L’Operational Resilience Maturity Assessment Framework est un outil qui permet de mesurer la résilience opérationnelle d’une organisation.

Qu’est-ce que c’est la résilience opérationnelle ?

La résilience opérationnelle est une discipline encore jeune et de plus en plus inévitable pour les organisations, notamment pour le secteur financier. On peut citer le Royaume Uni qui est pionnier sur le sujet, avec l’entrée en vigueur d’un Operational Resilience Framework en mars 2022, imposé par la Bank of England, la Prudential Regulation Authority (PRA) et la Financial Conduct Authority (FCA) et l’Union Européenne, qui suit, avec la réglementation Digital Operational Resilience Act (DORA). Les autorités sont en effet parties du principe que de nombreux événements pouvaient perturber les activités des banques (et plus largement des organisations).

La résilience opérationnelle prend donc en compte différentes sources de menaces : menaces venant d’un tiers (un partenaire, un fournisseur ou un prestataire), pandémie, panne d’électricité, incendie pour ne citer qu’eux. D’un point de vue organisationnel, la résilience est très souvent un programme piloté par un Head of OpRes, la DSI ou la division risques, et moins souvent par un RSSI.

Pourquoi avoir créé l’Operational Resilience Maturity Assessment Framework accélérateur ? Quel problème cela résout chez les clients ?

Sous la pression des régulateurs, nos clients ont dû mesurer leur niveau de résilience. La compliance est un bon point de départ mais elle ne va pas assez loin ! L’idée de notre Operational Resilience Maturity Assessment Framework, c’est d’avoir un outil qui englobe à la fois ces nouvelles directives et aussi les meilleures pratiques observées sur le terrain. L’outil est utile car il :

• Permet de mesurer la maturité d’une organisation sur les méthodologies et processus en place pour appréhender la résilience opérationnelle
• Rend compte des capacités réelles de résilience à un instant T, en analysant les outils et les capacités en place
• Facilite la formalisation d’un plan de réduction des risques et de pilotage
• Intègre toute l’expérience terrain de Wavestone en matière de résilience de tous nos bureaux ! Outre-Manche notamment, plus avancé que les pays de l’Union européenne, on travaille sur des missions de résilience depuis plus de 3 ans.

Concrètement, l’Operational Resilience Maturity Assessment Framework centralise dans un Excel l’ensemble des dimensions à prendre en compte pour être résilient et monter en maturité. En tout, on a identifié 90 questions, classées en 12 grands sujets que couvrent la résilience.  Le questionnaire peut être déroulé comme tel afin d’évaluer la résilience opérationnelle d’un client. Mais il peut aussi être utilisé comme trame pour construire son propre département de résilience et comme un vecteur d’identification de projets, sans pour autant procéder à une évaluation. Comme base pour une évaluation sur-mesure et conforme aux standards du client.

Aussi, à mesure que le paysage réglementaire se développe, les entreprises doivent pouvoir mettre en place ou renforcer leurs forces de veille pour rester en avance sur les régulateurs et la concurrence. Par conséquent, en complément de notre outil d’évaluation de la maturité de résilience, nous avons développé le « Radar réglementaire de la résilience opérationnelle » qui cartographie les réglementations à travers le monde selon les mêmes thèmes. Mis à jour tous les trimestres, il offre une vue d’ensemble des évolutions réglementaires sur la résilience opérationnelle et permet à l’utilisateur de les comparer par géographie et par sujet.

Peux-tu nous parler de la dernière fois que tu l’as utilisé (exemple concret) ?

En fait, l’élément déclencheur de la création de notre outil a été la réalisation d’une mission pour un grand acteur du secteur bancaire ! Pendant cette première mission, on a pu définir quatre niveaux de résilience : 1 : « insuffisant », 2 : « compliant », 3 : « bon niveau » et 4 : « leader ».

Récemment on a décroché une deuxième mission qui nous permet de peaufiner les questions, pour qu’elles soient plus précises et exhaustives. On a également retravaillé notre liste de preuves qui sert à justifier un positionnement sur tel ou tel niveau de maturité et on a ajouté un 5^e niveau, « le pionner ».

