Combien de temps dure un TLPT DORA ? Au-delà de la phase de 12 semaines

La décision que ce guide vous aide à prendre

La période minimale de red team actif ne constitue qu’une partie du calendrier. Les achats, la validation du périmètre, la préparation du renseignement, la disponibilité des accès et la clôture prennent également du temps. Un calendrier crédible précise ces dépendances et les responsabilités associées, au lieu de promettre un TLPT complet en douze semaines.

Douze semaines constituent une phase, et non l’ensemble du programme

Les RTS relatives aux TLPT exigent que la phase active de tests de l’équipe rouge dure au moins 12 semaines. Cela ne signifie pas qu’une TLPT DORA complète puisse être commandée, réalisée et clôturée en 12 semaines. La préparation, la passation des marchés, le renseignement sur les menaces, la planification, la production des rapports et la clôture prennent du temps.

Le calendrier global dépend du périmètre, des participants, des contraintes opérationnelles et de la procédure de l’autorité. Toute durée totale fixe annoncée avant que ces facteurs soient connus doit être considérée comme une hypothèse à examiner.

Ce qui doit se passer avant le début des tests actifs

La préparation comprend l’équipe de contrôle, les échanges avec l’autorité, le périmètre proposé, le choix du prestataire et les dispositions contractuelles. Le renseignement sur les menaces et la planification red team traduisent ensuite ce périmètre en scénarios pertinents et en activités contrôlées.

La participation de tiers et la coordination transfrontalière peuvent fortement peser sur le calendrier. Il en va de même pour la disponibilité des spécialistes désignés, la qualité de la cartographie des fonctions et le processus d’examen des documents proposés. Ces éléments doivent apparaître dans le plan du programme, et non être dissimulés parmi les imprévus.

Préserver la fenêtre des tests actifs

Conformément à l’article 11, paragraphe 5, des RTS, la phase active de red team dure au moins 12 semaines. La planification doit respecter les exigences applicables à cette phase ainsi que les choix méthodologiques autorisés. Le purple teaming limité a un rôle spécifique dans les RTS ; il ne constitue pas une solution informelle pour compenser une mission de durée insuffisante.

Convenir des voies d’escalade, des restrictions opérationnelles et de la gestion des incidents réels. Un calendrier de tests qui ne tient pas compte des changements en production ou de la disponibilité des participants clés peut entraîner des risques et des retards inutiles.

Prévoyez du temps pour la clôture et la planification des mesures correctives

Les RTS fixent des délais et des exigences concernant le contenu des rapports. Par exemple, le rapport de l’équipe rouge doit être remis dans les quatre semaines suivant la phase active ; le rapport de l’équipe bleue est soumis à un délai distinct, lié à la réception du premier rapport et ne dépassant pas dix semaines après la fin des tests actifs.

Des exigences de calendrier supplémentaires s’appliquent au résumé du test et aux plans de remédiation. Certaines sont déclenchées par les notifications de l’autorité ; elles ne peuvent donc pas toutes être calculées simplement en ajoutant un nombre fixe de semaines au premier jour de test. Lisez les articles 12 et 13 en tenant compte de la procédure opérationnelle de l’autorité.

Ce qu’un calendrier crédible montre

• Limites des phases et hypothèses associées.
• Qui examine chaque document et dans quel délai prévu ?
• Dépendances liées aux achats, aux tiers et aux autorités.
• Tests actifs, rapports, rejouabilité et participation aux exercices purple team.
• Planification de la remédiation et responsabilités de suivi.

Planifiez à rebours à partir des contraintes connues, sans toutefois réduire les activités obligatoires pour respecter une échéance arbitraire. Un échange de cadrage devrait aboutir à un calendrier indiquant les dépendances et les incertitudes de manière explicite.

Exposer les dépendances qui sous-tendent les échéances

Établissez le calendrier de travail en fonction des décisions qui permettent de passer à l’activité suivante : gouvernance en place, périmètre proposé préparé, responsabilités du prestataire convenues, participation confirmée et mesures de protection opérationnelles prêtes. Désignez un responsable et indiquez la contribution attendue pour chaque dépendance. Une date sans responsable désigné ne constitue pas un contrôle de planification fiable. Distinguez les exigences du cadre applicable de la durée de préparation estimée par l’organisation, puis validez le plan avec les responsables des tests concernés.

Le guide de définition du périmètre des tests d’intrusion bancaires pour les achats propose une méthode utile pour expliciter les hypothèses relatives aux accès et aux éléments de preuve. Ces aspects pratiques comptent également lors de la préparation d’un TLPT, bien que cet exercice avancé ait ses propres exigences de processus et de planification.

Prévoir du temps pour rapprocher les éléments probants et traiter les constats

La clôture exige que les participants comparent leurs observations, expliquent les décisions défensives et transforment les enseignements en actions attribuées à des responsables. Identifiez ces participants tôt et assurez-vous que les responsables opérationnels peuvent prendre part aux travaux concernés. Découvrir tardivement que le responsable des journaux ou le fournisseur nécessaire ne peut pas contribuer au rapprochement peut réduire l’utilité des preuves. Prévoyez les observations non résolues et les limites du périmètre, sans supposer que toutes les questions auront trouvé réponse à la fin des activités techniques.

Pour les équipes produit qui déploient des changements pendant le programme global, le guide sur les versions et les nouveaux tests fintech explique comment préserver le contexte de version. Appliquez cette méthode afin d’éviter de comparer des observations issues d’états différents du système comme si elles étaient équivalentes. Le calendrier définitif doit rendre visibles les dépendances, les hypothèses et les décisions requises ; les dates doivent être considérées comme faisant partie d’un plan piloté, et non comme la promesse sans fondement d’une durée universellement fixe.

Poursuivez votre préparation

• Les phases de la mission
• Échangeons sur votre fenêtre de test