Assurer la conformité avec la loi DORA : Ce que vous devez savoir

Les services bancaires et financiers sont importants pour l'infrastructure locale et mondiale et touchent presque tout le monde au quotidien. Avec les récentes avancées numériques, ces services et leurs clients s'appuient sur les technologies de l'information et de la communication (TIC) et les données numériques. Cela en fait des cibles de choix pour les cybercriminels qui veulent voler des données, perturber les opérations et causer des dommages importants.

Les organisations financières doivent être en mesure de résister, de réagir et de se remettre d'incidents liés aux TIC en limitant l'impact sur leurs fonctions clés et leurs clients. La loi de l'UE sur les opérations numériques et la résilience (DORA) introduit des exigences uniformes dans les États membres de l'UE. Son objectif est de renforcer la résistance du secteur financier aux cyberincidents.  

La plateforme de segmentation zéro confiance d'Illumio aide les services financiers de l'UE à respecter les normes DORA.

Qu'est-ce que DORA et pourquoi est-ce important ?

Le secteur bancaire est essentiel à l'économie mondiale, et il a besoin d'une cybersécurité solide pour éviter que des failles potentielles ne se transforment en catastrophe.

La loi DORA exige des banques de l'UE qu'elles renforcent leur cyber-résilience afin de pouvoir résister, réagir et se rétablir en cas de violation. Cela permet de s'assurer qu'ils peuvent le faire :

• Protéger les données des clients

• Maintenir les opérations malgré les inévitables brèches

• Réduire l'impact des violations pour préserver l'économie mondiale

Bien que le DORA applique des normes techniques et de conformité spécifiques, son objectif plus large est de renforcer la cyber-résilience.  

Découvrez en quoi DORA diffère de NIS2.  

Faits concernant DORA

Le nouveau mandat est entré en vigueur le 1er janvier 16, 2023 et sera applicable 24 mois plus tard. Cela signifie que les sociétés financières doivent se conformer à la loi DORA d'ici au mois de janvier 17, 2025.

Tout au long de l'année 2024, les autorités européennes de surveillance (AES) publieront plusieurs normes réglementaires et techniques. Ils fourniront aux organisations les détails et les conseils dont elles ont besoin pour répondre aux exigences du DORA.

Les entreprises basées au Royaume-Uni et dans d'autres pays peuvent être amenées à suivre le DORA si elles opèrent sur les marchés de l'UE. Les fournisseurs de services TIC tiers doivent également respecter la loi DORA s'ils ont des contrats avec des entreprises couvertes par la loi DORA.

Lisez la directive DORA.

Les 5 piliers fondamentaux de DORA

La loi s'appuie sur cinq piliers fondamentaux pour aider les services financiers à mettre en place un cadre de cyber-résilience solide. Chacun de ces piliers comporte plusieurs articles qui définissent comment atteindre le pilier. Voici un bref résumé de ces cinq piliers fondamentaux.

Gestion des risques liés aux TIC

• Créer des systèmes TIC solides

• Rechercher en permanence les risques liés aux TIC et s'en prémunir

• Repérer les activités inhabituelles

• Mettre en place des plans détaillés de continuité des activités

• Continuez à tirer des enseignements des événements extérieurs et des questions internes liées aux TIC

Réponse aux incidents liés aux TIC

• Mettre en place un processus détaillé pour contrôler, classer, signaler et partager les informations sur les incidents liés aux TIC.

• Respecter les règles réglementaires et prudentielles en matière d'établissement de rapports

Essais de résilience opérationnelle numérique

• tester régulièrement le cadre de gestion des risques liés aux TIC afin de s'assurer qu'il est prêt, de corriger les faiblesses et de combler les lacunes

• Les tests doivent correspondre aux caractéristiques de l'entité, par exemple en utilisant des tests de pénétration dirigés par la menace (Threat Led Penetration Testing - TLPT) pour les situations à haut risque.

Risques liés aux TIC pour les tiers

• Contrôler rigoureusement les risques liés aux fournisseurs tiers de TIC

• Utiliser des relations alignées, des contrats détaillés et un cadre de surveillance de l'Union pour promouvoir l'unité de la surveillance.