Pour l’instant le benchmark de la maturité en matière de résilience se concentre sur les banques qui est un secteur plus mature compte tenu de leurs contraintes réglementaires et de la sensibilité des données qu’il traite. Pour une organisation d’un autre secteur, il faudra adapter les niveaux pour s’aligner sur la maturité globale du marché.

Un mot pour la fin ?

On pense qu’on pourra aller encore plus loin dans l’évaluation de la résilience dans quelques années. Plus on aura de retour du terrain, plus on pourra être précis dans les conditions requises pour atteindre un niveau. Par exemple, un acteur sera jugé mature s’il a la capacité de reconstruire son AD en 3h. Comme sur le CyberBenchmark. La prochaine étape serait donc de définir des indicateurs quantitatifs et/ou qualitatifs… Et la seule manière d’y arriver c’est de continuer à confronter le framework à la réalité !

Si tout est améliorable, on est super fières de cet outil qui a été co-construit avec nos clients et nos experts et qui a déjà fait ses preuves.

Cet article [INTERVIEW] Résilience opérationnelle, savoir rebondir après une cyberattaque est apparu en premier sur RiskInsight.

L’Union Européenne a publié le règlement « Digital Operational Resilience Act », ou « DORA », le 27 décembre 2022, qui est entré en vigueur le 16 janvier 2023. Il fixe de nouvelles règles pour les entités financières et leurs prestataires de services TIC en termes de résilience des TIC.
La conformité au texte sera obligatoire à partir du 17 janvier 2025.

DORA vise à simplifier et à améliorer la résilience des organisations des services financiers en établissant un cadre réglementaire et un cadre de supervision robustes. Comme nous l’avons déjà expliqué en détails dans notre article « Décryptage de DORA : qu’est-ce que cela signifie pour la résilience des organisations financières ? », la réglementation introduit des exigences à travers cinq piliers :

• Gestion du risque lié aux TIC
• Gestion, classification et notification des incidents liés aux TIC
• Tests de résilience opérationnelle numérique
• Gestion des risques liés aux prestataires tiers de services TIC
• Dispositifs de partage d’informations (facultatif)

Principaux sujets et articles DORA s’appliquant aux entités financières(références des articles entre parenthèses)

En analysant le contenu du règlement et en tenant compte de la maturité actuelle du secteur financier, la complexité diffère largement en fonction du sujet abordé. Dans la mesure où l’adoption de framework de gestion des risques TIC constitue déjà une bonne pratique largement répandue dans le secteur financier, l’effort portera principalement sur une mise en cohérence de l’existant au sein de l’organisation. De même, les processus et outils de gestion des incidents liés aux TIC ont déjà eu à intégrer des contraintes réglementaires de classification et de notification. Par conséquent, l’intégration des exigences de DORA ne devrait pas présenter de difficultés majeures.

Néanmoins, le respect des exigences de mise en conformité aura toujours ses défis… et ses opportunités !

Un règlement ambitieux qui pointe des fragilités connues

Pour de nombreuses organisations, le premier défi consistera à embarquer le top management dans l’initiative. Comme DORA les désigne comme responsables du suivi, de l’approbation, de la révision et de fixer le cap en termes de résilience opérationnelle, leur implication est essentielle à la réussite d’un éventuel programme. Les embarquer dès les prémices permettra de gagner un temps précieux dans l’identification et la validation des fonctions critiques, de prioriser les principaux scénarios de menace et de donner le rythme sur le sujet. En contrepartie, cela demandera aux équipes en charge de réfléchir soigneusement aux indicateurs de performance (KPI) et aux indicateurs de risque (KRI) appropriés et compréhensibles qui permettront de rendre compte du niveau de résilience opérationnelle de l’organisation. Autant que possible, donnez-leur rapidement un aperçu du contenu de la réglementation et de leur rôle dans ce cadre !

