Renforcer la continuité des activités grâce à la loi sur la résilience opérationnelle numérique (DORA)
Si la numérisation a apporté de nombreux avantages, elle a également accru la dépendance du secteur financier vis-à-vis des technologies de l’information et de la communication (TIC), ce qui a entraîné une augmentation des risques numériques tels que les cyberattaques, les perturbations des TIC, la corruption et la perte de données. Afin de faire face aux menaces de sécurité et d’améliorer la résilience opérationnelle dans le secteur financier, l’Union européenne a ratifié la loi DORA (Digital Operational Resilience Act).
Cet article explore comment la nouvelle réglementation européenne peut aider les entités financières à améliorer la gestion des risques liés aux TIC afin de créer un écosystème financier plus sûr. Il explique également comment NAKIVO peut aider les institutions financières à se mettre en conformité avec la loi DORA.
Qu’est-ce que la loi sur la résilience opérationnelle numérique (DORA) ?
Présentation et objectif de la DORA
La loi sur la résilience opérationnelle numérique (DORA) Il s’agit du règlement européen n° 2022/2554, officiellement adopté par le Parlement européen et le Conseil de l’Union européenne en novembre 2022. Le premier projet de DORA a été proposé en 2020 dans le cadre du paquet « Finance numérique » (DFP), qui définissait la stratégie, les recommandations et la proposition législative de l’UE concernant les crypto-actifs, la blockchain et la résilience numérique pour le secteur financier.
Ce règlement vise à établir un cadre juridique harmonisé pour les établissements financiers de l’UE et leurs prestataires informatiques tiers afin de renforcer la résilience opérationnelle et la sécurité des systèmes TIC. En d’autres termes, l’un des principaux objectifs de la DORA est d’atténuer les cybermenaces, les failles de sécurité des TIC et les perturbations dans le secteur financier.
Les établissements financiers et leurs prestataires TIC tiers doivent mettre en œuvre le cadre DORA et les normes techniques d’ici le 17 janvier 2025.
Organismes de régulation chargés de l’application de la DORA
Bien que l’UE ait officiellement adopté la DORA en 2022, les autorités de surveillance de l’UE (ESA) continuent d’élaborer les normes techniques de réglementation (RTS) prévues par la loi. Trois AES – l’Autorité bancaire européenne (ABE), l’Autorité européenne des assurances et des pensions professionnelles (AEAPP) et l’Autorité européenne des marchés financiers (AEMF) – ont publié une version en janvier 2024 et devraient finaliser les RTS d’ici la fin de l’année. Après que les AES auront soumis les RTS définitifs à la Commission européenne, ces normes seront ratifiées par le Parlement et le Conseil.
La mise en œuvre des RTS et le contrôle de leur respect relèvent des autorités nationales compétentes respectives, dont la désignation n’est pas encore finalisée. La mise en œuvre débutera une fois que les autorités auront été désignées et que l’échéance de janvier 2025 sera passée.
Exigences clés de la loi DORA
Le règlement DORA définit des conditions à remplir pour le réseau et les systèmes TIC des établissements financiers et de leurs prestataires tiers. Ces conditions couvrent quatre aspects majeurs de la sécurité des TIC :
- Gestion des risques liés aux TIC (chapitre II). Mise en avant de la responsabilité de la gestion en cas de perturbations informatiques et mise en place d’un cadre commun pour la détection, l’identification, la gestion et l’atténuation des menaces informatiques.
- Gestion, classification et signalement des incidents informatiques (chapitre III). Harmonisation des obligations de signalement des incidents liés aux TIC et élargissement du champ des incidents à signaler aux autorités.
- Tests de résilience opérationnelle numérique (chapitre IV). Obligation de réaliser, au moins chaque trois ans, des tests de résilience fondés sur les risques pour les systèmes TIC critiques, comprenant des tests d’intrusion avancés axés sur les menaces (TLPT).
- Gestion des risques liés aux tiers dans le domaine des TIC (chapitre V). Exiger des établissements financiers qu’ils établissent des règles de surveillance des risques pour leurs prestataires tiers, y compris des clauses relatives aux risques dans leurs contrats, et imposer des sanctions en cas de non-respect.
