Le r\u00e8glement DORA est entr\u00e9 en vigueur le 17 janvier 2025, sans p\u00e9riode de transition. Pour les banques, les assureurs et les gestionnaires de patrimoine europ\u00e9ens, le r\u00e8glement impose la segmentation du r\u00e9seau, l’acc\u00e8s au moindre privil\u00e8ge, l’authentification forte et la surveillance continue de tous les syst\u00e8mes TIC. Il ne s’agit pas d’objectifs ambitieux. Il s’agit d’exigences v\u00e9rifiables, assorties d’amendes pouvant aller jusqu’\u00e0 1 % du chiffre d’affaires journalier moyen mondial. <\/p>\n
La plupart des institutions financi\u00e8res de taille moyenne utilisent encore des piles de s\u00e9curit\u00e9 fragment\u00e9es : concentrateurs VPN s\u00e9par\u00e9s, pare-feu autonomes dans chaque succursale, filtrage web d’un fournisseur, protection des points d’extr\u00e9mit\u00e9 d’un autre. Cette approche fonctionnait lorsque les employ\u00e9s \u00e9taient assis au bureau et que les applications se trouvaient dans le centre de donn\u00e9es. Elle ne fonctionne plus lorsque les conseillers se connectent depuis leur domicile, que les outils de conformit\u00e9 fonctionnent dans le nuage et que les autorit\u00e9s de r\u00e9glementation exigent une piste d’audit unifi\u00e9e qui retrace chaque d\u00e9cision d’acc\u00e8s jusqu’\u00e0 une identit\u00e9 v\u00e9rifi\u00e9e. <\/p>\n
Une plateforme Secure Access Service Edge (SASE) consolide ces contr\u00f4les en un seul service g\u00e9r\u00e9 dans le nuage. Ce guide explique comment chaque composant SASE correspond \u00e0 des obligations DORA sp\u00e9cifiques, \u00e0 quoi ressemble actuellement le paysage des menaces pour les services financiers europ\u00e9ens et comment les institutions du march\u00e9 interm\u00e9diaire peuvent mettre en \u0153uvre SASE sans la complexit\u00e9 des projets d’entreprise des m\u00e9ga-fournisseurs. <\/p>\n
Les pr\u00e9c\u00e9dents r\u00e8glements financiers de l’UE ont abord\u00e9 la cybers\u00e9curit\u00e9 de mani\u00e8re indirecte. DORA est diff\u00e9rent. Il s’agit du premier cadre harmonis\u00e9 qui prescrit des contr\u00f4les techniques des TIC \u00e0 plus de 22 000 entit\u00e9s financi\u00e8res et \u00e0 leurs fournisseurs de services TIC dans toute l’UE. <\/p>\n
Le r\u00e8glement repose sur cinq piliers : la gestion des risques li\u00e9s aux TIC, la notification des incidents, les tests de r\u00e9silience op\u00e9rationnelle num\u00e9rique, la gestion des risques li\u00e9s aux TIC pour les tiers et le partage d’informations. Chaque pilier correspond \u00e0 des capacit\u00e9s qu’une plateforme SASE unifi\u00e9e fournit de mani\u00e8re native. <\/p>\n
L’article 9 est le plus pertinent pour la s\u00e9curit\u00e9 des r\u00e9seaux. Il exige des entit\u00e9s financi\u00e8res qu’elles con\u00e7oivent une infrastructure de r\u00e9seau qui puisse \u00eatre \u00ab\u00a0instantan\u00e9ment coup\u00e9e ou segment\u00e9e\u00a0\u00bb afin d’\u00e9viter la contagion en cas d’incident. Le m\u00eame article exige que l’acc\u00e8s aux actifs TIC soit limit\u00e9 \u00e0 \u00ab\u00a0ce qui est n\u00e9cessaire pour des fonctions l\u00e9gitimes et approuv\u00e9es uniquement\u00a0\u00bb et que les entit\u00e9s d\u00e9ploient des \u00ab\u00a0m\u00e9canismes d’authentification forte\u00a0\u00bb avec des contr\u00f4les cryptographiques. L’article 10 exige des m\u00e9canismes de d\u00e9tection avec \u00ab\u00a0plusieurs niveaux de contr\u00f4le\u00a0\u00bb et la surveillance de \u00ab\u00a0l’activit\u00e9 des utilisateurs, des anomalies des TIC et des incidents li\u00e9s aux TIC\u00a0\u00bb. <\/p>\n
Les obligations en mati\u00e8re de rapports d’incidents sont strictes. Les entit\u00e9s financi\u00e8res doivent soumettre une notification initiale dans les quatre heures suivant la classification d’un incident TIC majeur, un rapport interm\u00e9diaire dans les 72 heures et un rapport final une fois l’analyse des causes profondes termin\u00e9e. En l’absence d’un enregistrement centralis\u00e9 permettant de corr\u00e9ler les \u00e9v\u00e9nements d’acc\u00e8s pour tous les utilisateurs, appareils et applications, il n’est pas possible de respecter ces d\u00e9lais. <\/p>\n
La gestion des risques li\u00e9s aux TIC pour les tiers (articles 28 \u00e0 44) ajoute une couche suppl\u00e9mentaire. Les entit\u00e9s financi\u00e8res doivent tenir un registre d’informations documentant tous les contrats de TIC avec des tiers. L’article 30 exige des dispositions contractuelles concernant la localisation des donn\u00e9es, les accords de niveau de service, les conditions de r\u00e9siliation et les droits d’audit illimit\u00e9s. Pour les institutions qui utilisent des fournisseurs de s\u00e9curit\u00e9 dont le si\u00e8ge est aux \u00c9tats-Unis, cela soul\u00e8ve des questions g\u00eanantes quant \u00e0 l’exposition juridictionnelle en vertu du CLOUD Act. <\/p>\n