Le règlement sur la résilience opérationnelle numérique (DORA) s’impose comme un texte législatif majeur pour le secteur des services financiers au sein de l’Union européenne (UE). Il ne s’agit pas simplement d’un nouvel acronyme à ajouter au paysage réglementaire, mais d’un changement fondamental visant à renforcer la cybersécurité et la résilience opérationnelle dans le domaine numérique. Alors que les organisations se préparent à s’y conformer, il devient essentiel de comprendre les principes fondamentaux de DORA.
DORA, acronyme de Digital Operational Resilience Act (règlement sur la résilience opérationnelle numérique), est une législation de l’UE visant à renforcer la cybersécurité et la résilience opérationnelle dans le secteur des services financiers. En vertu de DORA, les entités financières ainsi que leurs prestataires tiers essentiels de services technologiques sont tenus de respecter des normes techniques spécifiques pour leurs systèmes de technologies de l’information et de la communication (TIC) d’ici au 17 janvier 2025.
Les enjeux sont considérables pour ceux qui ne se conforment pas à DORA, car tout manquement peut entraîner des conséquences indésirables. Les autorités chargées de l’application de la réglementation seront habilitées à infliger des sanctions administratives — et, dans certains cas, pénales — aux entités qui ne respectent pas DORA. Au-delà des répercussions juridiques, l’image de marque des organisations non conformes pourrait être gravement ternie.
À l’approche de l’échéance, il sera essentiel pour les organisations du secteur des services financiers de se tenir informées des implications et des exigences de DORA. Cet article examinera plus en détail les subtilités de DORA et explorera des stratégies et des solutions possibles pour contribuer à garantir la conformité tout en optimisant l’efficacité opérationnelle.
Principaux points à prendre en compte concernant DORA
Alors que les organisations se préparent à se conformer au règlement sur la résilience opérationnelle numérique, plusieurs considérations essentielles nécessitent une attention particulière :
- Signalement rapide des incidents de cybersécurité
Dans le cadre de DORA, le signalement rapide des incidents de cybersécurité n’est pas facultatif. Les organisations doivent mettre en place des mécanismes robustes de réponse aux incidents afin de les identifier, de les évaluer et de les signaler rapidement. Tout manquement à l’obligation de signaler les incidents dans les délais impartis pourrait entraîner de graves conséquences au titre de DORA.
- Transparence concernant la dépendance d’une organisation à l’égard d’entités tierces
DORA met l’accent sur la transparence concernant la dépendance d’une organisation à l’égard d’entités tierces pour la fourniture de services critiques. Les organisations doivent évaluer de manière approfondie leurs dépendances vis-à-vis de prestataires tiers de services technologiques et les déclarer. Elles doivent notamment s’assurer que ces prestataires respectent les normes techniques requises et sont en mesure de contribuer aux objectifs de résilience opérationnelle de l’organisation.
- Capacité à répondre aux demandes d’audit des autorités de réglementation ou des clients
Un autre aspect important dans le cadre de DORA est la capacité de l’organisation à répondre efficacement aux demandes d’audit des autorités de réglementation ou des clients. Cela implique de tenir à jour une documentation exhaustive, de procéder à des évaluations régulières et de mettre en œuvre des contrôles rigoureux afin de démontrer la conformité aux exigences de DORA. Les organisations doivent être prêtes à fournir des preuves attestant qu’elles respectent les normes techniques imposées et les mesures de résilience opérationnelle.
Comment les solutions F5 peuvent contribuer à la conformité à DORA
La plateforme F5 Distributed Cloud propose une solution qui simplifie et optimise les infrastructures de sécurité, permettant ainsi aux organisations de mieux relever les défis liés à la conformité à DORA. En réduisant le recours à de multiples solutions ponctuelles, F5 permet aux organisations de centraliser la gestion de la sécurité et l’application des politiques dans les environnements distribués, ce qui rationalise les opérations et renforce la protection et la visibilité.
Avec F5, déployer des politiques cohérentes et faire évoluer la sécurité sur l’ensemble de votre parc d’applications devient un jeu d’enfant, quel que soit leur lieu d’hébergement. En outre, la solution F5 fournit de précieuses informations et des données de télémétrie sur les infrastructures d’applications distribuées via une interface utilisateur centralisée, facilitant ainsi une surveillance et une gestion efficaces. L’adoption de politiques de sécurité « un clic pour les activer, une exécution partout » garantit une protection cohérente et reproductible, avec une couverture et une application à l’échelle mondiale, permettant aux organismes de services financiers de bénéficier de mesures de sécurité complètes, à la fois efficaces et faciles à mettre en œuvre.
De plus, grâce à l’intégration de la technologie acquise par l’intermédiaire de Heyhack pour créer F5 Distributed Cloud Services Web Application Scanning, les clients pourront bénéficier de puissantes fonctionnalités automatisées de reconnaissance de sécurité et de tests d’intrusion. Par ailleurs, les services Distributed Cloud primés de F5 continuent d’améliorer la sécurité des API, notamment grâce à l’extension des capacités de limitation du débit des API, à une meilleure gestion de l’inventaire des API, à l’amélioration de la validation des JWT, à la détection de modèles personnalisés et à l’amélioration des capacités de découverte des API afin d’identifier les API zombies.
Enfin, grâce aux solutions SSL de F5, les organisations peuvent optimiser leurs investissements dans les infrastructures et la sécurité grâce au déchiffrement, au chiffrement et à l’acheminement du trafic dynamiques et fondés sur des politiques via des dispositifs d’inspection de sécurité. Cela est particulièrement important pour DORA en ce qui concerne les exigences relatives au chiffrement des données en transit et au repos.
Toutes les organisations concernées sont désormais engagées dans une course contre la montre pour s’assurer que leurs capacités de sécurité et de surveillance sont suffisamment robustes afin d’éviter les amendes et, surtout, l’atteinte à leur réputation liée à un ou plusieurs manquements aux exigences de conformité de DORA.
Heureusement, les technologies dont elles ont besoin pour prospérer dans ce nouvel environnement réglementaire sont d’ores et déjà disponibles. Découvrez comment les solutions F5 peuvent vous aider ici.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.