Partage d'informations

• Encourager la collaboration entre les entités financières

• Partager en toute sécurité des informations sur les cybermenaces

• Trouver des moyens de renforcer la résilience numérique, de sensibiliser aux risques liés aux TIC et de limiter les menaces liées aux TIC

Comment Illumio s'aligne-t-il sur DORA ?

Il est temps de commencer à envisager des projets, des exigences budgétaires et des initiatives à l'échelle de l'organisation en vue de l'application complète de la loi DORA en janvier 2025. Les équipes de sécurité peuvent prendre des mesures proactives pour être prêtes à se lancer dans le renforcement de la résilience et la mise en conformité avec la loi DORA.

1. Identifier les risques grâce à la cartographie du réseau

Le premier pilier du mandat se concentre sur l'identification des risques, qui est fondamentale pour la réussite des autres piliers. Si ce n'est pas déjà fait, l'équipe de sécurité de votre organisation doit cartographier les dépendances des applications pour l'ensemble de l'infrastructure. Certaines solutions de sécurité, comme Illumio, intègrent même ce type de cartographie dans leur offre de plateforme plus large.  

Utilisez la carte pour trouver vos processus critiques et non critiques et pour identifier les dépendances des tiers. Vous découvrirez probablement des risques inconnus jusqu'alors, qui pourront être traités immédiatement par votre équipe de sécurité.  

2. Renforcer les capacités de détection

Grâce à une meilleure compréhension de l'environnement, vous pouvez améliorer vos capacités de détection. Des solutions comme Illumio peuvent alimenter en informations votre système de gestion de l'information de sécurité (SIM), aidant ainsi votre équipe de sécurité à obtenir des données pour accélérer la détection des menaces.  

3. Se préparer de manière proactive à contenir les violations

Le DORA indique spécifiquement que l'endiguement des brèches est un élément clé de la résilience. Les technologies d'endiguement des brèches telles que la microsegmentation, également appelée segmentation zéro confiance, aident les équipes de sécurité à diviser le réseau en zones afin de contrôler la communication entre les charges de travail et les appareils et de n'autoriser que ce qui est nécessaire et souhaité.

Par exemple, vous pouvez utiliser la microsegmentation pour restreindre les communications entre les serveurs et les applications, entre les développeurs et les producteurs, ou entre les services informatiques et les services techniques. Cela vous permet d'isoler de manière proactive les actifs de grande valeur ou de contenir de manière réactive les systèmes compromis lors d'une attaque active afin d'arrêter la propagation d'une brèche.

Comment Illumio s'aligne-t-il sur la conformité DORA ?

De nombreuses réglementations sont liées au respect de la loi DORA. C'est pourquoi une seule solution ne peut pas tout résoudre. Vous devez trouver des solutions qui vous permettent d'atteindre autant de piliers que possible en une seule plateforme.  

Il est temps de planifier des projets, des budgets et des initiatives pour se préparer à l'application complète de la loi DORA en janvier 2025. Les équipes de sécurité peuvent prendre des mesures dès maintenant pour renforcer la résilience et se mettre en conformité avec la loi DORA.  

Voici comment la plateforme Illumio ZTS peut vous aider à répondre aux principales exigences de la DORA.

Identifier les menaces

Exigences DORA :

• Identifier, classer et documenter tous les systèmes TIC et leurs connexions avec les systèmes TIC internes et externes. 

• Identifier toutes les sources de risques liés aux TIC, en particulier la manière dont les entreprises s'exposent mutuellement aux risques.

• Cartographier la façon dont les actifs TIC sont liés et dépendent les uns des autres.

• Identifiez tous les processus qui dépendent de fournisseurs de services TIC tiers.

• Identifier comment les fournisseurs de services TIC tiers se connectent les uns aux autres.

