Lühidalt
TLPT (Threat-Led Penetration Testing) on DORA määruse raames nõutav ohuteabel põhinev läbistustestimine. Seda ei tehta kõigi süsteemide vastu, vaid kriitiliste või oluliste funktsioonide ja neid toetavate süsteemide vastu, kontrollitud tingimustes.
TIBER-EE on TIBER-EU raamistiku Eesti rakendus. Finantsinspektsiooni soovituslik juhend jõustus 15.09.2026 ja kirjeldab riiklikku juhtimismudelit, TCT-EE rolli ja testi tõendamist.
TLPT ei ole tavaline pentest ega „läbimise test“. Eesmärk on õppida, kuidas organisatsioon tuvastab ja peatab eesmärgistatud ründetegevuse.
Keda TLPT kohustab
DORA artikkel 26 kohustab TLPT-d tegema finantssektori ettevõtjad, kelle pädev asutus on selleks tuvastanud. Eestis on Finantsinspektsioon pädev asutus oma järelevalve alla kuuluvate ettevõtjate jaoks. EKP otsese järelevalve all olevate oluliste krediidiasutuste puhul tegutseb TLPT asutusena EKP.
- Kohustuslik: Finantsinspektsiooni tuvastatud TLPT-kohustuslased; testitakse vastava järelevalveotsuse alusel.
- Vabatahtlik: teised finantssektori ettevõtjad võivad TIBER-EE-d kasutada, kuid see tuleb eelnevalt Finantsinspektsiooniga kooskõlastada.
- Väljaspool finantssektorit: TIBER-EU raamistikku võib kasutada ka mujal, kuid see jääb TIBER-EE juhtimiskorralduse alt välja.
Kui sa ei ole kindel, kas oled kohustuslane, küsi seda Finantsinspektsioonilt (TLPT@fi.ee) – mitte turvatestijalt.
TIBER-EU ja TIBER-EE
TIBER-EU on Euroopa raamistik ohuteabel põhinevaks eetiliseks punase meeskonna testimiseks. TIBER-EE on selle Eesti rakendus, mille riiklik juhtimismudel ja erisused on kirjas Finantsinspektsiooni soovituslikus juhendis.
Kõik TIBER-EU kohustuslikud nõuded kehtivad ka TIBER-EE testidele. Riiklik dokument ei dubleeri kogu metoodikat, vaid täpsustab Eesti konteksti: TCT-EE rolli, üldise ohumaastiku, konfidentsiaalsuse, RIA-ga koostöö ja EKP järelevalve all olevate krediidiasutuste erisused.
Seetõttu ei piisa ainult TIBER-EU materjalide lugemisest: Eestis tuleb arvestada ka Finantsinspektsiooni juhendit ja testi kooskõlastamist.
TLPT vs tavaline pentest
| Küsimus | TLPT / TIBER-EE | Tavaline pentest |
|---|---|---|
| Lähtekoht | Konkreetne ohuteave ja kriitilised funktsioonid | Kokkulepitud tehniline sihtmärk ja ulatus |
| Meeskond | Punane meeskond, sinine meeskond ja testijuht; koordineeritud protsess | Testijad, kes töötavad kokkulepitud ulatuses |
| Keskkond | Võimalusel tootmiskeskkond, range ohutus- ja konfidentsiaalsuskorraldus | Sageli testkeskkond või koopiad |
| Tõend | Finantsinspektsiooni tõend nõuetekohase läbiviimise kohta | Testiraport ja parandusplaan |
| Eesmärk | Hinnata tuvastus- ja reageerimisvõimet, mitte ainult leide | Leida ja tõendada haavatavusi |
Tavaline pentest võib olla TLPT ettevalmistuse osa, kuid ei asenda seda. TLPT nõuab threat intelligence'i, rohelise meeskonnaga koordineerimist ja dokumenteeritud tõendamist.
Kuidas TIBER-EE test käib
- Ettevalmistus: kohustuslase tuvastamine, ulatuse ja kriitiliste funktsioonide kokkuleppimine, kontaktid ja salastatus.
- Ohuteave: testispetsiifiline threat intelligence; üldine ohumaastik (GTL) on toetav, mitte asendav sisend.
- Punane meeskond: eesmärgistatud ründetegevus kokkulepitud piirides, koostöös sinise meeskonnaga.
- Tuvastus ja reageerimine: mõõdetakse, kas organisatsioon märkab, eskaleerib ja peatab tegevuse.
- Tõendamine: Finantsinspektsioon valideerib testidokumendid ja väljastab nõuetekohase läbiviimise korral tõendi.
- Parandused: leiud, õppetunnid ja tegevuskava; konfidentsiaalsust hoitakse kogu protsessi vältel.
Testi läbiviimise eest vastutab testitav ettevõtja koos oma teenuseosutajatega. Finantsinspektsioon ei tee operatiivset testimist, vaid koordineerib ja valideerib.
Rollid ja dokumendid
TIBER-EE ei ole ainult testija ja testitava vaheline leping. Raamistik määrab rollid, et test oleks koordineeritud, konfidentsiaalne ja tõendatav.
- TCT-EE: Finantsinspektsiooni TLPT kübertiim, mis koordineerib testi, valideerib dokumendid ja väljastab tõendi.
- Testitav ettevõtja: vastutab testi õiguslike ja tehniliste riskide, ohutuse ning oma teenuseosutajate kaasamise eest.
- Testija / punane meeskond: viib läbi eesmärgistatud tegevuse; peab olema sõltumatu ja konfidentsiaalsusnõuetega seotud.
- Sinine meeskond: tuvastab ja reageerib; testi eesmärk on hinnata ka seda võimet, mitte ainult leide.
