Qu'est-ce qu'un test d'intrusion dirigé par la menace et pourquoi la DORA l'exige-t-elle ?

Pourquoi la DORA exige-t-elle un pentesting ?

Le nom de la loi sur la résilience opérationnelle numérique montre en fait pourquoi la DORA exige le pentesting, explique Michael Schouwenaar, spécialiste en cybersécurité chez Bureau Veritas Cybersecurity : 'L'objectif ultime de la DORA est d'accroître la résilience digitale du secteur financier dans l'UE. L'un des moyens d'y parvenir est de procéder à des tests".

Les articles 24 et 25 du texte de la DORA précisent quelques exigences différentes en matière de pentesting. La loi exige des institutions financières qu'elles effectuent des tests annuels. Les grandes banques sont déjà tenues de le faire, bien entendu. La DORA exige également des tests d'intrusion dirigés par la menace une fois tous les trois ans", précise M. Schouwenaar. Les autorités désignées superviseront ces exigences dans les différents États membres.

Qu'est-ce que le TLPT exactement ?

Le test d'intrusion basé sur la menace (Threat Led Penetration Testing, ou TLPT) consiste à effectuer des tests dans une perspective réaliste", explique M. Schouwenaar, qui possède une vaste expérience en matière de pentesting et de Red Teaming. L'objectif du TLPT est de tester la façon dont les menaces actuelles peuvent avoir un impact sur les fonctions critiques de l'entreprise. Ces tests reposent sur des informations actualisées et pertinentes sur les menaces. Par exemple, une nouvelle forme de Phishing peut être en train de gagner du terrain. Vous définissez ensuite un scénario intégrant cette menace, en concertation avec l'autorité compétente, et vous testez la résistance de l'entreprise à cette menace. Le test doit être connu à l'avance par le moins de personnes possible".

Quelle est la différence entre TLPT et le cadre TIBER ?

Le règlement DORA s'est largement inspiré du cadre TIBER existant, explique Schouwenaar. Il existe toutefois quelques différences.

1. Les régulateurs sont définis de manière plus spécifique dans TIBER que dans DORA. Le DORA donne aux États membres plus de liberté à cet égard.
2. Les tests internes ne sont pas autorisés dans le cadre de TIBER, mais le sont dans le cadre de DORA, à quelques conditions près. Le TLPT interne n'est autorisé que deux fois sur trois ; la troisième fois, une partie externe doit effectuer le TLPT. Dans tous les cas, les renseignements sur les menaces utilisés pour le TLPT interne doivent également être fournis par une partie extérieure.
3. Le Purple Teaming est fortement recommandé par TIBER-EU, mais n'est pas obligatoire. Dans le cadre du DORA, le "Purple Teaming" est obligatoire. Cela signifie que la collaboration et la formation de l'équipe bleue, ou des défenseurs d'une entreprise, sont intégrées dans le règlement DORA. Souvent, cela se fait à la fin de l'exercice.

À long terme, TIBER et DORA seront complètement alignés.

En quoi le test d'intrusion dirigé par la menace diffère-t-il du pentesting normal ?

La principale différence entre le TLPT et le pentesting normal est le champ d'application, explique Schouwenaar : "Avec le TLPT, le champ d'application est l'ensemble de l'organisation. Dans le cas du pentesting normal, il s'agit généralement d'un système ou d'une partie d'un environnement. Le pentesting normal se concentre sur les aspects techniques ; le TLPT prend également en compte les procédures et les personnes. Une autre différence réside dans le fait que, dans le cadre d'un pentesting normal, les parties prenantes sont conscientes de l'existence du test. Avec le TLPT, la plupart des parties prenantes ne le sont pas.

L'élargissement du champ d'application signifie que le test d'intrusion dirigé par la menace est plus complexe, en particulier si de nombreuses tierces parties sont impliquées. Il prend également plus de temps que le pentesting normal, explique Schouwenaar : "L'exécution du TLPT peut prendre jusqu'à trois ou quatre mois, étalés sur une période plus longue".

Dois-je faire appel à un tiers pour le TLPT ou puis-je le faire moi-même ?

La DORA autorise les testeurs internes à effectuer des tests d'intrusion à la recherche de menaces (Threat Led Penetration Testing) au sein d'une organisation. Cependant, il y a quelques conditions.

• Une session TLPT sur trois doit être menée par un tiers. En pratique, cela signifie que vous devez faire appel à une société de test indépendante tous les dix ans environ.
• Tout renseignement sur les menaces que vous utilisez pour le TLPT doit être fourni par une partie externe et indépendante.

Comment Bureau Veritas Cybersecurity réalise-t-il le TLPT ?

Le TLPT est très similaire au Red Teaming, souligne Schouwenaar, et c'est un domaine dans lequel Bureau Veritas Cybersecurity a une grande expérience, indique Schouwenaar : " En 2023, nous avons réalisé une trentaine de projets de Red Teaming, pour toutes sortes d'organisations, y compris des sociétés financières.