Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

22/03/2021

Cybersecurity Insights

Explorons DORA !

L’absence de règles détaillées et exhaustives sur la résilience opérationnelle numérique au niveau de l’Union Européenne (UE) et le manque de coordination entre les initiatives nationales ont engendré des incohérences, des exigences redondantes, des coûts administratifs et de mise en conformité élevés, en particulier pour les entités financières. Cette situation fragmente le marché unique, compromet la stabilité et l’intégrité du secteur financier de l’UE et porte atteinte à la protection des consommateurs et des investisseurs.

Ainsi, 5 ans après la publication de la Directive NIS (Network and Information System Security (NIS), la commission européenne a publié en Septembre 2020, une proposition de règlement sur la résilience opérationnelle numérique du secteur financier. Cette proposition fait partie d’une stratégie numérique qui vise à renforcer le potentiel que la finance numérique peut offrir sur le plan de l’innovation et de la compétitivité, tout en limitant les risques qui en découlent.

Qu’est-ce que DORA ?

Digital Operational Resilience Act (DORA) est une proposition de règlement sur la résilience opérationnelle numérique du secteur financier.

Ce prochain règlement supprime des obstacles à l’établissement et au fonctionnement du marché intérieur des services financiers, et y apporte des améliorations en harmonisant les règles applicables en matière de gestion des risques informatiques, de notification, de tests et de risques liés aux tiers prestataires de services informatiques.

Outre la présente proposition de règlement, cette stratégie numérique comprend également une proposition de règlement sur les marchés de crypto-actifs*, une proposition de règlement sur un régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués (DLT) et une proposition de directive visant à clarifier ou à modifier certaines dispositions connexes de l’Union sur les services financiers.

*Actifs virtuels stockés sur un support électronique permettant à une communauté d’utilisateurs les acceptant en paiement de réaliser des transactions sans avoir à recourir à la monnaie légale. (Exemple de crypto-actifs : Bitcoin, Ether…)

Qui est concerné par DORA ?

Afin de garantir la cohérence des exigences en matière de gestion des risques informatiques applicables au secteur financier, DORA couvre tout un éventail d’entités financières réglementées au niveau de l’Union, à savoir :

NB : la définition des entités financières et des mots clés utilisés (microentreprise, référentiels de titrisations, contreparties centrales, etc.) dans ce règlement sont dans l’article 3 de DORA.

Bien qu’une telle couverture garantisse des conditions de concurrence équitables entre les entités financières en ce qui concerne leurs obligations réglementaires en matière de risque informatique, DORA tient compte du fait qu’il existe des différences importantes entre les entités financières du point de vue de leur taille, de leur profil d’activité ou de leur exposition au risque numérique.

En plus de l’entité financière, les Autorités Européennes de Surveillance (AES) et autorités compétentes sont fortement impliquées dans le respect des obligations énoncées dans DORA.

Ces AES sont l’Autorité Bancaire Européenne (ABE), l’Autorité Européenne des Assurances et des Pensions Professionnelles (AEAPP) et l’Autorité Européenne des Marchés Financiers (AEMF).
En France, nous avons comme autorités compétentes l’Autorité de Contrôle Prudentiel et de Résolution (ACPR) pour les entités financières suivantes : Etablissement de crédit, Etablissement de monnaie électronique, Entreprise d’investissement, etc.

Quels sont les objectifs visés par DORA ?

A travers cette proposition de règlement, les 10 principaux objectifs qui émanent de la publication de la commission européenne sont :

Renforcer le potentiel que la finance numérique peut offrir sur le plan de l’innovation et de la compétitivité, tout en limitant les risques qui en découlent.

Favoriser l’adoption d’approches communes de la sécurité informatique au sein du marché unique européen

Fournir aux autorités de surveillance financière les outils pour prévenir l’instabilité financière découlant de la matérialisation des risques informatiques.

