Qu'est-ce que DORA ?

La loi européenne sur la résilience opérationnelle numérique (DORA) est entrée en vigueur le 16 janvier 2023, mais les organisations avaient jusqu'au 17 janvier 2025 pour s'y conformer. Les institutions financières, y compris les banques, les compagnies d'assurance et les sociétés d'investissement, doivent se conformer aux règles strictes de la législation sur les capacités de protection, de détection, de confinement, de récupération et de réparation de cybersécurité, sous peine de sanctions pénales.

Comment DORA s'intègre-t-elle dans la sécurité SaaS ?

DORA a été créée par l'UE pour renforcer la résilience opérationnelle de ses entités financières. L'UE a reconnu que la transformation numérique en cours dans le secteur des services financiers a imposé une dépendance sans précédent à la technologie. Les services financiers seraient impactés si cette technologie était compromise par une cyberattaque. DORA couvre les technologies de l'information et de la communication (TIC), qui incluent des applications SaaS basées sur le cloud.

Quelles exigences DORA impose-t-elle aux entreprises de services financiers ?

DORA englobe cinq domaines principaux essentiels au bon fonctionnement des opérations numériques dans les services financiers :

• Gestion des risques TIC : stratégies et protocoles pour identifier, évaluer et atténuer les risques associés aux systèmes de technologies de l'information et de la communication (TIC).
• Reporting : procédures et normes pour un rapport complet sur la résilience opérationnelle et les activités de gestion des risques.
• Test de résilience opérationnelle numérique : méthodologies et cadres de test pour évaluer la résilience et la fiabilité des opérations numériques dans divers scénarios contraints.
• Gestion des risques tiers : pratiques et protocoles pour gérer les risques posés par les fournisseurs de services, fournisseurs et partenaires tiers dans l'écosystème numérique.
• Partage d'informations et de renseignements : mécanismes d'échange d'informations et de renseignements critiques liés aux cybermenaces, aux vulnérabilités et aux incidents entre les parties prenantes concernées.

Les fournisseurs de services financiers doivent démontrer leur capacité dans les domaines clés suivants afin d'assurer la conformité à DORA et de maintenir leur résilience opérationnelle :

• Identification : la capacité de documenter tous les utilisateurs, leurs rôles et leurs responsabilités au sein de l'application.
• Protection et prévention : élaborer des règles et déployer des outils qui surveillent les configurations afin d'assurer la résilience et la disponibilité continue de l'application.
• Détection : surveiller rapidement le comportement de l'utilisateur afin de détecter les signes de compromission (IOC) pour l'application.
• Apprentissage et évolution : développer une piste d'audit en vue d'une analyse post-compromission suite à tout incident de cybersécurité.
• Gérer le risque tiers : s'assurer que toutes les applications intégrées respectent les mêmes normes de sécurité appliquées aux applications SaaS du hub.

Comment DORA impacte-t-elle la sécurité SaaS ?

La sécurité SaaS est un sous-ensemble de la gestion des risques TIC axé sur la sécurisation des applications et plateformes SaaS utilisées dans les opérations de services financiers. Les organisations œuvrant à la conformité DORA doivent protéger ces applications contre tous les vecteurs d'attaque connus.

Erreurs de configuration

Les organisations doivent prendre des mesures pour identifier des paramètres mal configurés pouvant entraîner des compromissions de données et des interruptions de service.

Sécurité des identités

Les équipes de sécurité doivent surveiller et gérer tous les utilisateurs, en veillant à ce que les droits respectent le principe du moindre privilège. De plus, les organisations doivent être capables d'identifier les utilisateurs ayant conservé l'accès après leur départ, les comptes d'utilisateurs inactifs et les comptes d'utilisateurs externes.

Terminaux

Chaque terminal utilisateur est une source de risque pour l'application SaaS. Les équipes de sécurité doivent éliminer ce risque en identifiant les terminaux à haut risque et en les associant à des utilisateurs spécifiques.

