Avec l’entrée en vigueur du Digital Operational Resilience Act (DORA), qui rend obligatoires les tests d’intrusion à scénarios réels (Threat-Led Penetration Testing – TLPT) pour certaines entités financières à partir de 2025, de nombreuses banques doivent désormais aligner leurs exercices de sécurité sur les attentes réglementaires tout en intégrant des scénarios de menace réalistes.

Les articles 26 et 27 de DORA exigent une combinaison de renseignement sur la menace (Threat Intelligence) et d’exercices de type Red Team, afin de simuler des attaques authentiques et d’évaluer la résilience opérationnelle.

Une grande banque européenne a sollicité Intrinsec pour l’accompagner dans la préparation de son premier cycle TLPT, en s’appuyant sur les 30 ans d’expertise cyber d’Intrinsec, son unité dédiée de Cyber Threat Intelligence (CTI) et son équipe Red Team spécialisée.

Objectifs

Approche

1/Définition du périmètre basée sur les renseignements sur les menaces

L’équipe CTI d’Intrinsec a mené une analyse approfondie des données OSINT et internes, en se concentrant sur :

• L’identification des identifiants divulgués et des expositions de données sensibles dans les sources ouvertes et sur les marketplaces.
• La cartographie des rapports à haut risque avec des fournisseurs tiers et des applications du Shadow IT.
• Le profilage des tactiques réalistes des attaquants sur la base du framework MITRE ATT&CK et des comportements récents des acteurs malveillants spécifiques aux institutions financières.

  Cela a permis de concevoir trois scénarios TLPT crédibles reflétant des risques réels, garantissant ainsi une pertinence maximale par rapport à la réalité opérationnelle de la banque.

2/Exécution par la Red Team avec des aides

L’équipe Red Team a mené l’exercice de bout en bout, combinant ingénierie sociale, mouvements latéraux et escalades de privilèges afin d’émuler des menaces persistantes avancées (APT).

Des interventions contrôlées (leg-ups) ont été planifiées avec l’équipe de contrôle de la banque pour maintenir la continuité opérationnelle tout en validant les trajectoires d’attaque critiques.

L’équipe a opéré de manière furtive pour tester l’efficacité de détection et la réactivité du SOC (Security Operations Center).

3/Rapports collaboratifs et recommandations

Après l’exercice, Intrinsec a remis un rapport complet et pragmatique, adapté à la fois aux décideurs et aux équipes techniques, qui comprenait :

• Des descriptions des attaques liées aux actifs critiques et aux exigences de conformité de la banque.
• Une analyse des lacunes en matière de couverture de détection et de gestion des incidents.
• Des améliorations spécifiques du manuel du SOC et des recommandations tactiques pour renforcer la résilience opérationnelle.

Résultats

• • Alignement réussi du périmètre TLPT sur les exigences de DORA et les attentes des superviseurs.
  • Réponse démontrée aux demandes réglementaires de tests de résilience multi-vecteurs.
  • Amélioration tangible des processus internes, réduisant les risques liés aux fuites d’identifiants et au shadow IT.
  • Enrichissement des capacités de détection du SOC grâce à des enseignements issus d’attaques réalistes.
  • Constitution d’une base solide pour les futurs cycles de conformité DORA.
    
    

Plus d’informations

Pour les banques qui préparent leur premier TLPT ou un TLPT ultérieur dans le cadre de la directive DORA, Intrinsec propose une méthodologie éprouvée pour transformer les obligations réglementaires en améliorations opérationnelles, garantissant ainsi une résilience en matière de cybersécurité mesurable, exploitable et durable.