Le deuxième défi sera de passer un cap en termes de gestion des risques liés aux tiers. Les grandes organisations ont souvent des centaines, voire des milliers de parties prenantes, ce qui implique un tri fastidieux pour se concentrer sur les plus critiques. La gestion du risque de résilience opérationnelle des tiers repose aujourd’hui principalement sur l’intégration d’étapes dans les processus d’achat et, finalement, sur l’inclusion de clauses spécifiques dans les contrats. DORA demande beaucoup plus sur le sujet, la responsabilité incombant aux services financiers de s’assurer de la conformité des tiers à ces exigences. Elle exige également de travailler sur des stratégies de sortie potentielles et des tests conjoints. Cette ambition pourrait impacter la manière même de travailler avec ses fournisseurs à l’avenir et devrait être anticipée par les tiers concernés qui vont devoir être en mesure de fournir des preuves de leur bonne gestion du risque de résilience opérationnelle.

Enfin, les tests sont un point crucial et un challenge au sein de DORA. Les organisations devront structurer et tester régulièrement leur résilience pour évaluer en permanence leurs risques et la pertinence de leur stratégie de résilience. Cela nécessite d’acquérir une vision stratégique du sujet qui préexiste rarement dans la mesure où les tests sont souvent gérés en silos (tests de vulnérabilité, tests de pénétration, tests de continuité d’activité…). L’approche adoptée devra également garantir la bonne couverture des fonctions critiques de l’organisation au fil des ans. Les organisations devront par ailleurs mener des tests de pénétration fondés sur la menace et effectués sur des systèmes en environnement de production en direct au moins tous les trois ans, en incluant éventuellement des prestataires de services TIC.

Relever ces défis ne sera pas de tout repos. C’est pourquoi il est essentiel d’enclencher les travaux dès maintenant, car ils exigeront de véritables changements pour les organisations concernées. De toute évidence, une analyse d’écarts aux exigences réglementaires détaillée est un bon point de départ.

La résilience d’abord, la conformité ensuite ?

Il est clair qu’une réglementation telle que la DORA offre des opportunités à ceux qui tenteront de voir au-delà des contraintes de conformité.

En premier lieu, le règlement introduit une approche holistique de la gestion des risques liés aux TIC qui pourrait apporter plus de cohérence au sein des organisations. Cela pourrait constituer une première étape dans la mise en place d’un cadre unifié de gestion des risques liés aux TIC, permettant une meilleure évaluation des risques et simplifiant le reporting à la direction générale. Cela pourrait également lancer l’idée d’une gouvernance convergée sur la gestion des risques liés aux TIC regroupant la cybersécurité, la continuité des activités et la continuité des services informatiques. 

Ensuite et surtout, c’est une occasion unique de travailler sur votre niveau réel de résilience en vous posant des questions complexes. Si vous deviez faire face à une situation demain où vous êtes dépourvu de votre SI, votre organisation survivrait-elle ? Vos capacités existantes couvriraient-elles pleinement les besoins qu’une telle situation demande ? Et êtes-vous sûr que votre solution de résilience fonctionnera le jour J ?

Cet article DORA : challenges et opportunités est apparu en premier sur RiskInsight.

Les tableaux de bord et KPIs qui véhiculent des messages concrets et appellent à l’action sont souvent le moteur du succès des initiatives de résilience opérationnelle.

La résilience opérationnelle rassemble des disciplines auparavant gérées en silos : continuité d’activité et reprise métier et IT, gestion d’incident et de crise (IT, métier et cyber), cyberdéfense, gestion des tiers, gestion des risques opérationnels. Un pilotage efficace de la résilience opérationnelle nécessite une analyse des données relatives à tous ces sujets afin de produire une vision réaliste de la résilience globale de l’entreprise, et notamment de ses services critiques. Ceci nécessite une cartographie complète des services critiques et de leurs dépendances (processus métiers, applications, fournisseurs, équipes, bâtiments…) et une analyse continue de la résilience des dépendances.

