Glossaire TLPT : périmètre, constats et termes relatifs aux nouveaux tests

Employez des termes précis pour commander des prestations précises

Une proposition doit expliquer ce que ses conditions de test impliquent en pratique. Utilisez ce glossaire pour distinguer l’accès, l’autorisation et l’impact observé lors des échanges sur les fonctions critiques, les scénarios de menace et les dépendances aux systèmes en production. Demandez au prestataire de traduire les termes généraux en cibles nommées et en critères d’acceptation mesurables.

Tests d'intrusion guidés par la menace (TLPT)

Un test red team contrôlé, sur mesure et fondé sur le renseignement, qui modélise des acteurs de la menace crédibles ciblant des systèmes critiques en production. Dans le cadre de DORA, les tests avancés s’inscrivent dans un contexte réglementaire défini et suivent une procédure d’autorisation établie.

Règlement sur la résilience opérationnelle numérique (DORA)

Règlement (UE) 2022/2554 établissant des exigences de résilience opérationnelle numérique pour le secteur financier. Le TLPT en est une composante, aux côtés d’une gestion plus large des risques liés aux TIC et d’autres obligations.

Normes techniques de réglementation (RTS)

Exigences détaillées venant compléter la législation. Pour les TLPT au titre de DORA, le règlement délégué (UE) 2025/1190 de la Commission traite de la sélection, de la méthodologie, des participants, de la clôture et des questions connexes.

TIBER-EU

Le cadre européen de red teaming éthique fondé sur le renseignement sur les menaces. Il fournit des orientations opérationnelles et des modèles ; il ne constitue pas une accréditation de prestataires commerciaux.

Fonction critique ou importante

Une fonction dont l’interruption nuirait de manière significative aux résultats financiers concernés, à la continuité des services ou au respect des exigences réglementaires, comme le décrit DORA. Le cadrage du TLPT relie ces fonctions aux ressources qui les prennent en charge.

Équipe de contrôle

Le groupe à accès restreint au sein de l’entité évaluée, qui connaît l’exercice et le gère. Son responsable se coordonne avec les responsables des tests de l’autorité et les prestataires concernés.

Équipe bleue

Les défenseurs dont les capacités de prévention, de détection et de réponse sont mises à l’épreuve. Leurs observations sont essentielles à la clôture et aux enseignements tirés.

Équipe rouge

Les testeurs qui exécutent les scénarios d’adversaire convenus dans le périmètre autorisé et conformément aux règles d’engagement.

Renseignement ciblé sur les menaces

Analyse des menaces pertinentes et de l’exposition de l’entité, utilisée pour orienter le choix des scénarios et les tests. Elle doit expliciter le lien entre la menace et les fonctions testées.

Purple teaming

Collaboration structurée entre attaquants et défenseurs afin de comprendre les résultats, d’explorer les lacunes et d’améliorer les contrôles. Son rôle et son calendrier doivent respecter les exigences de test applicables.

Attestation

Documentation issue de la procédure de l’autorité compétente à l’appui de la reconnaissance d’un TLPT réalisé conformément aux exigences. Elle ne certifie pas l’ensemble des aspects de la conformité d’une entité à DORA.

Sources primaires

Informations générales, ne constituant pas un conseil juridique. Veuillez confirmer les exigences applicables et les modalités des tests auprès de l’autorité compétente.