Test d'intrusion fondé sur la menace

DORA distingue deux obligations de test. L'article 25 du règlement (UE) 2022/2554 impose un programme général de tests, avec évaluations de vulnérabilités, analyses et tests de pénétration, au moins une fois par an sur les systèmes TIC qui soutiennent des fonctions critiques ou importantes. L'article 26 ajoute le TLPT pour les entités que le superviseur désigne, au moins tous les trois ans.

Le délai de trois ans est un plancher. L'autorité peut imposer un autre rythme à un établissement, et le cycle court à partir de la fin du dernier test, si bien qu'un établissement qui termine un test en retard décale lui-même sa prochaine échéance. Le périmètre doit couvrir plusieurs fonctions critiques ou importantes et le test se déroule sur les systèmes de production. C'est la limite qui sépare le TLPT de tout le programme de l'article 25.

L'entité ne se porte pas volontaire. Selon l'article 26, paragraphe 8, de DORA, l'autorité compétente désigne les entités financières tenues de réaliser un TLPT, d'après leur taille, leur profil de risque et leur importance pour le secteur financier, selon des critères fixés par les normes techniques de réglementation. En Allemagne, la BaFin décide quels établissements doivent se tester et fixe le rythme de chacun.

Être hors du périmètre ne change rien à l'article 25, si bien qu'un établissement non désigné pour le TLPT mène quand même des tests de pénétration sur ses systèmes critiques chaque année. Les établissements lisent parfois une désignation TLPT comme un jugement sur leur sécurité; c'est un jugement sur leur poids systémique.

La méthode est antérieure à DORA. TIBER-EU, le cadre européen de red teaming éthique fondé sur le renseignement sur la menace, a été publié par la Banque centrale européenne en 2018 et appliqué sur une base volontaire, et la Deutsche Bundesbank l'a mis en œuvre au niveau national sous le nom de TIBER-DE. DORA a rendu le test obligatoire pour les entités désignées, et le cadre a été révisé pour suivre le règlement.

En Allemagne, le TIBER Cyber Team de la Bundesbank accompagne le test, et la BaFin reste l'autorité compétente pour l'obligation. L'établissement a donc deux autorités face à lui, avec des rôles différents: l'une surveille l'obligation, l'autre soutient l'exercice et en contrôle la qualité.

Un TLPT se déroule en préparation, renseignement sur la menace, red teaming et clôture. La préparation fixe le périmètre, les règles d'engagement et les mesures de gestion des risques pour tester en production. La phase de renseignement produit un rapport ciblé de renseignement sur la menace qui nomme les acteurs pertinents pour cet établissement et traduit leurs tactiques, techniques et procédures en scénarios aux objectifs définis, souvent appelés drapeaux.

La red team exécute ces scénarios contre l'environnement réel, volontairement lentement, car le rythme d'un test d'intrusion ordinaire serait repéré aussitôt et ne dirait rien de la détection. La clôture comprend un replay avec les défenseurs, une séance de purple teaming où red team et blue team reprennent ensemble le chemin d'attaque. L'équipe de contrôle est le petit groupe interne qui sait que le test est en cours et détient l'autorité de l'arrêter; l'équipe des opérations de sécurité n'est pas informée, et c'est tout l'intérêt.

Les testeurs sont évalués, pas seulement recrutés. Les normes techniques de réglementation sur les tests de pénétration fondés sur la menace fixent des exigences de réputation, de capacité, de compétences techniques et d'assurance responsabilité civile professionnelle pour les testeurs et pour le fournisseur de renseignement sur la menace, et exigent qu'ils soient indépendants de l'entité testée.

Des testeurs internes sont possibles sous conditions. L'article 26, paragraphe 8, de DORA les admet pour les entités autres que les établissements de crédit classés comme importants, avec l'accord de l'autorité, l'absence documentée de conflits d'intérêts et le recours à un fournisseur externe de renseignement sur la menace. Même alors, une red team externe intervient au moins tous les trois tests, et un établissement ne peut donc pas se tester lui-même indéfiniment.

Trois différences comptent. Le périmètre: un test d'intrusion examine un système défini à la recherche de vulnérabilités, alors qu'un TLPT poursuit un objectif à travers tout l'établissement, y compris les personnes et l'accès physique qui y mènent. Le renseignement: les scénarios d'un TLPT viennent d'un rapport sur les acteurs qui visent cet établissement, et le test lui est donc propre. L'environnement: un TLPT se déroule en production, avec le risque opérationnel qui en découle et les mesures de gestion des risques que la phase de préparation met en place.

Face au red teaming ordinaire, la différence est formelle et non technique. Un TLPT suit un processus prescrit sous supervision, avec une documentation obligatoire, un testeur évalué, une équipe de contrôle et une autorité qui lit le résultat. Un exercice de red team acheté par un établissement pour ses propres besoins ne rend de comptes qu'à cet établissement.

À la fin du test, les autorités remettent à l'entité une attestation confirmant que le test a été réalisé conformément aux exigences, selon l'article 26, paragraphe 7, de DORA. L'attestation constate que le processus a été suivi; ce n'est pas un certificat de réussite, car un TLPT n'a pas de note de passage.

Le même article prévoit une reconnaissance mutuelle: les autorités compétentes des autres États membres reconnaissent l'attestation, et un groupe testé une fois sous TIBER-DE ne refait donc pas l'exercice dans chaque pays où il opère. Pour un groupe transfrontalier, ce point décide si le test reste un projet unique ou en devient plusieurs.

Un test de pénétration fondé sur la menace est une attaque contrôlée contre les systèmes de production d'un établissement, construite à partir du renseignement sur les acteurs qui le visent et menée par une red team indépendante à l'insu des défenseurs internes. Selon l'article 26 de DORA, il est obligatoire au moins tous les trois ans pour les entités financières désignées par un superviseur, et en Allemagne il se déroule dans le cadre TIBER-DE avec la Deutsche Bundesbank.

Un TLPT se compte en mois plutôt qu'en semaines. La seule phase de red team s'étend sur une longue période, souvent citée à au moins douze semaines de test actif, car l'équipe avance lentement pour ne pas être détectée. La préparation et le renseignement la précèdent, la clôture la suit, et les établissements planifient donc l'exercice complet sur deux à trois trimestres, en réservant le temps de l'équipe de contrôle.

Seuls l'équipe de contrôle et les personnes qu'elle informe nommément sont au courant du test. Le centre des opérations de sécurité, l'équipe de réponse aux incidents et les métiers ne savent rien, car le test mesure s'ils détectent un schéma d'attaque réel et y réagissent. L'équipe de contrôle tient la voie d'escalade, les conditions d'arrêt convenues et la pièce qui atteste que l'activité est autorisée. Ces éléments empêchent les équipes internes de traiter le test comme une vraie intrusion et de l'escalader à l'extérieur.

Les constats alimentent un plan de correction avec responsables et échéances, et l'établissement rend compte à l'autorité du test et des mesures prises. L'établissement en retire en général la chronologie de détection plutôt qu'une liste de vulnérabilités: à quelle étape l'attaque est devenue visible, en combien de temps l'alerte a mené à une décision, et quelle partie du chemin n'a produit aucun signal. La notification d'incidents DORA couvre le chemin d'un incident réel dans la même organisation.