Pour parvenir à cet objectif, un enjeu majeur est lié à l’outillage et l’automatisation. Nous voyons apparaître sur le marché des solutions complètes de « Gestion de la Résilience Opérationnelle » chez des éditeurs spécialisés comme Fusion Risk Management, Castellan ou non spécialisés, comme ServiceNow.

Quels sont les défis à relever dans ce domaine ?

Selon la maturité de l’entreprise, chaque étape du projet peut poser des défis particuliers.

Défi n°1 : le modèle de données

Le modèle de données de la cartographie de résilience opérationnelle doit être créé en tenant compte des services métiers critiques et de leurs dépendances. Idéalement, les organisations réutilisent les inventaires existants (par exemple : CMDB, inventaires des fournisseurs, BIA, systèmes RH, etc.) et organisent des ateliers pour tirer parti des connaissances des représentants métier et des experts IT, des fournisseurs, etc. Le défi découle de la nécessité de rationaliser tous les éléments dans un format permettant l’analyse des données. Cela signifie que même si l’on débute avec Excel, il est important de définir des règles précises (référencement commun, une information par ligne, etc.).

Défi n° 2 : identifier les lacunes

Une fois cette cartographie effectuée, les organisations doivent identifier les menaces existant sur l’ensemble de la chaîne, ainsi que les compétences de résilience dont l’entreprise dispose déjà pour atténuer le danger lié à ces menaces. Ces compétences peuvent être spécifiques à un élément de la chaîne ou bien générales. Ceci permet aux organisations de créer des indicateurs qui lui permettront d’identifier ses lacunes en termes de résilience. Deux sortes de lacunes peuvent être identifiées :

1. Une dépendance n’a pas de contingence adéquate

Ceci peut être identifié lors de l’analyse initiale, grâce à des contrôles en place, ou lors de tests.

Exemple : une personne veut retirer des espèces. En temps normal, il a accès à ce service via un distributeur automatique de billet. Plusieurs éléments sont nécessaires au bon fonctionnement du service « normal » :

• Le distributeur physique en lui-même
• Le système d’authentification des clients via leur carte bancaire
• Le logiciel de gestion des comptes client fourni par un tiers permettant la vérification du solde

Ce service peut être affecté par les menaces suivantes :

• Perte informatique majeure (causée ou non par une attaque cyber)
• Perte du fournisseur de logiciel
• Sinistre bâtiment affectant le distributeur physique

Considérant que la période avant que l’impossibilité de retirer de l’argent ne devienne une source intolérable de préjudice pour le client (c’est-à-dire la tolérance à l’impact) est de 4 heures, la banque doit se poser les questions suivantes pour identifier les lacunes en matière de résilience :

• RTO (Recovery Time Objective) : En cas de perte informatique, le distributeur et le système d’authentification peuvent-il être remis en marche en moins de 4 heures selon leur RTO ? Un test a-t-il été réalisé ?
• Plan de réversibilité : En cas de panne majeure ou banqueroute du fournisseur de logiciel de gestion des comptes, a-t-on un fournisseur alternatif prêt à délivrer le service sans dépasser cette période de 4h ? Dans le cas contraire, dispose-t-on d’un plan permettant de délivrer ces activités avec des capacités internes ?
• Contingences : Existe-t-il un processus dégradé permettant de distribuer des espèces en agence par exemple, afin de remplacer un distributeur défectueux ? Quelles sont les dépendances de ce processus ? Peut-il être réalisé sans système informatique ?

Une fois ces lacunes identifiées, des scores de résilience pour les différents composants peuvent être calculés.

2. L’absence d’une compétence clé de résilience

Un certain nombre de compétences clés dans les différents domaines de résilience (continuité d’activité métier et IT, gestion des tiers, cyberdéfense, reconstruction informatique, gestion de crise) doivent être en place dans l’organisation. Wavestone a identifié une liste de 50 compétences clés génériques, liées aux menaces les plus communes, et déploie ce modèle chez nos clients pour mesurer leur niveau de maturité global.