- Partage d’informations (chapitre VI). Mise en place de mécanismes de partage d’informations permettant aux entités financières d’échanger leurs informations et renseignements sur les cybermenaces afin de sensibiliser aux nouvelles menaces et de partager des stratégies de partage des risques.
Qui doit se conformer à la loi sur la résilience opérationnelle numérique (DORA) ?
Organisations visées par la DORA
Les établissements financiers et les entités dont les activités sont essentielles à l’infrastructure du secteur financier relèvent du champ d’application de la DORA :
- Établissements de crédit et de paiement
- Établissements de monnaie électronique
- Prestataires de services liés aux crypto-actifs
- Entreprises d’investissement et gestionnaires de fonds d’investissement alternatifs
- Compagnies d’assurance et de réassurance et intermédiaires
- Places de négociation et référentiels centraux
- Fonds de pension
- Dépositaires centraux de titres, contreparties centrales et référentiels de titrisation
- Prestataires de services, y compris des services tels que l’information sur les comptes, la déclaration de données, la gestion, financement participatif
- Agences de notation de crédit
- Administrateurs d’indices de référence critiques
- Prestataires de services TIC tiers, y compris les fournisseurs de cloud
Risques liés au non-respect de la DORA
La DORA autorise les États membres à décider de sanctions administratives ou de mesures correctives en cas de non-respect. La loi permet également aux États membres d’appliquer des sanctions pénales pour les infractions relevant du droit pénal national.
Ainsi, la DORA définit des mesures minimales que les États membres peuvent mettre en œuvre pour garantir la mise en œuvre effective de ses lignes directrices, notamment la publication d’avis publics et, dans certains cas, des demandes de cessation, temporaire ou définitive, de toute activité non conforme. Le règlement DORA habilite également les AES à désigner les prestataires de services tiers dans le domaine des technologies de l’information et de la communication (TIC) jugés essentiels pour le secteur financier, et à nommer un superviseur principal pour chaque prestataire essentiel. Les superviseurs principaux disposent des mêmes pouvoirs que les autorités compétentes et peuvent exiger des mesures correctives et des sanctions de la part des prestataires TIC non conformes. Le règlement DORA autorise les superviseurs principaux à infliger des amendes pouvant atteindre 1 % du chiffre d’affaires quotidien moyen mondial du prestataire TIC au cours de l’année précédente. Cette amende peut être infligée quotidiennement pendant une durée maximale de six mois ou jusqu’à ce que la conformité soit rétablie.
Impact du règlement DORA sur les entités financières et les prestataires tiers
Même si les normes proprement dites n’ont pas encore été finalisées, le règlement DORA définit des conditions à remplir et des recommandations sur la manière dont le secteur financier devrait normaliser ses pratiques de gestion des TIC et ses mesures de sécurité.
Si vous êtes un prestataire TIC tiers, tel qu’un fournisseur de cloud, votre première démarche doit consister à déterminer si vous êtes considéré comme « critique » au sens de l’article 31 (section II). Les fournisseurs critiques relèvent de la réglementation de la DORA au même titre que les autres entités financières.
La DORA impose aux établissements financiers d’évaluer le risque lié aux fournisseurs tiers et de définir les modalités de gestion des incidents dans les contrats de service. Ainsi, en tant que fournisseur non critique travaillant avec des établissements financiers, vous serez tenu d’atténuer les risques susceptibles d’avoir un impact sur ces derniers.
