inclusive serviços de TIC terceirizados, que devem ser envolvidos com salvaguardas contratuais. A mesma disciplina de identificar o que sustenta o negócio, central na análise de impacto de negócio, define aqui o perímetro do ataque simulado.
Erro de escopo custa caro nos dois sentidos. Um escopo amplo demais multiplica a duração e o custo da fase ativa e amplia a superfície de risco operacional durante o teste; um escopo estreito demais pode ser rejeitado ou complementado pela autoridade, devolvendo o cronograma. A recomendação prática é documentar o critério de seleção função a função, com a dependência de provedores externos mapeada, antes de qualquer contato com fornecedores de inteligência.
Times e sigilo do teste
A metodologia define papéis separados e quase estanques: o control team, pequeno e sênior dentro da entidade, é o único que sabe que o teste existe; o blue team defende a operação sem conhecimento prévio; o provedor de inteligência de ameaça, sempre externo, mapeia a superfície e os adversários plausíveis; os testadores executam o ataque simulado; e a equipe da autoridade monitora a conformidade do início ao fim. O sigilo é requisito regulatório, não paranoia: se o time de defesa descobre o teste, altera o comportamento e invalida o resultado. O uso de codinomes é a regra, e o acesso à informação fica restrito por necessidade de saber.
Para a equipe de segurança, isso exige disciplina incomum de compartimento. Escalonamentos de resposta a incidente disparados pela detecção do red team precisam de um caminho de contenção que passa pelo control team, sem revelar ao restante da organização o que está acontecendo. Treinar esse fluxo antes do teste — quem contém uma escalada, quem pode ser avisado, quando o exercício é abortado — evita transformar a simulação em um incidente real de comunicação interna.
Cronograma real de execução
As durações de referência do regulamento ajudam a dimensionar o projeto. A coleta de inteligência de ameaça dirigida costuma levar aproximadamente 4 semanas, e a fase ativa de red team deve durar pelo menos 12 semanas, calibrada pelo número de partes envolvidas, pelo escopo e pelos recursos da entidade. Somando preparação, encerramento e remediação, um ciclo ocupa boa parte de um ano de esforço coordenado.
| Fase | Referência de duração | Saída esperada |
|---|---|---|
| Preparação e escopo | Semanas de reuniões com a autoridade | Escopo validado e control team nomeado |
| Inteligência de ameaça | Cerca de 4 semanas | Relatório com cenários de ataque plausíveis |
| Red team ativo | Mínimo de 12 semanas | Ataque simulado em produção com flags alcançados |
| Encerramento | Replays e purple teaming | Relatórios, plano de remediação e ata da autoridade |
Na fase ativa, os testadores seguem táticas, técnicas e procedimentos contra produção: reconhecimento, entrega, exploração, movimento lateral e ações no alvo, com objetivos intermediários chamados de flags. Quando o ataque trava, o control team pode conceder leg-ups — informação ou acesso — para que o exercício continue cobrindo o caminho planejado, sempre com anuência da autoridade. Esses apoios devem ficar registrados, porque eles revelam onde a defesa aguentou e onde a simulação precisou de ajuda artificial para avançar.
Fornecedores e evidência de capacidade
A contratação é o ponto em que mais projetos de TLPT escorregam. O regulamento exige que o provedor de inteligência apresente no mínimo três referências de trabalhos anteriores de pentest e red team, e que os testadores externos apresentem pelo menos cinco, além de currículo detalhado, certificações reconhecidas e seguro de responsabilidade profissional que cubra misconduct e negligência. A equipe de inteligência precisa de um gerente com 5 anos de experiência e pelo menos um membro adicional com 2 anos. Há separação obrigatória entre quem coleta inteligência e quem ataca, e proibição de conflito com serviços de blue team para a mesma entidade. No encerramento, os fornecedores executam procedimentos de restauração: deleção segura de credenciais comprometidas, desativação de comando e controle e remoção de backdoors instalados durante o exercício.
Checklist de preparação
Ações prioritárias antes de qualquer notificação formal:
- P1 — nomear o control team lead com mandato junto à direção e acesso ao conselho, mantendo o grupo o menor possível.
- P1 — mapear funções críticas com dependências de provedores externos e pré-validar o critério de escopo com as áreas de negócio.
- P1 — desenhar o fluxo de contenção de escalonamentos durante o teste, incluindo gatilhos de aborto.
- P2 — pré-qualificar fornecedores de inteligência e red team contra os requisitos de referências, seguro e separação de funções.
- P2 — preparar o processo de restauração pós-teste e o modelo de plano de remediação.
- P2 — alinhar com jurídico e comunicação o tratamento de uma eventual notificação de incidente causada pela própria simulação.
Resultado é aprendizado
O resultado não é aprovação nem reprovação: o teste revela forças e fraquezas das medidas de resiliência da entidade, com foco no efeito de aprendizado, para elevar o nível de maturidade. O encerramento inclui replays do ataque com o blue team e um exercício de purple teaming para maximizar o aproveitamento das descobertas. Como em um post-mortem de incidentes, o valor não está no relatório entregue, e sim na lição aplicada: o plano de remediação segue com o sumário dos achados para a autoridade, e o que ficou aprendido precisa reaparecer nos controles do dia a dia antes de o próximo ciclo começar.