Liste de contrôle de préparation au TLPT DORA | Avant de mandater les testeurs

Ce que cela signifie pour votre test

Utilisez cette liste de contrôle pour faire apparaître les décisions manquantes avant l’achat de la prestation. Confirmez la procédure de l’autorité compétente, le périmètre proposé des fonctions critiques, la responsabilité de l’équipe de contrôle, la diligence raisonnable concernant le prestataire et les autorisations de tiers. Attribuez la responsabilité des rapports et des mesures correctives avant le début des tests actifs.

Utilisez cette liste pour préparer une discussion sur le périmètre. Cocher une case est une aide de travail, et non une détermination de conformité réglementaire. Vos choix restent sur cette page et ne sont ni transmis ni enregistrés.

Confirmer l’obligation

Identifier l’entité juridique et l’autorité compétente ou l’autorité TLPT concernée.
Retrouvez la notification de sélection et la fenêtre de test convenue, si elles ont été émises.
Confirmez les exigences applicables de DORA, des RTS et de l’autorité compétente.

Préparez le périmètre

Répertoriez les fonctions critiques ou importantes proposées pour les tests.
Cartographiez les systèmes, les personnes, les processus et les dépendances TIC qui les soutiennent.
Identifier les entités transfrontalières, les services partagés et la participation de tiers.
Consigner les hypothèses de périmètre qui doivent être validées par l’autorité compétente.

Établir la gouvernance

Désignez la personne responsable de l’équipe de contrôle ainsi qu’une équipe de contrôle soumise à des restrictions appropriées.
Définissez la confidentialité, l’escalade, la gestion des incidents et les conditions d’arrêt.
Identifier qui approuve les changements de périmètre et les restrictions opérationnelles.

Préparez la due diligence du prestataire

Demandez les compétences et les disponibilités de l’équipe désignée.
Évaluer les conflits d’intérêts, les cadres éthiques pertinents et les éléments probants d’assurance.
Vérifiez que les travaux proposés sont couverts par une assurance responsabilité civile professionnelle.
Convenir du traitement des éléments probants, de la sous-traitance et des responsabilités contractuelles.

Planifier la clôture avant les tests

Attribuez les responsabilités de l’équipe rouge, de l’équipe bleue et du rapport de synthèse.
Prévoyez du temps pour rejouer les tests, mener des exercices de purple teaming et planifier les mesures correctives.
Définissez un processus pour attribuer la responsabilité des mesures correctives, conserver les preuves et assurer le suivi.
Convenir de la diffusion sécurisée et des modalités de conservation du rapport.

Sources primaires

Informations générales, ne constituant pas un conseil juridique. Veuillez confirmer les exigences applicables et les modalités des tests auprès de l’autorité compétente.