Méthodologie TLPT : du périmètre aux corrections vérifiées

Comment le test éclaire la décision

La méthode doit permettre de mettre à l’épreuve une résilience qui n’a pas encore été démontrée chez les personnes, dans les processus et au niveau technologique, sans dépasser l’autorisation convenue. Commencez par un périmètre validé par l’autorité compétente, des scénarios fondés sur les menaces et des preuves de clôture ; consignez les conditions initiales, l’action, le résultat observé et les limites. Convenez des conditions d’arrêt avant l’exécution et des critères d’acceptation avant le nouveau test.

01 — Préparer et définir le périmètre

Constituez l’équipe de contrôle, échangez avec l’autorité compétente et confirmez le fondement des tests. Cartographiez les fonctions critiques ou importantes en les reliant aux personnes, aux processus, aux systèmes de production et aux prestataires de services TIC. Consignez les limites du périmètre et les dépendances sous une forme pouvant être examinée et validée.

Les achats, la confidentialité, la coordination avec les autorités, l’évaluation des risques et les règles d’engagement sont des prérequis à une exécution sûre. Déterminez qui peut approuver une modification, arrêter les activités et résoudre un incident réel pendant les tests.

02 — Élaborer des renseignements ciblés sur les menaces

Utilisez l’exposition de l’organisation et son paysage de menaces pour identifier les adversaires pertinents et les scénarios d’attaque plausibles. La phase de renseignement doit relier les raisons du choix d’un scénario aux fonctions testées.

Distinguez les faits établis, les jugements analytiques et les incertitudes. Convenez des résultats du renseignement et des scénarios avec les participants concernés avant de finaliser la planification de l’équipe rouge.

03 — Réaliser des tests red team contrôlés

Transformez les scénarios en un plan de test, des objectifs convenus et des actions contrôlées. L’équipe de contrôle conserve la supervision tandis que les capacités de prévention, de détection et de réponse des équipes de défense sont testées conformément à la méthodologie applicable.

La phase active des tests de l’équipe rouge doit durer au moins 12 semaines conformément à l’article 11, paragraphe 5, des RTS. Les circonstances opérationnelles, les modifications approuvées et toute activité limitée de purple teaming doivent être gérées conformément aux RTS et à la procédure de l’autorité compétente. Cela ne vous autorise pas à raccourcir ou à redéfinir unilatéralement le test.

04 — Reconstituer le test et en tirer des enseignements

Après les tests actifs, informez l’équipe bleue de l’exercice selon la procédure convenue. Mettez en regard le récit de l’attaque de l’équipe rouge et le compte rendu des défenseurs. La relecture, l’analyse collaborative et le purple teaming aident à déterminer où les contrôles ont fonctionné, où la visibilité faisait défaut et quels changements apporter.

Les RTS définissent les exigences relatives au contenu et au calendrier des rapports. Planifiez dès le départ le rapport de l’équipe rouge, celui de l’équipe bleue et le résumé du test, au lieu de les reconstituer à la fin à partir de notes incomplètes.

05 — Planifier la remédiation et compléter les éléments de preuve

Attribuez les responsabilités et les priorités en matière de remédiation, distinguez les corrections immédiates des améliorations structurelles et convenez des preuves d’achèvement. Soumettez les documents requis dans le cadre de la procédure de l’autorité compétente pour l’entité financière.

La documentation de clôture et toute attestation d’une autorité concernent le test. L’entité reste responsable de l’ensemble de ses obligations au titre de DORA et de son programme de remédiation. En savoir plus sur les livrables et les responsabilités.

La place de TIBER-EU

Le cadre TIBER-EU de la BCE fournit des orientations opérationnelles, définit les rôles des participants et propose des modèles. Utilisez-le conformément à DORA, aux normes techniques de réglementation relatives au TLPT et aux modalités de mise en œuvre de l’autorité compétente concernée. Un prestataire doit expliquer comment son approche répond à ces exigences, plutôt que de considérer le nom TIBER comme une accréditation.