Sécurité des applications tierces

De nombreuses applications demandent des périmètres intrusifs au-delà de ce qui est nécessaire à leur fonctionnement, exposant l'entreprise à des applications potentiellement malveillantes ou légitimes qui sont sous le contrôle d'un cybercriminel.

Gestion des données

Les organisations doivent sécuriser les documents et autres assets numériques via des contrôles d'accès et des autorisations de partage. Les documents partagés avec toute personne via un lien, par exemple, ne peuvent pas être sécurisés sans modifier les paramètres de partage.

De plus, DORA exige que les entités financières disposent de mécanismes pour détecter les activités anormales et identifier les points de défaillance uniques et importants. Ces mécanismes doivent permettre plusieurs niveaux de contrôle et conduire à des activités de réponses à incident.

Quels outils sécurisent la pile SaaS et sont conformes à DORA ?

Les organisations souhaitant se conformer à la norme DORA doivent déployer une plateforme de gestion de la posture de sécurité SaaS (SSPM) et de gestion de la posture de sécurité des applications (ASPM). Les plateformes SSPM examinent automatiquement les paramètres des applications et alertent les parties prenantes lorsque les configurations dévient. Cette visibilité du tableau de bord sur les applications permet aux administrateurs d'applications et aux équipes de sécurité de protéger l'application.

Les plateformes SSPM examinent également les logs utilisateur. Elles peuvent identifier les utilisateurs dotés d'autorisations excessives, trouver des comptes inactifs et surveiller les utilisateurs externes, ainsi que s'assurer que les employés licenciés sont entièrement retirés des applications d'entreprise. Elles peuvent également associer des terminaux à des utilisateurs, ce qui facilite la détection des terminaux à haut risque utilisés par des comptes hautement privilégiés. 

La détection et la surveillance de tiers sont une autre fonction clé de SSPM. Les plateformes SSPM examinent les applications connectées, identifient celles qui agissent de manière anormale ou ont des périmètres excessifs, et permettent aux utilisateurs de dissocier l'application. 

Une plateforme SSPM peut-elle détecter des cybermenaces ?

Les plateformes de SSPM dotées de capacités de détection et réponse aux cybermenaces d'identité (ITDR) utilisent des données provenant de toute la pile SaaS pour détecter les cybermenaces et alerter les équipes de sécurité. L'ITDR détecte les anomalies comportementales des utilisateurs et analyse les logs d'audit pour détecter des indicateurs de compromission (IOC) et des cybermenaces.

Les cybermenaces peuvent être basées sur de nombreux facteurs, allant des données IP au comportement des utilisateurs. Les données proviennent de toute la pile SaaS, pour un jeu de données bien plus riche et plus de contexte sur la cybermenace. Ce type de détection des cybermenaces est généralement conforme aux exigences de DORA.

Bonnes pratiques pour les fournisseurs SaaS

Voici quelques bonnes pratiques pour les fournisseurs SaaS :

• Tirez parti des plateformes de sécurité : utilisez des plateformes complètes de sécurité et de conformité adaptées aux besoins spécifiques des applications SaaS dans le secteur financier. Ces plateformes peuvent faciliter la gestion des identités, la gestion des erreurs de configuration, la détection des cybermenaces et la gestion des données, garantissant ainsi le respect des exigences de DORA.
• Tests réguliers de résilience : effectuez des tests réguliers de la résilience opérationnelle numérique, y compris les scénarios où un fournisseur de services cloud échoue. Cela garantit la préparation et la capacité à exécuter les transitions en douceur afin de minimiser l'impact sur les clients.
• Sauvegarde et récupération robustes : mettez en place des règles et procédures de sauvegarde qui garantissent la protection des données contre les risques liés à la gestion des données, y compris l'erreur humaine. Testez régulièrement ces procédures afin d'assurer une restauration rapide après des perturbations liées aux TIC.