Adaptations opérationnelles requises par la DORA
La DORA met l’accent sur la responsabilité de la gestion en cas de perturbations informatiques et exige des établissements financiers qu’ils élaborent et maintiennent un cadre complet visant à atténuer les risques informatiques. Ce cadre doit inclure les éléments suivants :
- Des rôles et responsabilités clairement définis pour la gestion et le personnel concerné
- Une évaluation régulière des risques informatiques afin d’identifier et de réaliser la surveillance des risques au sein des systèmes, processus et actifs
- Une surveillance continue des systèmes TIC afin de détecter les menaces potentielles
- Des procédures structurées et détaillées pour prévenir, gérer et répondre aux incidents liés aux TIC, y compris des plans d’intervention en cas d’incident et de continuité des activités
- Une mise à jour et une amélioration continues des pratiques et des mesures sur la base de l’analyse des incidents
- Des protocoles de communication en cas d’incident à l’intention des clients et des autres parties prenantes, tant externes qu’internes, afin de garantir la transparence et la confiance en cas de perturbations des TIC
- Des protocoles clairs pour signaler les incidents aux autorités de régulation et aux autres entités concernées en fonction de la gravité de l’incident
Renforcement des pratiques de gestion des risques
Outre la surveillance continue des risques liés aux TIC, la DORA impose des tests réguliers des systèmes et des actifs afin d’évaluer leur exposition aux risques liés aux TIC. Les établissements financiers deviennent responsables des risques associés aux prestataires de services TIC tiers et doivent prendre des mesures à l’encontre des prestataires non conformes. Plus précisément, la DORA exige des entités financières qu’elles intègrent des dispositions relatives à la gestion des risques liés aux TIC dans leurs contrats avec les prestataires avec lesquels elles travaillent.
La loi souligne l’importance des stratégies de prévention, qui comprennent le test des mesures de résilience et de sécurité existantes afin d’identifier les vulnérabilités des systèmes et des protocoles, ainsi que l’analyse et le compte rendu post-incident. La DORA encourage également l’apprentissage à l’échelle du secteur et l’organisation d’événements au cours desquels les établissements financiers peuvent partager leur expérience et leurs connaissances.
Normes renforcées en matière de cybersécurité et de protection des données
La DORA reconnaît que la cybersécurité et la protection des données sont les principaux facteurs affectant la résilience opérationnelle d’une organisation et exige des entités financières qu’elles :
- mettre en œuvre des mesures de sécurité telles que des contrôles d’accès et le chiffrement
- élaborer des plans de continuité des activités et de reprise après sinistre
- utiliser des outils permettant une surveillance continue des menaces informatiques et la détection en temps réel des logiciels malveillants
- veiller à ce que les mises à jour du logiciel et du matériel soient effectuées en temps opportun afin d’atténuer les vulnérabilités
- réaliser régulièrement des évaluations de vulnérabilité comprenant des tests d’intrusion et des tests basés sur des scénarios
Pour les environnements critiques et les domaines à haut risque, les entités sont tenues d’exécuter périodiquement des tests avancés, tels que des tests de type « red team », et peuvent même être tenues de participer à des exercices de test à l’échelle du secteur.
- signaler rapidement les incidents aux parties prenantes et aux autorités à des fins de transparence lors des incidents et pour permettre à d’autres organisations d’en tirer des enseignements
Avis d’experts sur la loi sur la résilience opérationnelle numérique (DORA)
Perspectives des professionnels de la cybersécurité
« La DORA impose aux institutions financières d’élaborer une politique de sécurité des données appropriée et de mettre en place un réseau robuste fondé sur une approche basée sur les risques. Les pratiques spécifiées par la loi DORA sont-elles nouvelles pour le secteur ? Non, elles existent depuis des décennies. Cependant, malgré le risque sans cesse croissant de cyberattaques telles que le ransomware, certaines organisations n’ont pas encore mis en œuvre, ou n’ont mis en œuvre que partiellement, les mesures de sécurité les plus élémentaires », explique Sergei Serdyuk, vice-président chez NAKIVO.
Perspectives d’avenir pour la réglementation DORA
« La réglementation DORA ouvre la voie à un renforcement de la cybersécurité dans le secteur financier. Et, espérons-le, avec le temps, cette réglementation s’étendra également à d’autres secteurs. Avec la numérisation mondiale et les progrès de l’intelligence artificielle, de plus en plus de secteurs et d’organisations sont désormais exposés à des risques de cybersécurité. Dans de nombreux cas, cela ne se traduit pas par une perte individuelle pour une organisation, qu’elle soit financière ou en termes de réputation, mais par un risque accru de perturbations sectorielles et intersectorielles en raison des interdépendances entre les organisations. » —Sergei Serdyuk, vice-président chez NAKIVO.