Sensibiliser davantage les autorités de surveillance aux cyber risques et aux incidents liés à l’informatique auxquels sont confrontées les entités financières

Conférer aux autorités de surveillance financière des pouvoirs et les outils leur permettant de superviser les risques découlant de la dépendance des entités financières à l’égard de tiers prestataires de services informatiques.

Harmoniser au niveau de l’Union la notification des incidents liés à l’informatique afin de réduire le niveau des charges administratives et des coûts financiers associés à la notification d’un même incident lié à l’informatique à différentes autorités nationales et de l’Union.

Limiter les coûts de mise en conformité pour les entités financières, en particulier pour celles qui exercent des activités transfrontières, ce qui devrait en retour contribuer à supprimer les distorsions de concurrence au sein de l’UE.

Éliminer les disparités législatives et les approches nationales inégales en matière de réglementation ou de surveillance des risques informatiques.

Harmoniser les tests de résilience opérationnelle numérique avec reconnaissance mutuelle dans l’ensemble du marché unique afin de baisser les coûts, notamment pour les entreprises transfrontières qui, autrement, risqueraient d’être soumises à l’obligation de procéder à de multiples tests dans les différents États membres.

Remédier à l’absence de pouvoirs adéquats de supervision des risques découlant des tiers prestataires de services informatiques, notamment les risques de concentration et de contagion pour le secteur financier de l’Union.

Quels sont les principaux piliers de DORA ?

DORA établit les exigences relatives à la sécurité des réseaux et des systèmes d’information sous-tendant les processus opérationnels des entités financières, nécessaires pour atteindre un niveau commun élevé de résilience opérationnelle numérique sur la base des 5 principaux piliers suivants :

  • Gestion des risques liés aux (TIC) (art. 4 à 14)
  • Gestion, classification et notification des incidents liés à l’informatique ; (art. 15 à 20)
  • Tests de résilience opérationnelle numérique (art. 21 à 24)
  • Gestion des risques liés aux tiers prestataires de services informatiques (art. 25 à 39)
  • Partage d’informations (art. 40)

Dans le tableau ci-dessous, nous donnons pour chaque pilier les principaux objectifs visés par DORA et les articles par pilier.

Quelles seraient les sanctions ?

Les entités financières concernées par DORA feront face à deux types de sanctions.

Sanctions administratives et mesures correctives

Les États membres confèrent aux autorités compétentes le pouvoir d’appliquer des sanctions administratives et des mesures correctives, sous réserve des conditions prévues dans le droit national, aux membres de l’organe de direction, ainsi qu’aux autres personnes responsables de la violation au sens du droit national.

Ces sanctions administratives et mesures correctives prévues en cas de violation sont :

  • Émettre une injonction ordonnant à la personne physique ou morale de mettre un terme au comportement en cause et lui interdisant de le réitérer ;
  • Exiger la cessation temporaire ou définitive de toute pratique ou conduite que l’autorité compétente jugerait contraire aux dispositions du présent règlement et en prévenir la répétition ;
  • Adopter tout type de mesure, y compris de nature pécuniaire, propre à garantir que les entités financières continueront à respecter leurs obligations légales ;
  • Exiger, dans la mesure où le droit national le permet, les enregistrements d’échanges de données existants détenus par un opérateur de télécommunications, lorsqu’il est raisonnablement permis de suspecter une violation du présent règlement et que ces enregistrements peuvent être importants pour une enquête portant sur une violation du présent règlement ;
  • Émettre des communications au public, y compris des déclarations publiques, indiquant l’identité de la personne physique ou morale et la nature de la violation.

Ces différentes sanctions administratives et mesures correctives peuvent se faire soit directement, soit en collaboration avec d’autres autorités, soit par délégation à d’autres autorités agissant sous leur responsabilité ou par la saisine des autorités judiciaires compétentes.

Toutefois, les autorités compétentes, lorsqu’elles déterminent le type et le niveau des sanctions administratives ou des mesures correctives à imposer, elles examinent dans quelle mesure la violation est intentionnelle ou résulte d’une négligence ainsi que de toutes les autres circonstances pertinentes, entre autres (gravité, violations antérieures, préjudices subis par des tiers du fait de la violation, degré de responsabilité ou l’assise financière de la personne physique ou morale responsable, etc.).

