Introduction : Pourquoi la vulnérabilité est-elle cruciale ?
Les vulnérabilités sont des failles ou insuffisances techniques, organisationnelles ou humaines qui, si elles sont exploitées par une menace, peuvent transformer un risque latent en perturbation majeure. Dans le cadre de la résilience opérationnelle numérique définie par DORA, leur identification et leur gestion proactive sont des priorités absolues.
DORA apporte une approche stratégique en intégrant une définition spécifique des vulnérabilités, élargissant leur champ d’application pour inclure des composants souvent négligés dans d’autres cadres, comme les dispositifs. Cette précision aide les institutions financières à mieux comprendre leurs faiblesses et à concevoir des plans d’action adaptés.
Historique de la notion de vulnérabilité dans les textes de référence et réglementations
⦁ ENISA et la directive NIS2
⦁ ENISA définit les vulnérabilités comme des failles exploitables pouvant compromettre les systèmes critiques dans ses lignes directrices sur la cybersécurité. La directive NIS2 renforce cette approche en exigeant une gestion proactive des vulnérabilités, notamment dans les infrastructures critiques.
⦁ Exemple : L’inclusion explicite des vulnérabilités dans les processus de gestion des incidents.
⦁ ISO 27001 et 27005
⦁ Ces normes internationales identifient la vulnérabilité comme un élément clé dans la gestion des risques. L’ISO 27005 décrit des méthodologies pour évaluer la probabilité et l’impact des vulnérabilités, tout en offrant des outils pour leur priorisation.
⦁ ESA Guidelines (EBA, ESMA, EIOPA)
⦁ Les lignes directrices des autorités européennes supervisant les institutions financières imposent des mesures pour identifier et corriger rapidement les vulnérabilités critiques.
⦁ Exigence clé : Maintenir des tests réguliers et surveiller en continu les évolutions des vulnérabilités.
⦁ ANSSI et régulateurs nationaux
⦁ L’ANSSI, dans son Guide d’hygiène informatique, met l’accent sur les correctifs logiciels, les tests de sécurité et la sensibilisation comme moyens essentiels de réduire les vulnérabilités. Ces bonnes pratiques sont largement reprises dans les cadres nationaux.
Dissection de la définition de vulnérabilité selon DORA
Selon DORA (Article 3, point 7), une vulnérabilité est définie comme :
“Une faiblesse dans les systèmes, réseaux, processus ou dispositifs, pouvant être exploitée pour compromettre la sécurité, la disponibilité ou l’intégrité.”
Analyse des concepts clés
⦁ “Faiblesse” :
⦁ Une vulnérabilité peut être une erreur technique (ex. : bug logiciel), organisationnelle (ex. : processus inadéquat) ou humaine (ex. : mauvaise gestion des accès).
⦁ Exemple : Une configuration incorrecte dans un système d’authentification peut devenir une porte ouverte pour des cyberattaques.
⦁ “Systèmes, réseaux, processus ou dispositifs” :
⦁ Systèmes : Logiciels ou plateformes.
⦁ Réseaux : Connectivité et infrastructures.
⦁ Processus : Failles dans les politiques organisationnelles.
⦁ Dispositifs : Une inclusion notable dans DORA, élargissant le champ des vulnérabilités pour inclure les équipements physiques (terminaux de paiement, objets connectés).
⦁ “Exploitée pour compromettre” :
⦁ Cela renforce le lien entre menace, vulnérabilité et risque. Une faiblesse n’est problématique que si elle est activement exploitée.
⦁ “Sécurité, disponibilité ou intégrité” :
⦁ Représentation des trois piliers fondamentaux de la sécurité de l’information :
⦁
⦁ Confidentialité : DORA couvre implicitement cet aspect à travers la sécurisation des données sensibles.
⦁ Intégrité : Assurer que les systèmes et données restent fiables et exacts.
⦁ Disponibilité : Éviter toute interruption des services critiques.
Pourquoi cette confusion ?
Parfois, le terme “sécurité” est utilisé de manière générique pour représenter un concept global, mais cela peut prêter à confusion. DORA ne modifie pas ces piliers fondamentaux, mais les articule autour de la résilience numérique, avec un accent particulier sur la disponibilité des services financiers.
- Différences entre la définition de DORA et celles des cadres précédents
Il est crucial de bien différencier la définition de la vulnérabilité dans DORA et de la comparer explicitement avec les définitions adoptées par d’autres cadres. Je vais me recentrer sur cet aspect, en mettant en parallèle les points de convergence et de divergence entre DORA et les approches existantes.
Définition de la vulnérabilité selon DORA
Article 3, point 7, de DORA :
“Une faiblesse dans les systèmes, réseaux, processus ou dispositifs, pouvant être exploitée pour compromettre la sécurité, la disponibilité ou l’intégrité.”
