4 min de lecture<\/p>\n
DORA exige des tests de p\u00e9n\u00e9tration pilot\u00e9s par les menaces (Threat-Led Penetration Tests, TLPT) r\u00e9guliers sur les syst\u00e8mes en production pour les \u00e9tablissements financiers syst\u00e9miquement importants. Pas de laboratoire d\u2019essai, pas de bac \u00e0 sable : des attaques r\u00e9elles sur une infrastructure r\u00e9elle, sans que l\u2019\u00e9quipe \u00ab Blue Team \u00bb n\u2019en soit inform\u00e9e. Les premi\u00e8res notifications officielles des autorit\u00e9s de surveillance interviendront en 2026. Pour les DSI du secteur financier qui ne se sont pas encore pr\u00e9par\u00e9s, un probl\u00e8me aux d\u00e9lais tr\u00e8s courts se profile.<\/strong><\/p>\n La plupart des entreprises connaissent les tests de p\u00e9n\u00e9tration : une \u00e9quipe externe examine des syst\u00e8mes d\u00e9finis \u00e0 la recherche de vuln\u00e9rabilit\u00e9s, documente les r\u00e9sultats et formule des recommandations. Ce type de test s\u2019effectue sur des syst\u00e8mes de test ou dans un p\u00e9rim\u00e8tre strictement d\u00e9limit\u00e9 ; l\u2019\u00e9quipe interne de s\u00e9curit\u00e9 informatique (\u00ab Blue Team \u00bb) en est inform\u00e9e, et les r\u00e9sultats sont int\u00e9gr\u00e9s au prochain rapport d\u2019audit.<\/p>\n Le TLPT dans le cadre de DORA est fondamentalement diff\u00e9rent. Trois dimensions le distinguent des tests de p\u00e9n\u00e9tration conventionnels. Premi\u00e8rement : la confidentialit\u00e9. L\u2019\u00e9quipe \u00ab Blue Team \u00bb, c\u2019est-\u00e0-dire l\u2019\u00e9quipe interne de s\u00e9curit\u00e9 informatique, ignore totalement que le test est en cours. Seul un petit cercle au sein de la direction g\u00e9n\u00e9rale est inform\u00e9 (le \u00ab White Team \u00bb). Deuxi\u00e8mement : les syst\u00e8mes en production. Le test est r\u00e9alis\u00e9 directement sur l\u2019infrastructure r\u00e9elle, et non sur des copies ou des environnements de test. Les risques sont r\u00e9els, les r\u00e9sultats sont significatifs, et une erreur commise par l\u2019\u00e9quipe \u00ab Red Team \u00bb peut avoir des cons\u00e9quences concr\u00e8tes. Troisi\u00e8mement : la priorit\u00e9 donn\u00e9e \u00e0 l\u2019intelligence sur les menaces. Avant toute action de l\u2019\u00e9quipe \u00ab Red Team \u00bb, un prestataire externe sp\u00e9cialis\u00e9 en intelligence sur les menaces analyse la situation sp\u00e9cifique en mati\u00e8re de menaces pesant sur l\u2019\u00e9tablissement. L\u2019attaque simule des acteurs malveillants r\u00e9els avec leurs tactiques r\u00e9elles, et non un sc\u00e9nario g\u00e9n\u00e9rique.<\/p>\n L\u2019effort requis est donc consid\u00e9rable : un cycle complet de TLPT dure de 6 \u00e0 12 mois. La seule phase de l\u2019\u00e9quipe \u00ab Red Team \u00bb a une dur\u00e9e minimale de 12 semaines calendaires. S\u2019y ajoutent la d\u00e9finition du p\u00e9rim\u00e8tre (scoping), l\u2019analyse d\u2019intelligence sur les menaces, le \u00ab Purple Teaming \u00bb (analyse conjointe avec l\u2019\u00e9quipe \u00ab Blue Team \u00bb apr\u00e8s la fin du test) et la r\u00e9daction du rapport final. Pour les DSI qui n\u2019ont jusqu\u2019ici connu que les tests de p\u00e9n\u00e9tration standards, le TLPT rel\u00e8ve d\u2019une tout autre cat\u00e9gorie.<\/p>\n \n\u00ab Les tests de p\u00e9n\u00e9tration pilot\u00e9s par les menaces permettent aux \u00e9tablissements financiers d\u2019identifier pr\u00e9cocement les vuln\u00e9rabilit\u00e9s et de tester la r\u00e9silience de leurs syst\u00e8mes TIC dans des conditions r\u00e9alistes. \u00bb Toutes les entreprises financi\u00e8res ne sont pas concern\u00e9es par l\u2019obligation TLPT. DORA limite cette exigence aux \u00e9tablissements dot\u00e9s d\u2019une importance syst\u00e9mique. Sont pr\u00e9cis\u00e9ment concern\u00e9s : les institutions mondialement syst\u00e9miquement importantes (G-SIIs) et les institutions nationalement syst\u00e9miquement importantes (O-SIIs), les \u00e9tablissements ayant trait\u00e9, chacun, plus de 150 milliards d\u2019euros de transactions de paiement au cours des deux derniers exercices, les d\u00e9positaires centraux de titres (CSD) et les contreparties centrales (CCP).