L'identification des menaces est cruciale pour le succès de tous les piliers de DORA. Votre équipe de sécurité doit cartographier toutes les communications et le trafic entre les charges de travail et les dispositifs du réseau. Certaines solutions de sécurité comme Illumio offrent ce type de cartographie.

Utilisez la carte pour trouver vos processus critiques et non critiques et pour identifier les dépendances des tiers. Cela peut permettre de mettre en évidence des risques cachés que votre équipe de sécurité peut corriger immédiatement.

Protéger contre les attaques et les prévenir

Exigences DORA :

• Mécanismes automatisés permettant d'isoler les biens infectés.

• Définir des politiques qui limitent l'accès aux ressources TIC, en n'autorisant que ce qui est nécessaire pour les fonctions et activités approuvées.

• Concevez le réseau de manière à ce qu'il puisse être rapidement déconnecté en cas d'attaque.

• Divisez le réseau en segments afin de réduire et d'empêcher la propagation des attaques, en particulier pour les processus financiers connectés.

Le DORA insiste sur l'importance de contenir les brèches. Illumio ZTS aide les équipes à diviser le réseau en zones. Cela permet de contrôler la communication entre les charges de travail et les appareils, en n'autorisant que les communications autorisées.  

Par exemple, vous pouvez utiliser Illumio ZTS pour limiter les communications entre serveurs et applications ou séparer le développement de la production. Cela permet d'isoler de manière proactive les actifs de grande valeur ou de contenir les systèmes compromis lors d'une attaque afin d'enrayer la propagation de celle-ci.

Détecter les menaces

Exigences DORA :

• Détecter rapidement les activités inhabituelles, y compris les problèmes de performance du réseau TIC et les incidents liés aux TIC.

• Mettez en place plusieurs niveaux de contrôle, définissez des seuils d'alerte et des critères pour déclencher les processus de détection et de réponse aux incidents liés aux TIC, et mettez en place des mécanismes d'alerte automatique pour le personnel responsable de la réponse aux incidents liés aux TIC.

• Détecter rapidement les activités inhabituelles, y compris les problèmes de performance du réseau TIC et les incidents liés aux TIC.

Grâce à une meilleure compréhension de votre réseau, vous pouvez améliorer et accélérer la détection des menaces. Illumio envoie des données à votre SIEM, aidant ainsi votre équipe à détecter les menaces plus rapidement.

Répondre aux attaques et s'en remettre

• Veiller à ce que les fonctions essentielles puissent continuer à fonctionner pendant et après une attaque

• Réagir à tous les incidents liés aux TIC et les résoudre afin de limiter les dommages, de reprendre les activités et de se remettre d'une attaque.   

• Mettez rapidement en place des plans contenant des attaques adaptées à chaque type d'incident lié aux TIC et évitez ainsi des dommages plus importants.

• Estimez l'impact, les dommages et les pertes qu'une violation pourrait causer.

Moins une brèche reste dans votre système, meilleure est votre cyber-résilience. Avec Illumio, préparez-vous de façon proactive aux brèches en repérant les lacunes de sécurité et en établissant des politiques granulaires qui isolent les actifs de grande valeur. Lorsqu'une brèche se produit, arrêtez sa propagation et isolez les systèmes qu'elle a infectés.

Politiques de sauvegarde et méthodes de récupération

• Lorsque vous restaurez des données après une violation, utilisez des systèmes TIC qui ne sont pas directement connectés au système principal. Veillez à ce qu'ils soient protégés de tout accès non autorisé ou de toute altération des systèmes TIC.   

• Les sites de secours doivent être en mesure de poursuivre les services et de fournir le même niveau de service que le site principal.  

• Le personnel doit être en mesure d'accéder immédiatement au site de secours pour poursuivre les services pendant une attaque.

Avec Illumio, vous pouvez clôturer le site de sauvegarde pour assurer sa sécurité et poursuivre les services. Les clôtures en anneau réduisent le périmètre de sécurité, le fermant aux attaquants qui tentent d'accéder au site.

Téléchargez notre livre électronique gratuit, Strategies for DORA Compliance: Key Role of Zero Trust Segmentationpour en savoir plus.