Les compétences clés peuvent être par exemple :

• Gestion de crise : canal de communication alternatif
• Reconstruction IT : coffre-fort cyber
• Gestion des tiers : SLA de crise en place avec les tiers
• Continuité d’activité métier et IT : processus dégradés sans IT
• Cyberdéfense : procédure d’authentification d’urgence

Défi n°3 : la gouvernance

Enfin, une gouvernance doit être mise en place pour garantir que les données de résilience opérationnelle sont maintenues à jour et que les tableaux de bord générés sont utilisés pour la prise de décision dans les bons comités. Par exemple, l’adhésion de la direction est nécessaire pour financer et hiérarchiser la correction des lacunes identifiées.

              Concrètement, que doit-on mesurer ? 

La question sous-jacente est la suivante : à quel point l’organisation est-elle préparée à faire face à un incident majeur ?

• Est-ce que les dépendances sont identifiées ?
• Est-ce que la documentation nécessaire est en place ?
• Est-ce que les menaces sont connues ?
• Est-ce que des contrôles sont bien en place pour indiquer une lacune ?
• Est-ce que les employés de l’entreprise sont prêts à répondre et minimiser l’impact opérationnel d’un incident majeur ?

Quelles sont les attentes des clients ?

À ce jour, trois thèmes principaux ont émergé de nos constats sur le terrain aux côtés des clients.

Tout d’abord, les organisations ont besoin d’aide pour créer un inventaire en rationalisant plusieurs sources avec divers formats de données.

Ensuite, nos clients ont régulièrement besoin d’aide pour la mise en place de tableaux de bord. Cela peut prendre la forme de la conception d’indicateurs de performance clés (KPI) utiles (actionnables, conduisant à la prise de décision) ou de la création de tableaux de bord visuels dans un outil tel que PowerBI.

Enfin, une demande émergente concerne le déploiement d’outils. Wavestone peut aider les organisations tout au long de leur recherche d’outils correspondant le mieux à leurs besoins :

• Réalisation d’un benchmark
• Création du cahier des charges grâce à des ateliers avec les futurs utilisateurs
• Création d’un RFP et son suivi pour évaluer des fournisseurs

Un exemple concret de l’expertise de Wavestone dans ce domaine est la deuxième édition du panorama des fournisseurs d’outils de résilience opérationnelle. Il capte les principaux acteurs du marché à travers une gamme de sujets tels que les notifications d’urgence, la gestion de la résilience (cartographie, tests, tableaux de bord), la gestion de crise et la simulation d’incidents métier ou cyber. Le panorama vise à englober les innovateurs et les acteurs traditionnels, les start-up et les grandes organisations.

Un dernier conseil pour les lecteurs ?

Pour les clients français n’ayant pas lancé de programme de résilience opérationnelle, pour le moment, deux conseils sont à retenir :

• Une fois la cartographie réalisée, il faut réfléchir à la manière de stocker les données (c’est-à-dire le modèle de données). Pour assurer la pérennité, Excel ne sera pas forcément suffisant.
• Ne pas hésiter à réutiliser ce que l’organisation possède déjà en termes de continuité d’activité et IT, de gestion des tiers, de risque opérationnel, de cyberdéfense, de reconstruction informatique et de gestion de crise.

Cet article L’analyse de données et l’automatisation au cœur du pilotage de la résilience opérationnelle, interview de Roxane Bohin est apparu en premier sur RiskInsight.

Pourquoi le Digital Operational Resilience Act (DORA) ?

DORA fait partie d’un « paquet financier numérique » à l’échelle de l’UE, qui vise à garantir que le secteur financier puisse tirer parti des possibilités offertes par la technologie et l’innovation tout en atténuant les nouveaux risques associés. Ce paquet comprend une réglementation sur les actifs de cryptage, la technologie de la chaîne de blocage et la résilience opérationnelle numérique.

