TLPT : Threat-Led Penetration Testing
Sécurité
TLPT : Threat-Led Penetration Testing, test de pénétration fondé sur la menace. « Une attaque simulée qui imite un adversaire réel, sur les systèmes réels, pour voir si l'organisation détecte et réagit, pas seulement si une faille existe », par analogie avec l'exercice incendie mené sans prévenir, où l'on mesure qui sort, par où et en combien de temps, plutôt que de compter les extincteurs, activité certes plus reposante.
Ce qui le distingue d'un test d'intrusion : Un test d'intrusion classique cherche des vulnérabilités dans un périmètre technique défini. Un TLPT part du renseignement sur la menace : quels groupes visent ce type d'organisation, avec quelles méthodes. Une équipe rouge rejoue ces scénarios de bout en bout sur la production, et l'équipe de défense n'est généralement pas prévenue, pour mesurer la détection et la réponse réelles.
Dans DORA : Le règlement DORA impose un TLPT au moins tous les trois ans aux entités financières désignées par l'autorité compétente. Le test porte sur les fonctions critiques ou importantes, sur les systèmes de production, et son périmètre comme ses résultats sont validés par l'autorité. Les modalités précises relèvent des normes techniques qui complètent le règlement.
TIBER-EU : Le cadre européen TIBER-EU (Threat Intelligence-Based Ethical Red Teaming), publié par la Banque centrale européenne, sert de référence méthodologique : phase de renseignement sur la menace, phase d'équipe rouge, puis restitution et plan de remédiation.
Ce qu'on en retire : Moins une liste de failles qu'une mesure du temps de détection, de la qualité de l'escalade et de la capacité à contenir. Un TLPT dont personne n'a vu passer l'attaquant n'est pas un échec du test : c'est son résultat le plus utile.
Ce qui arrive si on s'en passe
Sans test fondé sur la menace, une organisation mesure sa sécurité à ce qu'elle a déployé plutôt qu'à ce qu'elle détecte : les outils de surveillance sont en place, mais personne ne sait s'ils verraient un attaquant qui procède lentement, avec des identifiants valides, par les chemins qu'emploient réellement les groupes qui ciblent son secteur. Les failles d'escalade, de journalisation ou de coordination entre équipes restent invisibles jusqu'à la première vraie intrusion, qui fait alors office de test : un test sans restitution ni plan de remédiation, mené par un prestataire qui ne rend pas de rapport et ne rend pas davantage les données.
Explication de la marmotte
Pour savoir si une banque est vraiment protégée, on engage des spécialistes chargés de l'attaquer comme le feraient de vrais pirates, avec leurs méthodes connues, sur les vrais ordinateurs de la banque. Les équipes qui surveillent la sécurité ne sont souvent pas prévenues. À la fin, on regarde si l'attaque a été repérée, au bout de combien de temps, et si les bonnes personnes ont réagi. Le résultat sert à corriger ce qui a laissé passer les attaquants. En Europe, les grandes entreprises de la finance doivent faire ce genre d'exercice au moins tous les trois ans.
Où ce terme est utilisé
- DORA et résilience opérationnelle numérique financière (2 occurrences)
- Test d'intrusion : commander, cadrer et exploiter un pentest (2 occurrences)