Périmètre du TLPT DORA : cartographier les fonctions critiques avant les actifs

La décision que ce guide vous aide à prendre

Commencez par la fonction qui doit rester résiliente, puis recensez les personnes, les processus, les systèmes et les dépendances externes qui y sont associés. Consignez le périmètre proposé et les exclusions, avec leur justification. L’autorité compétente valide le périmètre proposé ; un prestataire ne peut pas l’approuver en son nom.

Commencez par ce que l’organisation doit continuer à assurer

Un périmètre TLPT utile commence par les fonctions critiques ou importantes, puis retrace les personnes, les processus et les technologies qui les soutiennent. Un inventaire des actifs constitue un point de départ, mais n’explique pas à lui seul les conséquences qu’une défaillance aurait pour l’entreprise.

DORA exige que l’entité financière identifie les systèmes, processus et technologies TIC sous-jacents pertinents et évalue les fonctions à couvrir. Le périmètre proposé qui en résulte est validé par l’autorité compétente. Un prestataire ne peut pas approuver ce périmètre au nom de l’autorité.

Établir une cartographie des fonctions et de leurs dépendances

• Définissez la fonction et la personne métier qui en est responsable.
• Expliquez le résultat opérationnel qui doit être maintenu.
• Suivez les systèmes, les identités, les processus et les équipes qui soutiennent la fonction.
• Identifier les prestataires tiers de services TIC, les services partagés et les dépendances transfrontalières.
• Consignez les limites, les hypothèses et toute dépendance susceptible d’affecter le test.

Par exemple, une fonction liée aux paiements peut dépendre d’applications, d’une infrastructure d’identité, de procédures opérationnelles et d’un service externe. Tester uniquement l’application publique laisserait inexplorées les relations entre ces dépendances. Il s’agit d’un modèle illustratif de définition du périmètre, et non d’une affirmation concernant l’environnement d’un client.

Rendre les exclusions et autorisations vérifiables

Toute exclusion proposée doit préciser pourquoi elle l’est, quel risque ou quelle dépendance elle concerne et la manière dont elle sera prise en compte dans la conception du test. Des exclusions inexpliquées peuvent nuire au réalisme de l’exercice.

L’autorisation de tester l’entité financière n’autorise pas automatiquement des activités visant un tiers. Avant l’exécution, clarifiez les contrats, la participation du prestataire, les limites des environnements partagés et les interlocuteurs. Il incombe toujours à l’entité financière d’organiser la participation et la coordination nécessaires.

Relier le périmètre à la menace

Le renseignement sur les menaces devrait aider à expliquer quels adversaires et chemins d'attaque sont crédibles pour les fonctions choisies. Un scénario devrait viser un objectif pertinent et présenter un lien défendable avec l'exposition de l'entité, plutôt que de simplement mettre en avant une technique.

Assurez une traçabilité entre la fonction, la dépendance, l’hypothèse de menace, le scénario, le contrôle du risque et les éléments probants attendus. Cela facilite l’évaluation des changements ultérieurs et permet aux rapports de clôture d’expliquer ce que le test a démontré et ce qu’il n’a pas démontré.

Planifier les changements maîtrisés

Les environnements de production et les menaces évoluent. Déterminez qui peut demander, examiner et approuver un ajustement du périmètre, ainsi que les situations nécessitant l’intervention des autorités. Consignez la justification et évaluez le risque opérationnel avant d’adapter les activités.

Un périmètre initial clair réduit l’incertitude, sans supprimer la nécessité d’exercer son jugement au cours de la mission. Utilisez la liste de préparation au TLPT pour organiser la première discussion sur le périmètre.

Utilisez des évaluations techniques pour améliorer la cartographie des dépendances.

Une fonction critique peut dépendre d’identités et de services d’arrière-plan faciles à omettre dans un schéma métier. Demandez aux responsables des applications et de l’infrastructure quels principaux transfèrent des données, approuvent des transactions, publient des versions ou rétablissent le service. Consignez le responsable et la limite des autorisations pour chaque transfert important. La cartographie doit expliquer pourquoi une dépendance compte pour la fonction, plutôt que d’augmenter simplement le nombre de systèmes inclus dans le périmètre.

Le guide sur les accès privilégiés dans les banques distingue l’identité, la portée et les autorisations. Le guide sur les identités de charges de travail cloud pour les fintechs étend ce raisonnement aux services de déploiement et d’exécution. Ces deux guides peuvent éclairer la préparation technique ; aucun ne détermine le périmètre du TLPT validé par l’autorité compétente.

Tenir un journal de décision pour les limites difficiles à définir

Pour une plateforme partagée ou une dépendance sensible, consignez le traitement proposé, le risque opérationnel, le responsable de l’autorisation et les limites des éléments probants. Indiquez si la dépendance est incluse, nécessite une participation coordonnée ou reste non résolue. Ne réduisez pas la décision à une couleur sur un schéma. La justification doit rester compréhensible malgré les changements de personnel et permettre aux responsables des tests et à l’équipe de contrôle de savoir ce que l’exercice proposé peut démontrer.

Lorsque le périmètre change, conservez la décision précédente et expliquez les nouvelles informations. Identifiez les scénarios concernés, les contrôles de sécurité et les responsabilités du fournisseur, puis suivez le processus d’approbation applicable avant d’adapter l’exécution. À la clôture, utilisez la même cartographie pour montrer où les observations ont été recueillies et où subsiste une incertitude. Cette continuité fait du périmètre un outil de gouvernance opérationnel pendant toute la mission, plutôt qu’un document signé une fois puis oublié.

Poursuivez votre préparation

• La méthodologie de test
• Prestataires tiers de services TIC et TLPT