Avec la loi sur la résilience opérationnelle numérique, l’UE vise à s’assurer que les organismes financiers atténuent les risques découlant de la dépendance croissante à l’égard des systèmes TIC et des tiers pour les opérations critiques. Les organisations doivent pouvoir « résister, réagir et se remettre » des conséquences des incidents liés aux TIC, afin de continuer à assurer des fonctions essentielles et importantes et de minimiser les perturbations pour les clients et le système financier. Cela implique d’établir des mesures et des contrôles solides sur les systèmes, les outils et les tiers, de mettre en place les bons plans de continuité et de tester leur efficacité.

Cette réglementation mondiale de grande envergure vient rationaliser un paysage réglementaire de plus en plus fragmenté sur le sujet, avec un certain nombre d’initiatives réglementaires locales dans les États membres et des lignes directrices de l’UE de moindre envergure sur des sujets connexes (par exemple, les exigences en matière de tests, la gestion des dépendances des TIC à l’égard de tiers, la résilience cybernétique). La mise en place d’un cadre réglementaire mondial garantira l’absence de chevauchements ou de lacunes dans la réglementation et maintiendra de bonnes conditions de concurrence dans le marché unique.

DORA s’inscrit également dans une tendance mondiale en matière de réglementation sur la résilience du secteur financier, lancée par les documents de consultation de la Banque d’Angleterre (FCA et PRA) sur la résilience opérationnelle et les tolérances d’impact, et suivie par les documents de principe sur la résilience opérationnelle de la Banque des règlements internationaux (BRI) et de la Réserve fédérale.

DORA en bref : qu’est-ce que ça change ?

Contrairement à la FCA/PRA, à la Réserve fédérale et à la BRI, la DORA se concentre uniquement sur la résilience aux incidents liés aux TIC et introduit des exigences très spécifiques et normatives. Il ne s’agit pas seulement d’un ensemble de lignes directrices, mais plutôt de critères, de modèles et d’instructions qui détermineront la manière dont les organismes financiers gèrent les risques liés aux TIC. Elle démontre que les régulateurs européens veulent être très pragmatiques sur le sujet, avec beaucoup de rapports, de communications et d’évaluations qui doivent être fréquents, grâce à la normalisation des systèmes d’information et des rapports.

La DORA introduit des exigences qui s’articulent autour de cinq piliers :

• Gestion des risques liés aux TIC
• Rapports d’incidents TIC
• Test de résilience opérationnelle numérique
• Gestion des risques liés aux TIC par des tiers
• Partage d’informations et de renseignements

Certaines de ces exigences sont simples et s’inspirent largement de ce qui se fait déjà dans les organisations (par exemple, le cadre de gestion des risques qui doit être élaboré est similaire aux normes industrielles comme le NIST) ; mais certaines sont également difficiles et impliqueront que les organisations doivent lancer des travaux pour se mettre en conformité. Nous avons résumé les exigences et les principaux défis à relever dès maintenant pour chacun des cinq piliers.

1. Gestion des risques liés aux TIC

Pourquoi ? Veiller à ce que des mesures et des contrôles spécifiques soient mis en place pour limiter les perturbations du marché et des consommateurs causées par les incidents, et garantir la responsabilité de l’organe de gestion en matière de gestion des risques liés aux TIC.

Exigences clés : Les entreprises devront respecter les principes de gouvernance en matière de risques liés aux TIC, en mettant l’accent sur la responsabilité de l’organe de gestion. Elles devront identifier leur tolérance au risque TIC, en fonction de l’appétit pour le risque de l’organisation et de la tolérance aux impacts des perturbations des TIC. Ils devront également mettre en place un cadre de gestion des risques comprenant l’identification des fonctions critiques et importantes, les risques associés et une cartographie des actifs TIC qui les sous-tendent, ainsi que des plans et des capacités spécifiques de protection, de prévention, de détection, de réponse et de récupération, des processus et des mesures d’amélioration continue et une stratégie de communication de crise avec des rôles et des responsabilités clairs.

Le plus grand défi : Dans le cadre des processus d’amélioration continue, la DORA introduit une formation obligatoire sur la résilience opérationnelle numérique pour l’organe de gestion mais aussi pour l’ensemble du personnel, dans le cadre de son programme de formation générale.

