Méthode
TLPT
Aussi appeléThreat-led penetration testingTest d’intrusion fondé sur la menace
En résumé
Un test d’intrusion fondé sur la menace : un exercice avancé, proche d’un red team, qui reproduit les tactiques d’attaquants réalistes contre les systèmes de production d’une entité financière, à partir d’un scénario nourri de renseignements sur la menace, sous un encadrement réglementaire strict.
TLPT, en détail
Le TLPT est défini par le règlement DORA : définition, à son article 26. Les entités identifiées par leur autorité réalisent de tels tests au moins tous les trois ans, sur plusieurs ou toutes leurs fonctions critiques ou importantes, en conditions réelles. L’autorité peut ajuster la fréquence selon le profil de risque. Le règlement délégué (UE) 2025/1190 précise les critères d’identification, la méthode, les phases, la clôture et la remédiation.
Contrairement à un test d’intrusion classique, le périmètre est construit autour de scénarios plausibles pour l’entité, et non d’une liste d’applications. L’article 27 impose des critères aux testeurs : haute aptitude et réputation, expertise démontrée en renseignement sur la menace, tests d’intrusion et red team, certification par un organisme d’accréditation ou adhésion à un code de conduite, assurance indépendante sur la gestion des risques du test.
Qu’est-ce que cela change pour vous ?
Un TLPT réglementaire ne se commande pas comme un test d’intrusion ordinaire : le choix du testeur est encadré, et la détection et la réponse à incident de l’entité sont mises à l’épreuve en même temps que ses défenses.
La confusion fréquente
Prendre un exercice de red team commercial pour un TLPT réglementaire. Seul un test conforme aux exigences du règlement et mené par un testeur répondant à ses critères en remplit l’obligation.
Quelles prestations s’appuient sur ce terme ?
- Red team : la prestationSavoir si vos équipes verraient une attaque, et à quelle vitesse elles réagiraient.
- Conformité DORA : la prestationPasser du texte du règlement à un dispositif que l’autorité peut contrôler.
Aller plus loin
- ArticleDORA : ce que le règlement impose en tests de sécurité et de résilienceLe règlement DORA exige des tests de résilience numérique réguliers, dont des tests d’intrusion fondés sur la menace. Ce que disent les articles 24 à 27, qui est concerné et comment s’y préparer.
- ArticleChoisir un prestataire de test d’intrusion : PASSI et les bonnes questionsPASSI, certifications, références, assurance, méthode : les questions à poser à un prestataire de test d’intrusion avant de signer, et ce que chaque réponse doit vous dire.
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
Termes liés
- ConformitéDORA : définitionLe règlement européen (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025.
- MéthodeRed team : définitionUn exercice qui simule un adversaire réaliste, avec un objectif précis (accéder à une donnée, prendre le contrôle d’un système), sur plusieurs semaines et de manière discrète.
- MéthodeBlue team et purple team : définitionLa blue team désigne l’équipe qui défend, détecte et répond aux attaques ; la purple team est un mode de travail où attaquants et défenseurs collaborent en direct, technique par technique, pour améliorer la détection plutôt que pour mesurer un résultat à l’insu de la défense.
- MéthodeTest d’intrusion : définitionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début