Tests de pénétration fondés sur la menace

Un test d'intrusion classique vise un périmètre annoncé, dans une fenêtre convenue, contre des systèmes de recette. Le test fondé sur la menace en diffère sur trois points qui changent sa valeur probante. Il part d'un renseignement sur les menaces qui reconstitue les modes opératoires des groupes susceptibles de viser réellement l'entité, et rejoue ces modes opératoires plutôt qu'une liste générique de vulnérabilités. Il s'exécute sur les systèmes de production, donc sur l'environnement qui porte les données et les clients. Et il se déroule à l'insu des équipes de défense, qui ne savent pas qu'un exercice a lieu, de sorte que ce qui est mesuré n'est pas la surface d'attaque mais la capacité réelle de détection et de réaction. DORA le rend obligatoire pour les entités désignées comme significatives, à une fréquence d'au moins un exercice tous les trois ans, avec des exigences sur l'indépendance des testeurs et une reconnaissance mutuelle des résultats entre superviseurs européens. Le cadre s'appuie sur la méthodologie TIBER-EU publiée par la Banque centrale européenne en 2018, qu'il rend contraignante.