- GTL: üldine ohumaastik toetab ettevalmistust, kuid ei asenda testispetsiifilist ohuteavet.
Kogu testiteave liigub vajaduspõhiselt ja kokkulepitud klassifikatsiooni (nt TLP) järgi. Vaikimisi ei jagata testi tulemusi väljapoole ilma õigusliku aluse või kirjaliku nõusolekuta.
Mida ette valmistada
- Kriitilised funktsioonid: millised teenused ja süsteemid on testi keskmes; mis on väljas.
- Kontaktid ja rollid: testijuht, sinine meeskond, juriidika, kommunikatsioon ja juhtkond.
- Lepingud ja load: testija, teenuseosutajate ja pilvepakkujate nõusolekud; NDA ja andmekaitse.
- Ohutus: stopitingimused, tootmiskeskkonna riskid, varundus ja taastamise plaan.
- Tõendid: logid, kontaktide ajakohasus, varasemad testid ja paranduste seis.
Kui TLPT on alles ees, on mõistlik alustada tavapärase pentesti ja küberauditiga, et põhipuudujäägid ei jääks TLPT ajal varju.
DORA kontekst: mida TLPT ei asenda
DORA ei ole ainult TLPT. Määrus katab IKT-riskide juhtimise, intsidentidest teatamise, digitaalse tegevuskerksuse testimise, kolmandate osapoolte riski ja teabevahetuse. TLPT on üks testimise tööriist, mis keskendub kriitilistele funktsioonidele.
Seetõttu ei tähenda TLPT tõend, et kogu DORA vastavus on korras. Ettevõttel peavad olema ka protsessid, juhtimine, lepingud ja tõendid teiste nõuete kohta. TLPT tulemus võib neid toetada, kuid ei asenda neid.
Kuidas testijat valida
TLPT testija peab suutma teha enamat kui tavaline haavatavuste skaneerimine. Hinda vähemalt järgmist:
- Sõltumatus: testija ei tohi olla seotud testitava süsteemi ehitamise või haldamisega viisil, mis tekitab huvide konflikti.
- Ohuteabe võime: oskus koguda ja kasutada sihtotstarbelist threat intelligence'i, mitte ainult üldist ohumaastikku.
- Punase meeskonna kogemus: tõendatud kogemus eesmärgistatud, kontrollitud ründetestidega tootmiskeskkonnas.
- Õiguslik ja ohutuse raamistik: selged load, NDA, andmekaitse, stopitingimused ja eskaleerimine.
- Koostöö TCT-EE-ga: valmisolek järgida Finantsinspektsiooni juhendit ja dokumenteerida test nõutud tasemel.
Meie ei esitle end TIBER-EE testijana. Kui vajad TLPT-d, küsi Finantsinspektsioonilt raamistiku nõuded ja vali testija nende alusel.
Aeg ja kulud
TLPT ei ole nädalane tellimus. Aeg kulub ettevalmistusele, ohuteabele, testi koordineerimisele, tõendamisele ja parandustele. Kulu sõltub kriitiliste funktsioonide arvust, testija mahust, tootmiskeskkonna riskidest, teenuseosutajate kaasamisest ja sellest, kui palju tuleb pärast testi parandada.
Vaikimisi ei avaldata ühtset hinnakirja, sest iga test on erinev. Küsi pakkumuses selget ulatust, meeskonda, ajakava, tõendamise kohustust ja seda, mis ei kuulu hinna sisse.
Mida see ei ole
- Ei ole sertifikaat: tõend kinnitab testi läbiviimist raamistiku järgi, mitte täielikku turvalisust.
- Ei ole tavaline pentest: metoodika, meeskond ja tõendamine erinevad.
- Ei ole bug bounty: eesmärk ei ole leida mahult kõiki vigu, vaid hinnata kriitiliste funktsioonide vastupanuvõimet.
- Ei asenda parandusi: testi väärtus sõltub sellest, mida pärast leidudega tehakse.
Allikad
- Finantsinspektsioon: TIBER-EE riiklik rakendusdokument (jõustus 15.09.2026).
- DORA määrus (EL) 2022/2554, artiklid 26–27.
- EKP: TIBER-EU raamistik.
See leht on selgitav, mitte õigusnõu. Kohustuse ulatuse ja testi nõuded kinnitab sinu järelevalveasutus.
Küsimused TLPT kohta
Kas TLPT on sama mis tavaline pentest?
Ei. TLPT on ohuteabel põhinev, punase ja sinise meeskonna koostööd hõlmav test kriitiliste funktsioonide vastu, tavaliselt tootmiskeskkonnas. Tavaline pentest on kitsam ja ei pruugi järgida DORA/TIBER-EU nõudeid.
Keda TLPT kohustab?
DORA kohaselt neid finantssektori ettevõtjaid, kelle pädev asutus on TLPT kohustuslastena tuvastanud. Eestis on selleks Finantsinspektsioon; EKP otsese järelevalve all olevate oluliste krediidiasutuste puhul tegutseb TLPT asutusena EKP.
Kas TIBER-EE test annab sertifikaadi?
Ei. Nõuetekohaselt läbi viidud testi korral väljastab Finantsinspektsioon tõendi testi läbiviimise kohta. See ei ole turvalisuse ega vastavuse garantii.
Kas Tehisabiline viib TLPT-d läbi?
Me ei esitle end TIBER-EE testijana. Saame aidata ettevalmistuse, tavapentesti ja tõendite poolel; TLPT läbiviimiseks tuleb valida raamistikuga kooskõlas testija ja kooskõlastada see Finantsinspektsiooniga.