<\/p>\n En Allemagne, cela concerne notamment les grands \u00e9tablissements : Deutsche Bank, Commerzbank, DZ Bank, les banques r\u00e9gionales (Landesbanken) ainsi que les assureurs syst\u00e9miquement importants. Mais certains prestataires sp\u00e9cialis\u00e9s de services de paiement, dont le volume de transactions d\u00e9passe ce seuil, peuvent \u00e9galement \u00eatre concern\u00e9s. Les autorit\u00e9s de surveillance (en Allemagne, la BaFin et la Banque f\u00e9d\u00e9rale allemande) d\u00e9signent individuellement les \u00e9tablissements soumis \u00e0 cette obligation. La premi\u00e8re vague de notifications aura lieu en 2026.<\/p>\n Pour les DSI hors du secteur financier, le TLPT reste n\u00e9anmoins pertinent : la directive NIS2<\/a> contient des exigences similaires en mati\u00e8re de tests de s\u00e9curit\u00e9 r\u00e9guliers pour les entit\u00e9s essentielles. La m\u00e9thodologie TLPT deviendra vraisemblablement, au-del\u00e0 du cadre de DORA, la r\u00e9f\u00e9rence internationale pour les tests de r\u00e9silience.<\/p>\n Le TLPT dans le cadre de DORA repose sur le cadre TIBER-EU (Threat Intelligence-Based Ethical Red Teaming), introduit par la Banque centrale europ\u00e9enne en 2018. En Allemagne, la Banque f\u00e9d\u00e9rale allemande impl\u00e9mente ce cadre sous la d\u00e9nomination TIBER-DE, actuellement en version 4.0 (juillet 2025).<\/p>\n Les exigences de TIBER-DE sont pleinement align\u00e9es sur les prescriptions TLPT de DORA, mais imposent dans certains domaines des conditions pr\u00e9alables l\u00e9g\u00e8rement plus strictes. La Banque f\u00e9d\u00e9rale allemande assure le soutien op\u00e9rationnel des tests, tandis que la BaFin est l\u2019autorit\u00e9 de surveillance comp\u00e9tente pour les t\u00e2ches de supervision. Les \u00e9tablissements ayant d\u00e9j\u00e0 r\u00e9alis\u00e9 un test TIBER-DE disposent d\u2019un avantage substantiel par rapport \u00e0 ceux qui d\u00e9marreront \u00e0 z\u00e9ro.<\/p>\n \u00c0 noter pour les DSI : le prestataire d\u2019intelligence sur les menaces doit toujours \u00eatre externe. Un tiers des tests doit \u00eatre confi\u00e9 \u00e0 une \u00e9quipe \u00ab Red Team \u00bb externe (les deux autres tiers pouvant \u00eatre r\u00e9alis\u00e9s par une \u00e9quipe interne, \u00e0 condition que celle-ci remplisse toutes les exigences de DORA). Le \u00ab Purple Teaming \u00bb est obligatoire en phase finale. Cela signifie que l\u2019\u00e9quipe \u00ab Red Team \u00bb et l\u2019\u00e9quipe \u00ab Blue Team \u00bb analysent conjointement ce qui a fonctionn\u00e9 ou non. Cette phase constitue la partie la plus pr\u00e9cieuse du test, car elle fournit des am\u00e9liorations concr\u00e8tes.<\/p>\n Sources : DORA (UE 2022\/2554), EBA Final RTS on TLPT, Banque f\u00e9d\u00e9rale allemande, TIBER-DE v4.0<\/p>\n 1. Clarifier sa situation de conformit\u00e9.<\/strong> Votre \u00e9tablissement est-il soumis \u00e0 l\u2019obligation TLPT ? Les crit\u00e8res sont clairs (G-SII\/O-SII, volume de transactions sup\u00e9rieur \u00e0 150 milliards d\u2019euros, CSD\/CCP). En cas de doute, contactez proactivement la BaFin. Celui qui n\u2019apprendra qu\u2019au moment de la notification officielle qu\u2019il est concern\u00e9 disposera d\u2019un d\u00e9lai de pr\u00e9paration trop court.<\/p>\n 2. Constituer un \u00ab White Team \u00bb.