Livrables TLPT : constats, éléments probants et nouveaux tests

Que devrait démontrer le rapport ?

Votre rapport TLPT doit expliquer la défaillance du contrôle et la conséquence démontrée, et ne pas se limiter à attribuer un niveau de gravité. Vérifiez la présence d’un périmètre validé par l’autorité, de scénarios fondés sur les menaces et de preuves de clôture, d’observations reproductibles et des responsables concernés. Les lacunes de couverture et les conséquences non testées doivent rester visibles afin que le rapport étaye une décision défendable.

Constituez les éléments probants tout au long du test

Un ensemble de preuves TLPT utile relie le périmètre et les hypothèses de menace aux actions réalisées, aux observations des équipes de défense et aux améliorations qui en découlent. Convenez des modèles, des contrôles d’accès et des responsabilités pendant la préparation.

Sortie	Finalité	Responsabilité à convenir
Documents relatifs au périmètre et à la gouvernance	Suivez les fonctions critiques, les dépendances, l’autorisation et les contrôles de sécurité.	Entité financière et équipe de contrôle, avec validation du périmètre par l’autorité compétente.
Renseignement ciblé sur les menaces	Expliquer la pertinence des menaces, l’exposition et le choix des scénarios	Fournisseur de renseignement sur les menaces et participants concernés à l'examen.
Plan et rapport de test de l’équipe rouge	Décrivez les scénarios prévus, leur exécution, les preuves et les résultats des contrôles.	Testeurs de l’équipe rouge, en coordination avec l’équipe de contrôle et l’autorité compétente.
Rapport de l’équipe bleue	Documentez ce que les équipes de défense ont observé, détecté et entrepris.	Équipe bleue et équipe de contrôle de l’entité financière.
Enseignements du rejeu et du purple teaming	Rapprochez les observations relatives à l’attaque et à la défense et recherchez des pistes d’amélioration.	Équipe de contrôle, équipe bleue et testeurs.
Synthèse des tests et plan de remédiation	Résumez les constats, les actions et les éléments justifiant la clôture.	Entité financière, avec l’appui de prestataires ; soumission selon la procédure de l’autorité compétente.

Rapports destinés à plusieurs publics

Les équipes techniques ont besoin d’un compte rendu reproductible des événements et des éléments de preuve. La direction doit connaître les conséquences pour les fonctions critiques, les raisons des lacunes importantes et les décisions d’amélioration assorties de responsabilités clairement attribuées. L’autorité a besoin des documents requis sous la forme appropriée.

Convenir des informations à inclure dans chaque livrable. Les rapports de test peuvent contenir des informations sensibles relatives à la sécurité. Utiliser une diffusion restreinte et un mécanisme de transfert sécurisé ; ne pas les joindre au formulaire public de demande.

Rendre la remédiation traçable

Décrivez la faiblesse et la fonction ou le contrôle concernés.
Désignez un responsable et fixez une échéance réaliste.
Consignez les dépendances et les mesures d’atténuation provisoires.
Définissez les preuves d’achèvement et tout travail de validation éventuel.
Faites remonter les risques non résolus dans le cadre du processus de gouvernance de l’entité.

Les nouveaux tests et la validation de suivi doivent être précisés dans la mission ou dans une extension convenue séparément. Ils ne sont pas implicitement inclus pour une durée indéfinie.

Ce que signifie une attestation — et ce qu’elle ne signifie pas

DORA prévoit une attestation à l’appui de la reconnaissance mutuelle. Sa délivrance et son acceptation relèvent de la procédure de l’autorité compétente. Le prestataire de tests ne certifie pas la conformité globale de l’organisation à DORA et ne garantit pas l’échec de toutes les attaques futures.

Pour des conseils pratiques de préparation, consultez le guide sur le reporting et la remédiation.

Sources primaires

Informations générales, ne constituant pas un conseil juridique. Veuillez confirmer les exigences applicables et les modalités des tests auprès de l’autorité compétente.