A moins que l’autorité compétente estime que la publication de l’identité de personnes morales, ou de l’identité et des données à caractère personnel de personnes physiques, serait disproportionnée, compromettrait la stabilité des marchés financiers ou la poursuite d’une enquête pénale en cours, ou causerait, dans la mesure où ils peuvent être déterminés, des dommages disproportionnés à la personne concernée ; cette autorité publie sur son site web officiel, dans les meilleurs délais, toute décision d’imposer une sanction administrative contre laquelle il n’y a pas de recours, une fois que cette décision a été notifiée au destinataire de la sanction.

Sanctions pénales

En ce qui concerne les sanctions pénales, les États membres qui choisissent de l’instituer pour les cas de violations du règlement DORA, doivent veiller à ce que des mesures appropriées soient prises.

Ces mesures doivent permettre aux autorités compétentes de disposer de tous les pouvoirs nécessaires pour se mettre en rapport avec les autorités judiciaires, les autorités chargées des poursuites ou les autorités judiciaires pénales de leur ressort territorial.

Cela en vue de recevoir des informations spécifiques liées aux enquêtes ou procédures pénales engagées pour violation du présent règlement, et de fournir ces mêmes informations aux autres autorités compétentes, ainsi qu’à l’ABE, l’AEMF ou l’AEAPP, afin de s’acquitter de leurs obligations de coopération.

DORA vs. NIS ?

S’agissant des entités financières identifiées en tant qu’Opérateurs de Services Essentiels (OSE), conformément aux dispositions nationales transposant l’article 5 de la directive (UE) 2016/1148 (communément appelé Directive NIS), DORA étant considéré comme un acte juridique sectoriel de l’Union ses dispositions s’appliquent et priment sur la Directive NIS.

Ainsi, DORA préserverait les avantages liés au cadre horizontal sur la cybersécurité (par exemple, Directive NIS) en maintenant le secteur financier dans son champ d’application. Le secteur financier demeurerait étroitement associé au groupe de coopération NIS, et les autorités de surveillance financière seraient en mesure d’échanger des informations utiles au sein de l’écosystème NIS existant.

Sur le plan technique et organisationnel, ces entités financières ayant déjà pris des mesures pour être conforme à la Directive NIS ont l’avantage d’avoir déjà des processus et des procédures que l’on retrouvera dans DORA, notamment la gestion des risques, la détection et réponse aux incidents et la notification de ces incidents de sécurité informatiques majeurs à l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI).

En ce qui concerne l’impact que pourrait avoir DORA sur les systèmes d’information des entités financières non-OSE, celles-ci devront prendre des dispositions techniques et organisationnelles pour être en conformité avec ce prochain règlement.

Quelles sont les prochaines étapes ?

Le degré élevé d’interconnexion des services financiers, l’importante activité transfrontière des entités financières et la forte dépendance du secteur financier dans son ensemble à l’égard des tiers prestataires de services informatiques justifient cette proposition de règlement et nous laisse à croire que DORA sera bel et bien adopté et publié. Nous pouvons donc nous attendre à une publication au plus tard fin 2022.

Toutefois, la Commission continue à évaluer la nécessité et les incidences d’une extension éventuelle du champ d’application de DORA aux entités et aux infrastructures informatiques qui ne relèvent actuellement pas de ses dispositions.

S’il est vrai que l’un des principaux objectifs visés par DORA est de supprimer les inégalités entre les entités financières au sein de l’UE, la question des inégalités potentiellement crées par ce prochain règlement entre les entités financières de UE et les entités financières non-UE, qui offrent leurs services aux citoyens des Etats membres, mérite d’être posée.

