Le règlement DORA contre la cyber exposition des établissements financiers

L’exposition du secteur financier aux cyber-attaques est démultiplié et la résilience opérationnelle numérique n’est pas le moindre des enjeux des prochaines années. L’Europe, avec son réglement DORA harmonise cette résilience. Mais le gros du travail reste à faire. Une tribune d’Yves Wattel, Yves Wattel vice-président Délinea pour l’Europe du Sud.

Le secteur financier est particulièrement vulnérable aux cyber attaques. Le Parlement européen souligné que les entreprises financières sont 300 fois plus susceptibles d’être ciblées que les autres. Face à des attaques de plus en plus sophistiquées et à des contraintes budgétaires, les institutions financières cherchent à renforcer leur cybersécurité pour protéger leurs réseaux interconnectés et assurer la continuité de leurs opérations. C’est dans ce contexte que l’Union européenne a mis en place le Règlement sur la résilience opérationnelle numérique du secteur financier (Digital Operational Resilience Act, DORA). Il vise à instaurer des règles harmonisées pour garantir la résilience opérationnelle des acteurs financiers essentiels au sein de l’UE. Quelles sont les principales exigences auxquelles les entreprises financières devront répondre ? Dans quelle mesure les solutions de gestion des accès à privilèges (PAM) peuvent les aider ?

Un nouveau défi qui attend le secteur financier européen

Le secteur financier européen connaît un niveau d’interconnexion très élevé et dépend énormément de fournisseurs tiers. Il est ainsi très difficile de contrôler les risques dans la chaîne de valeur de la sous-traitance. Les entreprises financières sont rarement capables de confirmer si leur fournisseur a subi une attaque. Par conséquent, le moindre incident local peut se propager à l’ensemble du système financier européen.

À l’heure actuelle, il est très complexe pour les entreprises financières de signaler correctement un incident à l’ensemble du secteur européen. En cause, la diversité des règlementations à toutes les échelles. Face au risque accru d’un incident global, il est désormais indispensable pour les acteurs du secteur de se coordonner. C’est dans cette optique que DORA a été mis en place par la Commission européenne.

Cinq axes à travailler d’ici 2025

Ainsi, à partir du 17 janvier 2025, toutes les entreprises financières européennes (hors fonds d’investissement alternatifs, entreprises d’assurance et de réassurance et institutions de retraite professionnelle qui gèrent des régimes dont le nombre total d’affiliés ne dépasse pas 15) devront se plier aux exigences de DORA, et encourront de graves sanctions en cas de non-respect de ces exigences.

Pour encadrer la résilience opérationnelle numérique, DORA a identifié cinq piliers autour desquels les entités financières devront travailler.

• La gestion des risques informatiques. Les entités financières seront tenues de mettre en place un dispositif solide de gestion des risques liés aux techniques d’information et de communication (TIC). Elles pourront ainsi s’en protéger et garantir un niveau de sécurité élevé.
• La notification des incidents liés aux TIC. Par souci d’harmonisation, les établissements financiers devront avertir les autorités de surveillance en cas d’incident. Pour ce faire, ils devront définir et mettre en œuvre un processus de gestion pour détecter, gérer et notifier les incidents qu’ils rencontrent.
• Les tests de résilience opérationnelle numérique. Pour évaluer sa résilience opérationnelle numérique, et identifier ses faiblesses, l’entité financière doit établir un programme de tests. Les systèmes et outils informatiques seront en outre soumis à des tests réguliers par des parties indépendantes (internes ou externes).
• La gestion des risques liés aux prestataires tiers de TIC. DORA a élaboré plusieurs points clés pour les entités financières pour que les risques liés aux prestataires tiers de services informatiques soient gérés de manière optimale.
• Le partage d’informations en matière de cybersécurité. DORA encourage les établissements financiers à partager les informations qu’ils récupèrent en termes de cybermenaces afin de garantir un environnement sécurisé.

Ces cinq piliers peuvent représenter un travail colossal, mais les solutions PAM peuvent apporter une aide précieuse dans la réalisation de ce travail et la mise en conformité.

Des solutions PAM dans un coffre-fort

Pour cocher les cases en matière de gestion des risques informatiques et de ceux liés aux prestataires tiers de TIC, les entités financières peuvent s’appuyer sur le PAM. En effet, grâce à un coffre-fort, les administrateurs choisissent les permissions attribuées à chacun, et peuvent même limiter ces permissions dans le temps (par exemple dans le cadre d’une opération unique) grâce au principe de moindre privilège. La rotation des mots de passe permet en outre au coffre-fort de contrôler l’accès aux identifiants à privilèges sans avoir à révéler les mots de passe. De plus, la découverte continue permet à l’administrateur de surveiller en temps réel les activités et demandes d’accès de tous les utilisateurs.

Concernant la notification des incidents liés aux TIC, le PAM, grâce à l’apprentissage automatique avancé, analyse en temps réel les comptes à privilèges et détecte les anomalies. Il fournit un score de menace et des alertes configurables que l’entité financière pourra notifier à l’autorité compétente.

Une contribution à la détection des menaces

Dans le cadre de la réalisation de tests de résilience, une solution PAM a son atout. Elle apporte en effet un contrôle strict des accès à privilèges pour s’assurer que seules les personnes ou applications autorisées ont accès à ces systèmes critiques. Par ailleurs, elle peut contribuer à la détection des menaces et aider l’entité financière à y réagir efficacement.

Enfin, le PAM peut jouer un rôle important dans le partage d’informations en matière de cybersécurité. Par exemple, il peut définir des politiques de contrôle d’accès granulaires. L’administrateur peut déterminer précisément qui a accès aux informations de sécurité pour pouvoir les partager. En outre, grâce à la gestion des droits d’accès temporaire, il peut donner un accès limité dans le temps à l’utilisateur chargé de partager les informations nécessaires et lui révoquer l’accès une fois l’opération terminée. De plus, les fonctionnalités augmentées par l’IA accélèrent la détection et aident à réduire les risques tout en limitant l’impact des attaques basées sur l’identité. L’automatisation de l’identification des abus de privilèges permet de réduire les risques d’attaques basées sur l’identité et améliorer l’efficacité des équipes informatiques et de sécurité.

Le PAM est donc un véritable couteau suisse en matière de sécurité pour les entités financières qui devront se plier aux directives DORA. Grâce à ses multiples fonctionnalités, il s’imposera comme un allié de taille pour tout organisme financier face aux défis qui les attendent et les solutions PAM deviendront ainsi des outils indispensables à la sécurisation du secteur financier.