Test d’intrusion bancaire ou TLPT au titre de DORA ? Choisissez la mission adaptée

La décision que ce guide vous aide à prendre

Commencez par l'objectif de commande de la banque et la procédure applicable de l'autorité compétente. Un test technique d'application ou de réseau répond à une question différente d'un TLPT DORA désigné. Précisez la mission envisagée dans le brief afin que les propositions soient évaluées selon les responsabilités et les livrables appropriés.

Commencez par la décision que vous devez prendre

Une banque peut avoir besoin d’éléments d’assurance concernant une nouvelle application, un chemin de confiance interne ou une modification de l’autorisation des paiements. Un test d’intrusion au périmètre défini peut répondre à ces questions techniques. Le TLPT réglementaire est un exercice plus large, fondé sur le renseignement, avec un processus de gouvernance et d’autorisation défini pour les entités financières concernées.

N’assimilez pas les résultats

Les articles 26 et 27 de DORA ainsi que les RTS sur le TLPT régissent les tests avancés et les exigences applicables aux testeurs. Un rapport technique classique ne devient pas un TLPT conforme parce que son titre contient l’acronyme. Confirmez la désignation, la validation du périmètre et les livrables attendus dans le cadre de la procédure applicable auprès de l’autorité compétente.

Utilisez les preuves aux fins prévues

Un constat concernant une application peut alimenter le programme de gestion des vulnérabilités et des risques de la banque. Un TLPT évalue également des parcours d’attaque réalistes et la réponse des équipes de défense sur les fonctions critiques. Ces formes de test peuvent être complémentaires, mais ne doivent pas être présentées ni enregistrées comme interchangeables.

Inscrire cette distinction dans les documents d’achat

Précisez dans la demande de proposition la finalité, l’environnement, la méthode, les participants et les obligations de reporting. Demandez ce que comprennent la clôture et les tests de vérification. Notre service bancaire porte sur le périmètre convenu des tests d’intrusion ; un TLPT au titre de DORA nécessite une évaluation distincte de son adéquation, de sa gouvernance et de sa mise en œuvre.

Formuler en une phrase la décision de lancement

Une banque peut avoir besoin de preuves qu’une nouvelle API de paiement vérifie que le client est bien le titulaire avant toute opération. Une autre mission peut viser à évaluer comment un adversaire crédible pourrait affecter une fonction critique et comment les équipes de défense réagiraient. Il s’agit de questions différentes, même si certaines techniques se recoupent. Présentez la décision dans le premier paragraphe du brief, identifiez le responsable métier et expliquez l’usage prévu des résultats. Les prestataires pourront ainsi éviter de chiffrer des services fondamentalement différents sous la même appellation de « test d’intrusion DORA ».

Si l’entité est soumise à une exigence TLPT, impliquez rapidement les instances internes de gouvernance concernées et le processus auprès de l’autorité compétente. La description commerciale d’un fournisseur ne peut pas établir l’applicabilité réglementaire, approuver un périmètre ni remplacer les responsabilités de l’entité financière.

Distinguer les travaux préparatoires du test avancé

Des évaluations ciblées d’applications, d’identités ou de réseaux peuvent révéler des faiblesses à traiter avant un exercice plus vaste. Décrivez-les comme des évaluations à part entière, avec leurs propres périmètres et limites. Ne requalifiez pas une courte mission technique en TLPT au seul motif qu’elle fait référence à un acteur de la menace ou comprend un schéma d’attaque élaboré. À l’inverse, ne supposez pas qu’un exercice fondé sur les menaces teste de manière exhaustive tous les points de terminaison d’une application. Le modèle de couverture et la décision à éclairer diffèrent.

Pour une distinction détaillée, consultez le TLPT DORA comparé aux tests d’intrusion. Le guide associé sur les exigences de test fintech explique pourquoi la technologie de paiement, le périmètre des données de carte et le statut de la personne morale doivent également être distingués.

Comparer les propositions selon leurs hypothèses et leurs livrables

Demandez une situation de départ claire, un environnement de test, la justification du périmètre, un modèle d'autorisation et une liste des livrables. Pour les tests courants, demandez comment le prestataire établira des constats reproductibles et retestera les contrôles convenus. Pour le TLPT, demandez un modèle de réalisation et des responsabilités adaptés au cadre applicable et aux modalités de coordination avec les autorités. Faites apparaître les informations manquantes : la participation des fournisseurs, la cartographie des fonctions critiques et la coordination interne peuvent influer sensiblement sur les travaux.

Une comparaison des offres doit montrer ce que couvre réellement chaque proposition et ce qui en est exclu. Un nombre de jours plus élevé ou un acronyme familier ne résout pas une inadéquation. Le résultat attendu est un cahier des charges interprété de la même manière par vos responsables opérationnels, techniques et de gouvernance.

Mettez les recommandations en pratique

Utilisez la liste de préparation pour consigner les hypothèses, ou consultez le rapport fictif de Megabank AG pour des exemples d’éléments probants et de plans de traitement. Contactez Atlant Security en fournissant une description non sensible du périmètre.