Références

Amadou DIAWARA

Consultant Governance, Risks & Compliance

Voir les derniers Cybersecurity Insights

13 novembre 2023
Version révisée (Edition 4) de la norme ISO/CEI 27005 : Almond vous propose un top 3 des changements normatifs et des précisions sur leurs implications directes dans les travaux des Risk Managers au sein des organisations.
19 octobre 2023
C’est ce que tente d’éclairer cet article en explorant les avantages d’une approche ISO 27001 pour structurer les réponses attendues par vos clients dans les questionnaires SSI qu’ils vous transmettent.
16 octobre 2023
L'authentification multi-facteurs, un sujet toujours d'actualité à ne pas négliger !
11 octobre 2023
Chez Almond, nous préconisons de parachever les pratiques de contrôle par une approche par les risques pour améliorer la qualité du portefeuille des fonds d’investissement.
5 octobre 2023
Did you ever imagine that you or your colleagues could be a serious threat to your company? Discover our study: Insider Threat !
29 septembre 2023
Découvrez la solution SASE de Zscaler avec Benoit Vérove, Partner et Lead Security Integration chez Almond et Reda Nedjar, Principal Sales Engineer chez Zscaler au travers d'une démonstration technique au cœur de l'outil Zscaler Zero Trust Exchange™!
16 juin 2023
Le SASE en 7 min chrono : décrypter le SASE, sa fonction et ses usages. Pour y voir plus clair, nous vous proposons d’entrer en immersion dans les plateformes SASE des experts du secteur. Découvrons ensemble, la solution SASE proposée par Cato Networks. Joseph Fernando, SE Manager South EMEA, chez Cato Networks réalise une démonstration technique de la solution Cato SASE Cloud, au côté de Benoit Vérove, Partner et Lead Security Integration chez Almond.
12 juin 2023
Comme chaque année, SWIFT met à jour son standard CSCF et apporte son lot de nouveautés. Nous vous proposons ici quelques clés de lecture associées aux changements fondamentaux apportés par le CSCF v2023
5 juin 2023
Depuis 2021, tous les clients SWIFT se trouvent dans l’obligation de réaliser une évaluation de conformité dans le cadre du Customer Security Program (CSP) de SWIFT.
2 juin 2023
Décryptez la technologie SASE, au travers d'une démonstration technique de la solution Harmony Connect proposée par Check Point.

Jour 5 : CTF #1 de l'avent

On complexifie le jeu pour ce jour #5 ! Notre équipe CERT vous propose aujourd’hui un petit challenge CTF à résoudre avant demain matin ! 

Retrouvez le challenge ici !

Jour 4 : Quel type d'attaque peut être qualifié de "triple extorsion" ?

  • Réponse 1 : Une attaque par ransomware
  • Réponse 2 : Une attaque par hameçonnage
  • Réponse 3 : Une attaque par déni de service
  • Réponse 4 : Une attaque par empoisonnement du cache DNS

Laïus explicatif : Le ransomware à triple extorsion est comme son nom l’indique une attaque durant laquelle les cybercriminels menacent de trois façons différentes leur victime.

  1. L’attaquant va demander une rançon à la victime pour qu’il puisse récupérer/déchiffrer ses données
  2. L’attaquant va demander une rançon pour ne pas publier / divulguer les données exfiltrées, il peut aussi demander une rançon pour un délai supplémentaire avant divulgation (retarder le compte à rebours)
  3. L’attaquant va mettre la pression à la victime pour augmenter les chances de paiement de la rançon via des attaques de type DDoS ou des appels téléphoniques, enfin il peut aussi demander des rançons aux victimes collatérales, dont les données auraient fuité indirectement dans l’attaque

Ce type d’attaque permet aux attaquants de maximiser le gain financier pour chaque victime, le ransomware étant déjà l’une des attaques les plus lucratives, il convient d’anticiper ce scénario et de s’en protéger convenablement.

Jour 3 : Parmi ces quatre choix, lequel définit le mieux ce qu’est l’ISO 27001 ?