2. Signalement des incidents liés aux TIC

Pourquoi ? Harmoniser et centraliser la notification des incidents pour permettre au régulateur de réagir rapidement afin d’éviter la propagation de l’impact, et pour promouvoir l’amélioration collective et la connaissance des entreprises des menaces actuelles sur le marché.

Exigences clés : La DORA introduit une méthodologie standard de classification des incidents avec un ensemble de critères spécifiques (nombre d’utilisateurs touchés, durée, répartition géographique, perte de données, gravité de l’impact sur les systèmes TIC, criticité des services touchés, impact économique) avec des seuils qui doivent encore être publiés. Selon cette méthodologie, les incidents classés comme majeurs devront être signalés à l’autorité de régulation dans le même jour ouvrable, selon un certain modèle. Un rapport de suivi sera également requis après une semaine, et après un mois. Ces rapports seront tous anonymisés, compilés et communiqués régulièrement à l’ensemble de la communauté.

Le plus grand défi : Les entreprises devront modifier leur méthode de classification des incidents pour se conformer aux exigences. Elles devront également mettre en place les processus et les canaux appropriés pour pouvoir informer rapidement l’autorité de régulation en cas d’incident majeur. En fonction de ce qui est classé comme « majeur », cela pourrait se produire fréquemment. Pour aider les organisations à se préparer, nous prévoyons que la méthodologie de classification des incidents s’alignera sur la taxonomie de référence de l’ENISA pour la classification des incidents.

3. Test de résilience opérationnelle numérique

Pourquoi ? S’assurer que les entités financières testent l’efficacité du cadre de gestion des risques et des mesures en place pour répondre à un large éventail de scénarios d’incidents liés aux TIC et s’en remettre, avec un minimum de perturbations des fonctions critiques et importantes, d’une manière proportionnée à leur taille et à leur criticité pour le marché.

Exigences clés : Avec la DORA, toutes les entreprises doivent mettre en place un programme complet de tests, comprenant une série d’évaluations, de tests, de méthodologies, de pratiques et d’outils, en mettant l’accent sur les tests techniques. Les entreprises les plus critiques devront également organiser tous les trois ans un test de pénétration en direct à grande échelle (exercice de type « red team »), réalisé par des testeurs indépendants, couvrant les fonctions et services critiques et impliquant des tiers du secteur des TIC basés dans l’UE. Le scénario devra être approuvé à l’avance par l’autorité de régulation et les entreprises recevront un certificat de conformité à l’issue du test. Des orientations supplémentaires pour ces tests, ainsi que les critères définissant une entreprise critique, seront publiées en 2021.

Le plus grand défi : il est probable que les entreprises critiques devront organiser ce test de pénétration fondé sur la menace d’ici la fin de 2024 et ce type de test nécessite beaucoup de préparation. Le fait qu’il doive impliquer des tiers critiques dans le domaine des TIC signifiera également qu’ils devront participer à la préparation. Les entreprises qui pensent être concernées (il peut s’agir d’entreprises déjà concernées par la réglementation sur les NEI) doivent commencer à réfléchir au scénario dès que possible afin de permettre une validation avec le régulateur au moins deux ans avant la date limite.

4. Gestion des risques liés aux tiers dans le domaine des TIC

Pourquoi ? Veiller à ce que les organismes financiers disposent d’un niveau approprié de contrôle et de surveillance de leurs tiers TIC, en particulier ceux qui sous-tendent les fonctions critiques ; et mettre en place une surveillance spécifique des fournisseurs qui sont essentiels pour le marché dans son ensemble.

Exigences clés : Avec ce règlement, l’UE introduit des exigences à la fois pour les organisations financières et pour les fournisseurs de TIC critiques.

