Het nieuwe red teaming raamwerk van De Nederlandsche Bank

De Nederlandsche Bank (DNB) heeft in april het Advanced Red Teaming (ART) raamwerk gelanceerd om kleinere banken, verzekeraars en pensioenfondsen te ondersteunen hun digitale beveiliging testen. ART is een modulair raamwerk en laat deelnemers een deel van het grotere Intelligence-Based Ethical Red-Teaming (TIBER) raamwerk doorlopen, dit is het raamwerk waar grotere financiële instellingen aan moeten voldoen. TIBER is voor de meeste instellingen een te grote stap omdat ze de middelen noch de mankracht hebben om het TIBER programma van 12 maanden te doorlopen.

Kleinere instellingen kunnen nu met het Advanced Red Teaming raamwerk één of twee gangen uitkiezen en het daarbij laten. ART is zowel geschikt voor instellingen die hun eerste Red Team test laten uitvoeren als meer ervaring instellingen die al meerdere malen hun digitale weerbaarheid hebben laten testen.

Tijdens de Advanced Red Teaming test wordt de instelling begeleid door testmanagers van DNB, ook wel de Test Cyber Team (TCT) genoemd.

Net zoals bij TIBER vindt het testen plaats op productiesystemen en is slechts een beperkte groep medewerkers binnen de instelling op de hoogte van de test. De grootste verschillen tussen TIBER en ART zijn:

• TIBER is verplicht voor kritieke financiële instellingen en derden, en ART is vrijwillig voor belangrijke financiële instellingen en derden.
• Bij ART is acht weken testen verspreid over zes maanden voldoende en bij TIBER minimaal zestien weken testen verspreid over negen maanden.
• TIBER dekt de volledige killchain en bij ART mag er getest worden vanuit een "Assumed Compromise" scenario.
• Bij ART zijn er minder eisen aan de purple-teaming sessie.
• Bij TIBER moet er getest worden vanuit meerdere scenario’s en bij ART is één voldoende.

Voor meer informatie zie het Advanced Red Teaming raamwerk van de De Nederlandsche Bank. Volgens de DNB gaat zowel de Rijksoverheid als de zorg gaan hun digitale beveiliging laten controleren middels deze manier van red teamen en ethisch hacken.