Mesures pour garantir la conformité à la DORA avec NAKIVO
La DORA accorde une attention particulière aux procédures de sauvegarde et de réplication (articles 11-12), car celles-ci ont une incidence directe sur la disponibilité et la continuité des services de l’entreprise, ainsi que sur la sécurité des données. La DORA oblige les entités à garantir la sécurité des transferts de données et à minimiser les risques de corruption et de perte de données, ainsi que les mauvaises pratiques de gestion des données et les erreurs humaines.
NAKIVO Backup & Replication est une solution complète de protection des données qui vous permet de sauvergarder, de répliquer, de configurer et d’automatiser les workflows de reprise après sinistre, ainsi que de surveiller les Workloads à partir d’une interface web unique.
La solution prend en charge les environnements virtuels, cloud, physiques, NAS, Saas et hybrides, ce qui la rend particulièrement adaptée pour aider les entités financières de toutes tailles à garantir une protection des données de premier ordre. La solution s’intègre de manière transparente à différents types de stockage, notamment aux appliances de déduplication et aux appliances NAS, aux clouds publics, aux plateformes cloud compatibles S3 et aux bandes magnétiques, afin de garantir le niveau de flexibilité requis pour répondre aux différents besoins métier et de conformité.
Réalisation d’une évaluation initiale de conformité
Effectuez une analyse des écarts afin d’identifier les domaines dans lesquels des améliorations pourraient être nécessaires pour se conformer à la réglementation DORA. Concentrez-vous sur les 4 domaines clés mentionnés ci-dessus :
- Gestion des risques informatiques
- Gestion, classification et signalement des incidents informatiques
- Tests de résilience opérationnelle numérique
- Gestion des risques liés aux tiers dans le domaine informatique
Élaboration d’une stratégie de conformité à la réglementation DORA
Lors de l’élaboration d’une stratégie de conformité à la réglementation DORA, il convient de définir une feuille de route annuelle comprenant des étapes, des objectifs et des priorités précis. La stratégie variera en fonction de la complexité de l’infrastructure informatique de l’organisation et de son niveau actuel de résilience face aux menaces numériques. La directive DORA impose aux organismes financiers de disposer de plans de continuité d’activité, de plans d’intervention et de récupération des systèmes d’information adaptés, et de procéder à une analyse d’impact sur l’activité (BIA) de leur exposition à des perturbations graves.
La directive DORA exige également que les organismes disposent d’au moins un site secondaire distant (site de reprise après sinistre) afin de garantir la continuité des opérations critiques en cas d’indisponibilité du site principal. Afin de minimiser les temps d’arrêt et de limiter les perturbations ou les pertes, un organisme doit élaborer une plan de reprise après sinistre comprenant les éléments suivants :
- Le périmètre de la sauvegarde et de la reprise après sinistre en fonction de l’importance des composants logiciels et matériels ainsi que des données stockées ;
- Les dépendances entre les composants informatiques et l’ordre de reprise des machines virtuelles ;
- Objectifs de récupération (délai de reprise et point de récupération) pour chaque fonction en fonction de son importance et de son impact global sur les opérations métier (cela implique également de disposer d’un schéma de rotation des points de récupération basé sur la fréquence des mises à jour des données et leur importance) ;
- Les rôles et responsabilités attribués au personnel ;
- Spécifications matérielles définies pour un site de reprise après sinistre (DR) secondaire afin de garantir une puissance de processeur, une mémoire, une capacité de stockage et une bande passante réseau suffisantes pour une transition en douceur.
Conformité à la DORA avec NAKIVO
Les fonctionnalités avancées de la solution NAKIVO peuvent vous aider à réduire au minimum les efforts de mise en conformité avec la DORA et à automatiser la plupart des processus liés à la cybersécurité. Pour vous aider à mieux appréhender tous les cas d’utilisation, nous illustrons ici comment vous pouvez répondre à des exigences de sécurité spécifiques de la DORA par l’utilisation de la solution NAKIVO :
- Résilience des données (article 9). La solution NAKIVO vous permet de respecter facilement la règle de sauvegarde « 3-2-1 » pour une meilleure résilience des données. Selon cette règle, vous devez stocker au moins 3 copies de vos données de sauvegarde dans 3 emplacements différents ; 2 copies doivent être hors site et 1 dans le cloud.