  • Réponse 1 : Un standard listant un ensemble d’exigences relatives à la sécurité des systèmes informatiques d’une entreprise
  • Réponse 2 : Une norme listant un ensemble de bonnes pratiques permettant d’optimiser la cybersécurité au sein d’une l’entreprise
  • Réponse 3 : Une norme listant un ensemble d’exigences relatives à la sécurité des informations nécessaires à une entreprise
  • Réponse 4 : Un standard listant un ensemble de méthodes pour optimiser les pratiques relatives à la sécurité des informations utilisées par une entreprise

Laïus explicatif : L’ISO 27001 est une norme internationale, dont les entreprises peuvent se prévaloir en se faisant certifier par un organisme indépendant ; elle contient un ensemble d’exigences que chaque entreprise, quels que soient sa taille et son domaine d’activité, doit impérativement appliquer pour obtenir sa certification ; ses exigences constituent donc le référentiel des audits de certification. A ne pas confondre avec la norme ISO 27002 qui est constituée de recommandations, basées sur les bonnes pratiques internationales, permettant d’aider une entreprise à appliquer les exigences de la norme ISO 27001 (donc norme qui ne donne pas lieu à une certification).

Les exigences de la norme ISO 27001 portent sur les informations nécessaires à une entreprise, recueillies et/ou traitées, quel que soit son support, électronique, papier et oral.

Les trois critères de sécurité retenus par la norme ISO 27001 sont la confidentialité, l’intégrité et la disponibilité des informations. Tout événement, qu’il soit d’origine environnementale ou humaine, intentionnelle ou involontaire, impactant un de ces trois critères, relève de cette norme.

Jour 2 : Qu'est-ce qu'une attaque DDoS?

  • Réponse 1 : Un logiciel espion qui enregistre ce qu’écrit un utilisateur
  • Réponse 2 : Un procédé visant à perturber l’accès à un site ou une application
  • Réponse 3 : Un virus informatique qui chiffre l’OS de votre ordinateur en échange d’une rançon
  • Réponse 4 : Une attaque Informatique visant à détermine votre mot de passe en testant un grand nombre de possibilité

Laïus explicatif : Une attaque DDoS ou « Distributed Denial of Service » est une attaque visant à rendre indisponible un site en le submergeant de requêtes provenant de multiples sources. Dans le cas où toutes les requêtes proviennent de la même source, on parle simplement d’attaque DoS (« Denial of Service »), ou « par déni de service ».

Jour 1 : Qu'est-ce que DORA?

  • Réponse 1 : Une jeune exploratrice bilingue
  • Réponse 2 : Un protocole de communication décrit dans le RFC 9364
  • Réponse 3 : Une organisation internationale de régulation de la cybersécurité
  • Réponse 4 : Un règlement qui s’applique aux entités financières et aux tiers prestataires de services informatiques

Laïus explicatif : DORA ou Digital Operational Resilience Act est un règlement européen publié en 2022 et en vigueur depuis janvier 2023. Le règlement traite de la résilience opérationnelle numérique du secteur financier. Il est applicable aux entités financières comme les banques, assurances, entreprises d’investissement, les établissements de paiement, etc. mais également aux tiers prestataires de services informatiques. Les entreprises concernées ont deux ans pour se mettre en conformité. Ils devront donc l’être en 2025 !

Le pilier relatif à la gestion des risques liés aux prestataires tiers de services TIC apparait comme l’un des plus difficile à mettre en place et à maintenir dans le temps pour les entreprises concernées. En quelques mots, les entreprises devront considérer ces risques comme faisant partie intégrante du risque lié aux technologies de l’information et de la communication (TIC) et notamment le risque de concentration, au niveau de l’entreprise mais également au niveau de l’ensemble du secteur financier européen. En effet, les autorités devront analyser ce risque en analysant les registres tenus et communiqués par les entreprises concernées par DORA et qui recense notamment la liste des tiers prestataires de services TIC avec lesquelles les entités financières conclues des contrats.

Pour plus d’informations, consultez notre avis d’expert sur le sujet : https://almond.eu/cybersecurity-insights/explorons-dora/