La décision que ce guide vous aide à prendre
Évaluez les personnes et les modalités de prestation au regard de l’article 27, et pas seulement la présentation du fournisseur. Demandez des preuves d’aptitude, de compétences pertinentes, de cadres éthiques, d’indépendance et d’assurance des risques. Réévaluez ces éléments si l’équipe ou les modalités de sous-traitance changent.
Pour la personne responsable de la mission. Évaluez les personnes proposées, leur indépendance et leurs compétences, ainsi que les mesures de protection, au regard des exigences applicables. Le nom ou le logo d’un fournisseur ne constitue pas une preuve.
Une description de la méthodologie ne constitue pas une diligence raisonnable
L’article 27 de DORA fixe les exigences applicables aux testeurs chargés de réaliser le TLPT. Lors de la sélection d’un prestataire, il convient d’obtenir des éléments attestant du respect de ces exigences et d’évaluer les modalités réelles de réalisation. Un badge, une affirmation générale d’expérience ou une référence à TIBER-EU ne sauraient s’y substituer.
L’évaluation doit porter sur l’organisation et les personnes nommément désignées pour réaliser les travaux. Veillez à ce que les éléments probants restent pertinents si le prestataire change d’équipe ou fait appel à un sous-traitant.
Lire le texte du diagramme
- Personnes
- Rôles, capacités et éléments de preuve pertinents
- Indépendance
- Garanties et informations à communiquer applicables
- Exécution
- Contrôles des risques et gestion des éléments probants
Adéquation et expertise spécifique
L’article 27 porte sur l’aptitude et la réputation, les capacités techniques et organisationnelles, ainsi que l’expertise spécifique en renseignement sur les menaces, tests d’intrusion et tests d’équipe rouge. Demandez comment cette expertise correspond aux rôles et aux scénarios proposés.
L’expérience pertinente doit être décrite à un niveau approprié, sans porter atteinte à la confidentialité d’autres clients. Une équipe chargée des achats peut convenir d’un canal sécurisé pour les références, les justificatifs et les informations sur l’équipe, plutôt que de s’appuyer exclusivement sur des pages marketing publiques.
Certifications et cadres éthiques
La disposition légale fait référence à une certification par un organisme d’accréditation d’un État membre ou au respect de codes de conduite ou de cadres éthiques formels. Ne réduisez pas cette formulation à l’affirmation qu’un certificat commercial particulier est universellement obligatoire ou suffisant.
Demandez sur quelle base s’appuie le prestataire, ce qu’elle couvre et comment elle s’applique aux travaux. Les qualifications individuelles peuvent constituer des éléments probants pertinents des compétences, mais elles ne satisfont pas automatiquement à toutes les exigences de l’organisation.
Lire le texte du diagramme
- Personnel désigné
- Confirmer les rôles proposés et leur disponibilité
- Processus de remplacement
- Expliquer l’évaluation et l’approbation
- Sous-traitance
- Identifier les responsabilités et les mesures de protection
Assurance des risques et couverture d’assurance
Les attestations indépendantes ou les éléments probants d’audit doivent porter sur la bonne gestion des risques liés au TLPT, notamment la protection des informations confidentielles et les mesures de réparation des risques opérationnels. L’entité financière doit comprendre le périmètre, la date et la pertinence de l’assurance fournie.
L’assurance responsabilité civile professionnelle est également importante. Vérifiez si les activités, les parties et les risques envisagés sont couverts. La simple existence d’une police ne prouve pas que la mission bénéficie d’une couverture adaptée.
Lire le texte du diagramme
- Accès
- Qui peut consulter des informations sensibles
- Transfert
- Méthodes de stockage et d’échange approuvées
- Clôture
- Responsabilités en matière de conservation, de suppression et d’incidents
Les testeurs internes nécessitent une analyse distincte
Les tests internes sont soumis à des conditions, notamment l’approbation pertinente de l’autorité compétente, l’indépendance et les garanties prévues par DORA et les RTS. Les établissements importants doivent recourir à des testeurs externes au titre de l’article 26. Le choix ne peut dépendre uniquement de la disponibilité des ressources.
Pour les autres entités qui font appel à des testeurs internes dans le cadre de dispositifs autorisés, les exigences applicables prévoient le recours périodique à des testeurs externes. Examinez les conditions juridiques précises et les attentes de l’autorité pour l’entité concernée avant de choisir le modèle.
Établissez une décision d’achat traçable
Consignez l’exigence, les éléments probants demandés, l’évaluation, les éventuelles lacunes et le responsable de la décision. Faites apparaître explicitement les conditions non résolues dans la gouvernance des achats. Les engagements contractuels, les ressources désignées et les modalités de traitement des éléments probants doivent correspondre à ce qui a été évalué.
Adaptez la réponse à la mission proposée
Demandez au prestataire de préciser les rôles prévus pour la prestation, l’expérience pertinente, les modalités de supervision et les éléments probants étayant les exigences qu’il affirme respecter. Vérifiez si les personnes nommément désignées sont effectivement affectées à la mission ou ne sont que des exemples de personnel disponible. Consignez la manière dont les remplaçants seraient évalués et approuvés. L’entité financière a besoin d’une base compréhensible pour prendre sa décision, et non d’une assurance sans réserve selon laquelle le fournisseur serait « conforme à DORA ».
Pour comparer les offres sur une base cohérente, le guide d’achat des tests d’intrusion pour les banques montre comment harmoniser le périmètre, les hypothèses d’accès et les attentes en matière d’éléments probants. Utilisez cette structure en complément des exigences propres au TLPT, au lieu de remplacer l’examen prévu à l’article 27 par un questionnaire ordinaire sur les tests techniques.
Examinez la manière dont les preuves seront traitées
Discutez de la gestion, tout au long de la mission, des renseignements sensibles sur les menaces, des observations opérationnelles, des identifiants et des éléments du rapport. Définissez les restrictions d’accès, les modalités de stockage et de transfert, la conservation, la suppression et la participation des sous-traitants. Demandez comment un incident significatif ou un effet opérationnel inattendu serait remonté. Ces questions concrétisent les mesures de protection proposées et aident l’entité à comprendre ses propres responsabilités et dépendances.
Examinez un rapport fictif ou dûment anonymisé et suivez un constat depuis le point de départ jusqu’aux preuves, à l’impact et au traitement proposé. Le guide des rapports fintech et des nouveaux tests propose des questions utiles sur la qualité des preuves. La qualité du rapport, à elle seule, ne démontre pas l’éligibilité des testeurs et ne satisfait pas à toutes les obligations TLPT ; elle constitue un élément d’une évaluation documentée qui doit prendre en compte les exigences réelles et les dispositifs applicables avec les autorités compétentes.
Lire le texte du diagramme
- Cartographier les exigences
- Identifier les éléments probants à l’appui de chaque affirmation
- Lever l’ambiguïté
- Interrogez votre interlocuteur sur les hypothèses et les modifications proposées
- Préservez le périmètre de l’évaluation
- Consigner une justification de sélection attribuable
Poursuivez votre préparation
Sources primaires
Informations générales, ne constituant pas un conseil juridique. Veuillez confirmer les exigences applicables et les modalités des tests auprès de l’autorité compétente.
Ce guide et les publications sectorielles associées, accessibles par les liens ci-dessus, sont publiés par Atlant Security. Les exemples techniques sont fournis à des fins de planification et ne prétendent pas décrire des tests réalisés pour des clients.
Publié par Atlant Security. Sources, politique éditoriale et corrections.