- Intégrité des données (article 12). Grâce aux sauvegardes cohérentes avec les applications et aux réplicas, vous avez l’assurance que les données des applications restent cohérentes, même lorsque la sauvegarde est effectuée pendant que l’application est en cours d’exécution. La solution prend également en charge les sauvegardes de bases de données Oracle, d’applications Microsoft telles qu’Active Directory et Exchange Server, ainsi que des applications et services Microsoft 365 (Teams, Exchange Online, SharePoint Online, OneDrive for Business).
- Résilience face au ransomware et à d’autres cybermenaces (article 9). La solution NAKIVO vous permet de créer des sauvegardes immuables en local, dans le cloud ou sur des appliances HYDRAstor afin de garantir que personne ne puisse modifier ou supprimer vos données. Vous pouvez également tirer parti de la protection « isolation physique » en transférant vos copies de sauvegarde sur bande ou tout autre support détaché auquel les cybercriminels ne peuvent pas accéder via le réseau. La solution vous permet également d’analyser les sauvegardes à la recherche de logiciels malveillants avant leur restauration, afin d’avoir l’assurance que les données sauvegardées ne sont pas infectées.
- Chiffrement de bout en bout (article 9). Avec la solution NAKIVO, vous pouvez chiffrer les données de sauvegarde avant qu’elles ne quittent la machine source, ainsi que le réseau et les référentiels de sauvegarde, afin de garantir la sécurité de vos données tant en transit qu’au repos.
- Prévention des accès non autorisés et mécanismes d’authentification forte (article 9). Vous pouvez protéger l’ensemble des sauvegardes et des workflows de protection des données grâce à un contrôle d’accès basé sur les rôles et à une authentification multifactorielle.
- Surveillance des menaces en temps réel (article 10). Le meilleur moyen d’assurer la détection en temps réel des anomalies consiste à utiliser un logiciel anti-malware complet. Cependant, la solution de NAKIVO dispose de fonctionnalités qui peuvent vous aider à améliorer la surveillance des menaces. Par exemple, grâce à l’ Fonctionnalité de surveillance informatique pour VMware, vous pouvez détecter les problèmes et les activités suspectes avant qu’ils ne deviennent un problème plus grave. Cette fonctionnalité permet une surveillance en temps réel de tous les indicateurs de performances, notamment l’utilisation du processeur, de la mémoire vive et du disque, afin que vous puissiez repérer rapidement toute consommation inhabituelle.
- Résilience opérationnelle face aux risques informatiques et temps d’arrêt minimaux en cas de perturbations (articles 11-12). La fonctionnalité avancée Reprise après sinistre de NAKIVO vous permet de automatiser et tester les processus de reprise après sinistre du site. Vous pouvez configurer des séquences automatisées et les déclencher en un seul clic en cas de sinistre pour basculer instantanément vers des réplicas situées sur un site secondaire.
- Tests réguliers des workflows et protocoles de reprise après sinistre (article 12). Pour garantir une récupération sans heurts et la réalisation des objectifs en cas de sinistre, vous pouvez planifier des tests réguliers des workflows de basculement et de restauration automatique en mode test, sans perturber vos activités de production. Ces tests vous permettent de vérifier la séquence des actions et de contrôler la connectivité réseau.
Résumé
La loi sur la résilience opérationnelle numérique (Digital Operational Resilience Act) constitue un bond en avant stratégique vers un secteur financier plus résilient et des opérations financières plus sécurisées. En imposant la mise en œuvre des bonnes pratiques en matière de cybersécurité et en favorisant la formation et la sensibilisation, cette loi aide les établissements financiers à faire face aux menaces actuelles et aux défis futurs, tout en servant de référence pour d’autres secteurs.
Intégrez NAKIVO à votre parcours vers un système TIC plus résilient.
