Les responsables politiques européens sont de plus en plus préoccupés par les cyberattaques visant les infrastructures numériques critiques de la région.
Afin de permettre au secteur financier de mieux faire face à l’évolution des menaces, l’UE a élaboré le règlement sur la résilience opérationnelle numérique (DORA), qui s’appliquera à partir de janvier 2025.
La portée de DORA est considérable : elle englobe plus de 22 000 entités financières ainsi que leurs prestataires de services TIC opérant au sein de l’UE. Elle concernera également les acteurs établis en dehors de l’UE qui interagissent avec ces organisations.
En substance, la conformité à DORA constitue le socle sur lequel les acteurs des services financiers peuvent bâtir une stratégie de sécurité plus robuste et globale, adaptée aux risques auxquels ils doivent faire face.
Si la plupart des banques appliquent depuis longtemps des mesures de sécurité rigoureuses, DORA vise à renforcer les défenses dans l’ensemble de l’écosystème financier en intégrant davantage d’acteurs spécialisés, notamment les établissements de crédit et de paiement, les prestataires de services sur crypto-actifs, les dépositaires centraux de titres et les agences de notation de crédit. Ce règlement impose aux entités financières de réduire au minimum le risque d’altération ou de perte de données, de prévenir les accès non autorisés et les défaillances techniques susceptibles d’entraver leur activité, et de garantir la disponibilité de leurs systèmes TIC.
Garantir la conformité
Pour les entités financières, comme d’ailleurs pour la plupart des autres entreprises aujourd’hui, les applications et les données sont désormais essentielles à leur activité. Il est indispensable de protéger pleinement ces actifs à l’aide de technologies telles qu’un pare-feu robuste pour applications web (WAF), à la fois pour se conformer à DORA et pour assurer la continuité des opérations en cas d’attaque par déni de service distribué (DDoS) ou d’autres cyberattaques.
DORA exige également des entités financières qu’elles détectent rapidement les activités anormales, notamment les problèmes de performance des réseaux TIC et les incidents connexes, ainsi que les éventuels points uniques de défaillance susceptibles d’avoir des conséquences importantes. En cas d’incident grave, l’entité financière doit en informer les autorités de réglementation, les clients concernés et ses partenaires. Elle devra ensuite rendre compte de l’avancement de la résolution de l’incident et produire un rapport final analysant les causes profondes.
Pour répondre à ces exigences, les entités financières doivent disposer d’une visibilité complète sur les performances et l’état de sécurité de leurs applications. C’est là que la F5 Distributed Cloud Console peut jouer un rôle majeur. Conçue pour offrir une visibilité consolidée de bout en bout sur l’ensemble du parc applicatif, elle répond à la plupart des critères de conformité de DORA en matière de résilience numérique.
La F5 Distributed Cloud Console permet également de répondre à certaines exigences plus spécifiques de DORA. Par exemple, les entités financières doivent soumettre leurs outils, systèmes et processus TIC à des tests d’intrusion au moins tous les trois ans.
Jusqu’à récemment, ce type d’activité était l’apanage de hackers éthiques experts, dont les services étaient souvent coûteux. Ce n’est désormais plus le cas, et il est maintenant possible d’automatiser l’ensemble du processus.
Plus tôt cette année, F5 a lancé sa solution Distributed Cloud Web App Scanning qui permet aux organisations de surveiller en continu Internet, les dépôts publics, les serveurs exposés et d’autres sources afin de centraliser les services applicatifs accessibles depuis l’extérieur, les données et les vulnérabilités. Elles peuvent également effectuer des tests d’intrusion automatisés, identifier les vulnérabilités potentielles, obtenir des preuves des problèmes détectés et recevoir des recommandations de remédiation afin de renforcer la sécurité et de garantir la conformité.
Une automatisation accrue permet de réaliser des tests d’intrusion en continu de manière plus rentable, plutôt que projet par projet, afin de garantir le lancement en temps voulu de nouveaux produits et services.
Intégrer la sécurité dès la conception du parc informatique
Toutes les entreprises devraient viser une approche globale de la sécurité numérique, plutôt que de chercher à déployer des solutions ponctuelles spécifiques pour se conformer à DORA. L’automatisation accrue, rendue possible par les progrès de l’IA, facilite considérablement l’intégration de la sécurité dans la conception, le développement et le déploiement des infrastructures TIC, des composants, des applications et des interfaces de programmation d’applications (API) associées.
Les API, qui constituent désormais en quelque sorte le système nerveux central de l’économie numérique, revêtent une importance particulière. Les organisations doivent tout mettre en œuvre pour intégrer la détection des vulnérabilités aux processus de développement des applications, afin de s’assurer que les risques sont identifiés et que les politiques sont mises en œuvre avant que les API ne soient mises en production.
Pour répondre directement à ce besoin croissant, les services F5 Distributed Cloud proposent la solution de sécurité des API compatible avec l’IA la plus complète du secteur. L’époque où les entreprises étaient contraintes d’utiliser des ensembles d’outils et de fonctionnalités disparates pour sécuriser leurs API pendant leur développement et leur exécution est révolue. F5 permet de détecter les vulnérabilités et d’assurer l’observabilité dans le cadre du processus de développement des applications, afin que les risques soient identifiés et que les politiques soient mises en œuvre avant la mise en production des API. Alors que la sécurité des API n’a jamais été aussi importante ni aussi complexe, F5 évite à ses clients d’avoir à payer et à gérer des solutions de sécurité des API distinctes. La découverte et le test des API, la gestion de la posture de sécurité et la protection à l’exécution, le tout sur une plateforme unique, peuvent constituer un avantage majeur pour anticiper les complexités imminentes liées à DORA.
En définitive, DORA ne doit pas être perçu comme une contrainte. Il s’agit plutôt d’une formidable occasion d’affiner et de renforcer les mesures de sécurité essentielles au sein des organisations. Néanmoins, c’est un cheminement, et certains devront probablement revoir leur perception de ce que la sécurité signifie réellement et de la manière dont elle se traduit concrètement.
Heureusement pour tous ceux qui doivent relever les défis à venir, F5 dispose de nombreux outils nécessaires pour se conformer aux exigences de DORA en matière de surveillance et de signalement, sans compter qu’ils permettent de réduire considérablement les risques de cyberattaques paralysantes.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.