DORA et les exigences des TLPT pour la résilience opérationnelle numérique

Loi de Programmation Militaire (LPM), Bâle II, le Framework Network and Information Systems (NIS) et maintenant DORA, sont des réponses règlementaires nécessaires des institutions européennes aux menaces Cyber en pleine explosion. Il est important de souligner que le règlement DORA a pour but d’unifier et d’uniformiser les efforts déjà lancés et mis en place via les exigences LPM, NIS (et sa nouvelle édition NIS 2) SAIV pour le secteur financier rassemblés dans 5 piliers. Les 5 piliers de DORA

Définir des RTS en relation avec TIBER-UE

 L’article 26.11 de DORA impose aux AES d’élaborer des RTS conformes au carde établi par le Framework TIBER-EU.  TIBER-UE, petit rappelTIBER-EU (Threat Intelligence-based Ethical Red Teaming) est un cadre européen pour les exercices de Red Team basés sur le renseignement sur les menaces. Il fournit des orientations détaillées sur la manière dont les autorités, les entités et les fournisseurs de renseignements sur les menaces (Fournisseurs CTI) et de red team doivent collaborer pour tester et améliorer la cyber-résilience des entités en menant des cyberattaques contrôlées. Les tests TIBER-UE imitent les tactiques, les techniques et les procédures d’attaquants réels, sur la base de renseignements personnalisés sur les menaces. Ils sont conçus sur mesure pour simuler une attaque contre les fonctions critiques d’une entité et ses systèmes sous-jacents, c’est-à-dire son personnel, ses processus et ses technologies. Le résultat n’est pas une réussite ou un échec, mais le test est destiné à révéler les forces et les faiblesses de l’entité testée, ce qui lui permet d’atteindre un niveau plus élevé de cybermaturité. Des retours des 5 derniers années d’application de TIBER-EU, la durée d’engagement d’un test TIBER est de 6 à 9 mois et se déroule ainsi :

• Phase de préparation – 12 semaines en moyenne
• Phase de Threath Intelligence – 4 à 6 semaines
• Phase de Red Team – 12 semaines en moyenne
• Phase de Clôture – 6 semaines

 Cependant les exigences de DORA sur les TLPT ne sont pas entièrement couverts par le Framework TIBER-EU, d’où la nécessité d’avoir des RTS dédiées définies par les AES. Aujourd’hui les différences principales entre les exigences DORA et le Framework TIBER-EU, que les RTS visent à couvrir sont :

• La mise en place par chaque état membre d’ « une autorité publique unique au sein du secteur financier chargée des questions liées aux tests de pénétration fondés sur la menace dans le secteur financier au niveau national » (article 26.9), nommé Autorité TLPT dans les RTS afin de simplifier la lecture.
  • Les RTS définissent tout de même une TLPT Cyber Team (TCT) construite sur l’idéologie de le TIBER Cyber Team, qui sera positionnée au sein de l’Autorité TLPT, afin de rester au plus proche de l’organisation de TIBER-EU.
• L’utilisation de testeurs internes (équipe Red Team interne).
• L’obligation d’une Purple Team en place (Red Team interne + Blue Team), qui n’était que fortement suggérée au niveau de TIBER-EU.

 De plus là où le cadre TIBER-EU était un référentiel de bonnes pratiques et basé sur le volontariat, DORA et les RTS des AES sont un cadre règlementaire pour le secteur financier. Et la France dans tout cela – TIBER-FRLa Banque de France et l’ACPR ont pris les devants avec la proposition de la création de TIBER-FR en 2022, déclinaison nationale de TIBER-EU comprenant les spécificités nationales françaises et l’arrivée de DORA.

•  TLPT Cyber Team (TCT), appartenant à l’autorité TLPT, elle englobe le personnel en charge de traiter toutes les questions opérationnelles liées aux TLPT.La TCT nommera un test manager qui supervisera le TLPT, et en charge de vérifier que les RTS sont bien appliquées.
• Control Team, appartenant à l’entité financière, gère les TLPT depuis la sélection des fournisseurs externes jusqu’à l’évaluation des risques, en passant par la gestion opérationnelle des activités de test au jour le jour, la gestion des risques, etc.Le Responsable de l’équipe doit disposer du mandat nécessaire au sein de l’entité financière pour guider tous les aspects du test, sans en compromettre la confidentialité imposée.
• Blue Team, composée des employés qui défendent l’entité financière contre une cybermenace simulée ou réelle sans savoir qu’ils sont testés
• Testeurs, vont déployer les scenarii d’attaques pour simuler les cybermenaces envisagées pendant le TLPT.Le concept de « testeurs » de DORA est plus large que celui des Red Teams du cadre TIBER-UE, car DORA autorise le recours à une composition de testeurs internes et externes.
• Prestataires de TI, ils imitent l’activité de collecte d’informations d’un attaquant en utilisant plusieurs sources fiables.
• TLPT Risk Management, est la notion originale des AES dans ces RTS. Prenant en compte les risques importants qu’un TLPT impose sur une entité financière, bien qu’elle soit « Cyber-Mature » et que la responsabilité de la conduite du test et de la gestion des risques qui en découlent incombe entièrement à l’entité financière qui effectue le TLPT, cette dernière doit évaluer le risque lié à la réalisation du TLPT avant son commencement et continuer à surveiller ce risque en mettant à jour son évaluation si nécessaire.

Comme expliqué tout au long de cet article, le déroulé d’un TLTP selon DORA est proche de celui défini par TIBER-EU et en France par TIBER-FR.

Au niveau du prestataire/entreprise :

• Au moins 5 références portant sur des tests de Red teaming guidés par la menace.
• Disposer des assurance(s) nécessaire(s) en vue de couvrir les activités qui n’ont pas été convenues dans le contrat de prestation et/ou qui découlent d’une faute, d’une négligence, etc.

 Au niveau du Responsable de l’équipe de RT :

• Au moins 5 ans d’expérience en Red teaming, dont 3 ans dans le secteur financier.
• Au moins 3 références de Red teaming.
• Vérification des antécédents est effectuée par le fournisseur de RT (au minimum). Des vérifications renforcées peuvent être faites à la demande de la TCT-FR.
• Doit disposer de certifications reconnues.

 Le reste de l’équipe de RT :

• Au moins 2 ans d’expérience en Red teaming.
• Équipe pluridisciplinaire avec un large éventail de compétences (métier finance, intrusion physique, ingénierie sociale, analyse de vulnérabilités etc).
• Vérification des antécédents est effectuée par le fournisseur de TI (au minimum). Des vérifications renforcées peuvent être faites à la demande de la TCT-FR.
• Disposer de certifications reconnues (non éliminatoire).