• Les organismes financiers devront disposer d’une stratégie et d’une politique définies en matière de risque de tiers pour les TIC multifournisseurs, dont un membre de l’organe de gestion sera propriétaire. Ils devront établir un registre standard d’informations contenant la vue complète de tous leurs fournisseurs tiers de TIC, les services qu’ils fournissent et les fonctions qu’ils sous-tendent ; et faire rapport sur les modifications apportées à ce registre au régulateur une fois par an. Ils devront évaluer les fournisseurs de services TIC en fonction de certains critères avant de conclure un contrat (par exemple, le niveau de sécurité, le risque de concentration, les risques de sous-traitance), et ils devront prévoir une stratégie de sortie en cas de défaillance d’un fournisseur. La DORA contient également des lignes directrices concernant le contenu des contrats et les raisons de leur résiliation, qui doit être liée à un risque ou à une preuve de non-conformité au niveau du fournisseur.
• En vertu d’un nouveau cadre de surveillance, les fournisseurs essentiels feront l’objet d’évaluations annuelles au regard des exigences de résilience telles que la disponibilité, la continuité, l’intégrité des données, la sécurité physique, les processus de gestion des risques, la gouvernance, les rapports, la portabilité, les tests… Ces évaluations seront effectuées directement par le régulateur et donneront lieu à des sanctions en cas de non-conformité.

Le plus grand défi : Rassembler des informations sur tous les fournisseurs de TIC (pas seulement les plus importants), avec les services fournis et les fonctions qu’ils sous-tendent pour le registre des informations sera une tâche très importante pour les grandes organisations financières qui dépendent généralement de milliers de petits et grands fournisseurs et de systèmes de gestion de contrats hérités qui rendent difficile l’extraction de données.

5. Partage d’informations et de renseignements

Pourquoi ? Promouvoir l’échange d’informations et de renseignements sur les cybermenaces entre les organismes financiers afin de leur permettre d’être mieux préparés.

Exigences clés : La DORA introduit des lignes directrices sur la mise en place d’accords de partage d’informations entre entreprises pour les cyber-menaces, y compris des exigences de confidentialité et la nécessité d’informer l’autorité de régulation.

Le plus grand défi : Nous ne voyons pas de défi particulier dans ce domaine car de nombreuses organisations ont déjà mis en place de tels accords. Ce sera l’occasion de rendre visibles les initiatives, les réseaux ou les associations locales et d’encourager un plus grand nombre d’entreprises à y participer.

Que se passe-t-il ensuite ?

La DORA suit actuellement le processus législatif de l’UE et devrait prendre de 6 à 12 mois avant de devenir une loi. Quelques sujets discutables pourraient donner lieu à des débats et ralentir le processus, en particulier en ce qui concerne la gestion par des tiers : critères restrictifs pour les organisations souhaitant résilier des contrats, interdiction des tiers critiques basés en dehors de l’UE, système de pénalités et financement du cadre de surveillance par les fournisseurs de services critiques. Certains détails doivent encore être publiés pour clarifier certaines des exigences (par exemple, les modèles, les critères et les seuils de criticité…), ce qui pourrait également susciter certains débats.

Une fois la DORA adoptée, les entreprises devraient disposer d’un an pour se mettre en conformité avec la plupart des exigences (c’est-à-dire probablement d’ici la fin de 2022 – mais ce délai d’un an est court et nous prévoyons qu’il pourrait passer à 18 mois à la suite des réactions du marché) et de 3 ans pour organiser un test de pénétration à grande échelle si nécessaire (c’est-à-dire probablement d’ici la fin de 2024).

Afin d’être prêts, nous recommandons aux organisations de prendre les mesures suivantes en 2021 :  

• Effectuer une évaluation de la maturité par rapport aux exigences de la DORA, avec une analyse des lacunes et un plan d’atténuation connexe pour atteindre la conformité d’ici la fin de 2022 
• Commencer à réfléchir à un scénario pour le test de pénétration à grande échelle, en vue de le faire valider par le régulateur d’ici la mi-2022 
• Commencer à travailler sur la consolidation du registre des informations pour tous les fournisseurs tiers de TIC 

Cet article Décryptage de DORA : qu’est-ce que cela signifie pour la résilience des organisations financières ? est apparu en premier sur RiskInsight.