<\/strong> Le \u00ab White Team \u00bb pilote le TLPT en interne. Il se compose typiquement du DSI \/ du Directeur de la s\u00e9curit\u00e9 de l\u2019information (CISO), du responsable de la gestion des risques et d\u2019un repr\u00e9sentant du comit\u00e9 de direction. Ce \u00ab White Team \u00bb doit commander le test, d\u00e9finir son p\u00e9rim\u00e8tre (scope) et garantir la confidentialit\u00e9 vis-\u00e0-vis de l\u2019\u00e9quipe \u00ab Blue Team \u00bb. Sa composition doit \u00eatre arr\u00eat\u00e9e \u00e0 l\u2019avance, et non seulement au moment de la r\u00e9ception de la notification.<\/p>\n 3. \u00c9valuer les prestataires externes.<\/strong> Les prestataires d\u2019intelligence sur les menaces et les prestataires de services \u00ab Red Team \u00bb doivent \u00eatre s\u00e9lectionn\u00e9s tr\u00e8s en amont. La disponibilit\u00e9 de prestataires qualifi\u00e9s pour le TLPT est limit\u00e9e, surtout si la premi\u00e8re vague de notifications active simultan\u00e9ment de nombreux \u00e9tablissements. Les DSI devraient pr\u00e9parer des contrats-cadres avec au moins deux prestataires. Les crit\u00e8res de qualification incluent notamment : la certification CREST, une exp\u00e9rience av\u00e9r\u00e9e avec TIBER, et des r\u00e9f\u00e9rences aupr\u00e8s d\u2019\u00e9tablissements comparables.<\/p>\n 4. Pr\u00e9parer le p\u00e9rim\u00e8tre (scope).<\/strong> Le p\u00e9rim\u00e8tre du TLPT doit couvrir les fonctions m\u00e9tiers critiques et les syst\u00e8mes informatiques qui les supportent. Cela suppose une documentation actualis\u00e9e des services critiques, de l\u2019infrastructure sous-jacente et des d\u00e9pendances. Les \u00e9tablissements qui n\u2019ont pas mis \u00e0 jour leur architecture de cybers\u00e9curit\u00e9<\/a> auront des difficult\u00e9s \u00e0 d\u00e9finir ce p\u00e9rim\u00e8tre.<\/p>\n 5. \u00c9valuer la r\u00e9silience interne.<\/strong> Le TLPT met en lumi\u00e8re des faiblesses devant ensuite \u00eatre corrig\u00e9es. Les DSI devraient combler avant le test les lacunes \u00e9videntes : syst\u00e8mes non mis \u00e0 jour, absence de segmentation r\u00e9seau, droits d\u2019acc\u00e8s obsol\u00e8tes. Non pas pour \u00ab r\u00e9ussir \u00bb le test, mais parce que ces failles constituent des risques r\u00e9els. Un TLPT qui ne d\u00e9tecte que des vuln\u00e9rabilit\u00e9s triviales gaspille le budget sur des \u00e9vidences, au lieu de se concentrer sur les risques subtils qui apportent la v\u00e9ritable valeur ajout\u00e9e.<\/p>\n Le TLPT ne se termine pas avec la remise du rapport final. Les r\u00e9sultats doivent d\u00e9boucher sur un plan d\u2019actions concret, dont la mise en \u0153uvre sera suivie par l\u2019autorit\u00e9 de surveillance. La BaFin attend que les vuln\u00e9rabilit\u00e9s identifi\u00e9es soient corrig\u00e9es dans des d\u00e9lais d\u00e9finis. Le comit\u00e9 de direction doit approuver ce plan d\u2019actions et en superviser la mise en \u0153uvre.<\/p>\n Pour les DSI, le TLPT ne repr\u00e9sente donc pas une charge ponctuelle, mais un cycle continu d\u2019am\u00e9lioration. La responsabilit\u00e9 personnelle<\/a> de la direction g\u00e9n\u00e9rale, pr\u00e9vue par DORA, fait de ce cycle une question strat\u00e9gique au plus haut niveau. Les DSI qui consid\u00e8rent le TLPT comme une simple obligation r\u00e9glementaire contraignante manquent l\u2019essentiel : un test de stress r\u00e9aliste de leurs propres capacit\u00e9s de d\u00e9fense, que nulle simulation interne ne saurait reproduire.<\/p>\n Le TLPT est effectu\u00e9 sur les syst\u00e8mes en production (et non sur des environnements de test), l\u2019\u00e9quipe \u00ab Blue Team \u00bb n\u2019en est pas inform\u00e9e (confidentialit\u00e9 stricte), et l\u2019attaque repose sur une analyse personnalis\u00e9e d\u2019intelligence sur les menaces relative \u00e0 l\u2019\u00e9tablissement. Un test de p\u00e9n\u00e9tration classique s\u2019effectue sur des syst\u00e8mes de test d\u00e9finis, avec la connaissance de toutes les parties prenantes.