Sandbox · « Helios Asset Management SAS » chargé · 8 Md€ AUM · 32 fournisseurs ICT · score 78 %. ← landing

⌘K

Chargement…

Pilier 3 · DORA Art. 24-27 · RTS 2024/1394

Digital Operational Resilience Testing

Programme annuel de tests + TLPT (Threat-Led Penetration Testing) tous les 3 ans pour les entités significatives. Référentiel : TIBER-EU. Testeurs accrédités.

Score Pilier 3

90%

TLPT — Threat-Led Penetration Test

TLPT TIBER-FR cycle 2025

TIBER-EU · réalisé par Synacktiv (Red Team) + Sekoia (TI) · 18/03/2025

Maturité TLPT

4/5

Géré

Prochain TLPT

17/03/2028

Dans 550 jours (~ 18 mois)

Applicabilité

Obligatoire

· Gestionnaire actifs > 5 Md€ AUM

Durée TLPT

22-36 semaines

4 phases TIBER-EU

Méthodologie TIBER-EU

1. Preparation phase

4-8 sem

Scoping fonctions critiques importantes (CIF), engagement, gouvernance test, sélection providers accrédités.

Scope specificationTest management groupCyber Threat Intel provider contractRed Team provider contract

2. Threat Intelligence phase

4-6 sem

Targeted Threat Intelligence (TTI) report : scénarios d'attaque réalistes basés sur la threat landscape sectorielle.

TTI reportThreat scenarios (≥ 3)Flag definitions

3. Red Team Testing phase

10-14 sem

Exécution attaque simulée bout-en-bout (reconnaissance → initial access → lateral movement → objective). Production environment.

Red team test planLeg-up procedureAttack chain documentationFlags captured / missed

4. Closure phase

4-8 sem

Red team report, blue team report, purple team workshop, replay, remediation plan, attestation auprès de l'autorité.

Red team reportBlue team reportRemediation planAuthority attestation

Findings dernier TLPT · Remédiation 91%

critical

high

medium

low

Scénarios d'attaque secteur

Threat scenarios — Société de gestion d'actifs

Ransomware sur core systems

Vector

Phishing → C2 → ransomware deployment

Impact

Indisponibilité core + chantage rançon

Supply chain compromise

Vector

ICT provider compromise → backdoor

Impact

Accès persistant inter-organisations

Insider threat

Vector

Privilege abuse / data exfiltration

Impact

Fuite données clients

Trading desk manipulation

Vector

Compromise OMS / EMS → fake orders

Impact

Pertes financières + risque réputation

Front-running via market data

Vector

Bloomberg/Refinitiv intercept

Impact

Délit d'initié algorithmique

Historique tests (8)

Test	Type	Provider	Date	Findings	Remédiation	Coût
TLPT TIBER-FR cycle 2025 Front trading · OMS Charles River · Settlement T+1 · Custody bridge	TLPT (TIBER-EU)	Synacktiv (Red Team) + Sekoia (TI)✓ accrédité	mars 25	13118	91%	285 k€
Pentest applicatif portail investisseurs portail-clients.helios-am.fr	Pentest	Wavestone	sept. 25	02714	100%	38 k€
Scan vulnérabilités infra mensuel — Mars 2026 Infrastructure interne · DMZ	Scan vulnérabilités	Tenable + équipe SecOps interne	mars 26	0428142	72%	5 k€
Test PCA — perte data center primaire Production trading · Settlement · Reporting	Scenario BCP	Équipe interne + Mazars	mars 26	0146	60%	22 k€
Tabletop ransomware COMEX Gouvernance crise · Communication	Tabletop exercise	Equipe interne + cabinet Mandiant	avr. 26	0035	50%	15 k€
Red Team interne T1 2026 Active Directory · Privilege escalation	Red Team	Équipe Purple Team interne	févr. 26	0259	88%	—
Test régression API Bloomberg Bloomberg B-PIPE · OMS interfaces	Compatibilité	Équipe interne + Bloomberg engineers	janv. 26	0013	100%	—
Load test plateforme trading OMS Charles River · Market data	Performance	Équipe interne	avr. 26	0124	75%	8 k€