Mission TLPT DORA | Du périmètre validé à la clôture

Ce que cela signifie pour votre test

Le TLPT DORA associe un processus défini par l’autorité à des tests fondés sur la menace portant sur des fonctions critiques ou importantes. Définissez l’entité sélectionnée, le périmètre proposé, les responsabilités du prestataire et les mesures de protection des systèmes en production avant de le considérer comme un exercice purement technique. Convenez des éléments probants requis pendant la préparation, les tests et la clôture.

Un test de résilience opérationnelle

Les TLPT associent un renseignement ciblé sur les menaces à des tests red team contrôlés sur des systèmes critiques en production. Ils examinent la réaction des personnes, des processus et des technologies face à un adversaire crédible, notamment la capacité à détecter et à contenir une attaque.

Atlant Security propose le TLPT au titre de DORA dans le cadre d’une mission intégrée. Le point de départ est la désignation de votre organisation, ses fonctions critiques ou importantes, les attentes des autorités et les contraintes opérationnelles. Le périmètre proposé, l’équipe et les modalités de réalisation sont définis avant le début des tests.

Ce que couvre la mission

• Préparation et définition du périmètre : cartographiez les fonctions critiques, les systèmes de production et les dépendances aux TIC ; documentez la gouvernance et les limites des tests.
• Renseignement sur les menaces : identifier les adversaires pertinents, l’exposition et les scénarios crédibles qui orientent le plan de l’équipe rouge.
• Tests contrôlés : exécutez les scénarios convenus sous la supervision de l’équipe de contrôle, avec des mesures de maîtrise des risques et des procédures d’escalade documentées.
• Clôture et enseignements : facilitez la production de rapports, la répétition des scénarios par les équipes rouge et bleue et les exercices d’équipe violette.
• Planification des mesures correctives : traduisez les constats en actions, responsables et éléments probants à l’appui de la procédure de clôture de l’autorité.

Les responsabilités, les rôles du prestataire et les livrables finaux sont convenus dans le cahier des charges. Consultez la méthodologie et les livrables pour connaître le modèle détaillé.

Les tests sur des systèmes en production nécessitent des mesures de protection explicites

La mission exige une autorisation écrite, un périmètre validé, des règles d’engagement claires et un processus de gestion des risques. Les responsables opérationnels et l’équipe de contrôle définissent les conditions d’arrêt, les contacts d’escalade, les restrictions, le traitement des données et les modalités de rétablissement. La participation de tiers est convenue avant que l’activité n’atteigne des services partagés.

Les tests peuvent comporter des risques opérationnels. Leur gestion fait partie de la conception du test et ne constitue pas une promesse qu’aucune perturbation ne puisse survenir. L’envoi du formulaire de demande de ce site web n’autorise aucune activité de test.

Commencez par l’adéquation, le périmètre et les preuves

Indiquez-nous si votre autorité compétente a désigné votre entité pour un TLPT, quelles fonctions pourraient entrer dans le périmètre et quelle période de test vous envisagez. Un échange sur la définition du périmètre peut établir les informations nécessaires aux achats pour évaluer l’équipe proposée, l’adéquation du prestataire et l’approche.

La diligence raisonnable prévue à l’article 27 demeure essentielle. Avant toute désignation, vérifiez l’expertise de l’équipe nommément désignée, les garanties pertinentes, son indépendance et sa couverture d’assurance. Consultez notre liste de contrôle pour la sélection des prestataires.

Le périmètre détermine la durée et les frais

Aucune offre à prix fixe n’est publiée. Le nombre d’entités et de fonctions, les dépendances, les scénarios, la participation des prestataires et les exigences de clôture influent tous sur la mission. La durée minimale de 12 semaines prévue par les RTS s’applique aux tests actifs de red team, et non à l’ensemble du programme.

Une proposition doit exposer clairement les hypothèses, les responsabilités, les coûts et la gestion des changements. Le résultat contribue à votre résilience et à votre processus réglementaire ; il ne constitue pas une garantie générale de conformité à DORA.

Préparez un brief avant l’appel de cadrage

Transformez une notification à l’autorité ou une première discussion de planification en un briefing de départ utile. Identifiez les fonctions et dépendances à clarifier avant de convenir du périmètre du TLPT.

Utilisez le générateur gratuit de documents de définition du périmètre pour les TLPT DORA afin de consigner les objectifs, les domaines d’évaluation, les contraintes et vos préférences concernant le NDA. Examinez le périmètre proposé, puis envoyez-le directement à Atlant Security via le formulaire de contact.