<\/p>\n<\/details>\n Les institutions mondialement et nationalement syst\u00e9miquement importantes (G-SII\/O-SII), les \u00e9tablissements ayant trait\u00e9 plus de 150 milliards d\u2019euros de transactions de paiement au cours des deux derni\u00e8res ann\u00e9es, les d\u00e9positaires centraux de titres et les contreparties centrales. La BaFin d\u00e9signe individuellement les \u00e9tablissements concern\u00e9s.<\/p>\n<\/details>\n L\u2019ensemble du cycle dure de 6 \u00e0 12 mois. La phase \u00ab Red Team \u00bb seule a une dur\u00e9e minimale de 12 semaines. S\u2019y ajoutent l\u2019analyse d\u2019intelligence sur les menaces (4 \u00e0 8 semaines), la d\u00e9finition du p\u00e9rim\u00e8tre (2 \u00e0 4 semaines), le \u00ab Purple Teaming \u00bb (2 \u00e0 4 semaines) et la r\u00e9daction du rapport final.<\/p>\n<\/details>\n Le \u00ab Purple Teaming \u00bb est l\u2019analyse conjointe men\u00e9e par l\u2019\u00e9quipe \u00ab Red Team \u00bb (attaquants) et l\u2019\u00e9quipe \u00ab Blue Team \u00bb (d\u00e9fenseurs) apr\u00e8s la fin du test. L\u2019\u00e9quipe \u00ab Blue Team \u00bb n\u2019apprend qu\u2019\u00e0 ce stade que le test a eu lieu. Ensemble, elles analysent les lacunes de d\u00e9tection, les d\u00e9lais de r\u00e9action et les processus d\u2019escalade. Le \u00ab Purple Teaming \u00bb est obligatoire dans le cadre de DORA.<\/p>\n<\/details>\n Non, dans le cadre de DORA. Toutefois, la directive NIS2 contient des exigences similaires en mati\u00e8re de tests de s\u00e9curit\u00e9 r\u00e9guliers pour les entit\u00e9s essentielles. La m\u00e9thodologie TLPT deviendra vraisemblablement, au-del\u00e0 du secteur financier, la r\u00e9f\u00e9rence internationale pour les tests de r\u00e9silience.<\/p>\n<\/details>\n Source de l’image : Sora Shimazaki \/ Pexels<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" 4 min de lecture DORA exige des tests de p\u00e9n\u00e9tration pilot\u00e9s par les menaces (Threat-Led Penetration Tests, TLPT) r\u00e9guliers sur les syst\u00e8mes en production pour les \u00e9tablissements financiers syst\u00e9miquement importants. Pas de laboratoire d\u2019essai, pas de bac \u00e0 sable : des attaques r\u00e9elles sur une infrastructure r\u00e9elle, sans que l\u2019\u00e9quipe \u00ab Blue Team \u00bb n\u2019en […]<\/p>\n","protected":false},"author":82,"featured_media":12809,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"dora","_yoast_wpseo_title":"DORA: R\u00e9ussir votre test de cybers\u00e9curit\u00e9 r\u00e9siliente","_yoast_wpseo_metadesc":"TLPT DORA : assurez la conformit\u00e9 et renforcez la cybers\u00e9curit\u00e9 de vos syst\u00e8mes critiques. D\u00e9couvrez comment r\u00e9ussir vos tests et agir maintenant.","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_slot_owner":"","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[705],"tags":[],"class_list":["post-15010","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurite","entry"],"wpml_language":"fr","wpml_translation_of":12810,"yoast_head":"\nL’essentiel<\/h2>\n
\n
Ce qui distingue le TLPT d\u2019un test de p\u00e9n\u00e9tration classique<\/h2>\n
\nBaFin, \u00ab Simulating attacks to enhance security \u00bb (d\u00e9cembre 2024)<\/cite>\n<\/p><\/blockquote>\nQui doit r\u00e9aliser un TLPT ?<\/h2>\n
TIBER-DE : le cadre allemand<\/h2>\n
Pr\u00e9paration : ce que les DSI doivent faire d\u00e8s maintenant<\/h2>\n
Ce qui suit le test<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Quelle est la diff\u00e9rence entre un TLPT et un test de p\u00e9n\u00e9tration classique ?<\/strong><\/summary>\n
Quels \u00e9tablissements financiers doivent r\u00e9aliser un TLPT ?<\/strong><\/summary>\n
Combien de temps dure un TLPT ?<\/strong><\/summary>\n
Qu\u2019est-ce que le \u00ab Purple Teaming \u00bb ?<\/strong><\/summary>\n
Les entreprises non financi\u00e8res doivent-elles aussi r\u00e9aliser un TLPT ?<\/strong><\/summary>\n
Suggestions de lecture r\u00e9dig\u00e9es par la r\u00e9daction<\/h2>\n
\n
Plus d\u2019articles du r\u00e9seau m\u00e9dia MBF Media<\/h2>\n
\n