Comparaison avec d’autres cadres réglementaires et méthodologies
- Approche de DORA
⦁ Éléments couverts :
⦁ Systèmes (logiciels, applications métier, bases de données).
⦁ Réseaux (connectivité, infrastructures de communication).
⦁ Processus (procédures organisationnelles, gestion des accès).
⦁ Dispositifs (terminaux de paiement, IoT, matériel réseau) – une inclusion rare et significative.
⦁ Focus :
⦁ Met l’accent sur les composantes exploitables par une menace, ce qui établit un lien direct avec les risques TIC et les perturbations potentielles.
⦁
⦁ Se concentre sur les faiblesses directement mesurables et les points exploitables dans les systèmes d’information critiques. - Approche de l’ENISA
ENISA Threat Landscape Report (2022) :
“Une vulnérabilité est une faiblesse technique, organisationnelle ou humaine dans un système, qui, si exploitée, peut entraîner un accès non autorisé ou une atteinte à la sécurité.”
⦁ Éléments couverts :
⦁ Principalement techniques et organisationnels (moins d’accent sur les dispositifs physiques).
⦁ Moins de spécificité pour les processus.
⦁ Focus :
⦁ Définition davantage orientée vers la sécurité de l’information, avec une attention particulière aux accès non autorisés. - Approche de l’ISO 27005
ISO 27005 (Gestion des risques liés à la sécurité de l’information) :
“Une vulnérabilité est une faiblesse d’un actif ou d’un groupe d’actifs qui peut être exploitée par une ou plusieurs menaces.”
⦁ Éléments couverts :
⦁ Basée sur les actifs, ce qui inclut les systèmes, les processus et parfois les individus.
⦁ La mention explicite d’actifs rend la définition plus large que celle de DORA.
⦁ Focus :
⦁ Accent sur la protection des actifs contre les menaces potentielles.
⦁ Moins centrée sur l’idée de perturbations opérationnelles. - Approche de l’ANSSI
Guide d’hygiène informatique (2020) :
“Une vulnérabilité est une faille dans la configuration ou le fonctionnement d’un système d’information, pouvant être exploitée pour altérer sa sécurité, sa disponibilité ou son intégrité.”
⦁ Éléments couverts :
⦁ Approche centrée sur les systèmes d’information (logiciels, configurations réseau, etc.).
⦁ Absence de mention explicite des processus ou dispositifs.
⦁ Focus :
⦁ Met l’accent sur les failles techniques et leur correction rapide, souvent par des mises à jour ou correctifs.
Analyse comparative de la définition de DORA
Critères DORA ENISA ISO 27005 ANSSI
Inclusion des dispositifs Mention explicite (terminaux, IoT, etc.). Rarement abordée. Implicite si considéré comme actif. Non abordée.
Focus sur les processus Décrit comme un domaine clé. Mention marginale. Couvert sous forme d’actifs. Faible.
Lien avec les menaces Vulnérabilités exploitables par des menaces. Décrit dans un contexte général. Exploitation par des menaces. Exploitation technique.
Application sectorielle Résilience numérique dans les services financiers. Généraliste (cybersécurité). Gestion des actifs. Protection technique.
Dimension opérationnelle Perturbations et continuité d’activité. Moins axée sur l’opérationnel. Risques pour les actifs. Technique et correctif.
Différences clés dans l’approche de DORA
⦁ Inclusion des dispositifs physiques :
⦁ DORA élargit la définition traditionnelle des vulnérabilités pour inclure les équipements matériels (ex. : IoT, terminaux de paiement).
⦁ Cela reflète l’évolution des menaces, où les dispositifs jouent un rôle croissant dans les incidents.
⦁ Lien direct avec les perturbations :
⦁ DORA articule la vulnérabilité comme un élément clé dans la chaîne menant aux perturbations opérationnelles.
⦁ Contrairement à l’ISO 27005 ou ENISA, qui restent centrées sur la sécurité et les actifs.
⦁ Exclusion implicite des actifs :
⦁ Contrairement à l’ISO, DORA ne mentionne pas directement les actifs, préférant se focaliser sur les éléments fonctionnels critiques des systèmes d’information.
Conclusion : Une définition moderne et sectorielle
La définition de vulnérabilité dans DORA se distingue par son caractère sectoriel et opérationnel, répondant spécifiquement aux besoins des institutions financières. Elle s’aligne avec les réalités technologiques modernes tout en complétant les cadres existants comme l’ISO et l’ENISA. Cette approche garantit que les faiblesses critiques, qu’elles soient techniques, organisationnelles ou matérielles, sont intégrées dans une gestion proactive de la résilience numérique.
Sources
⦁ DORA (2022) : ⦁ Lien officiel.
⦁ Directive NIS2 (2022) : ⦁ Lien officiel.
⦁ ENISA Threat Landscape Report (2022) : ⦁ ENISA.
⦁ ISO 27005 (2018) : Norme internationale pour la gestion des risques.
⦁ ANSSI Guide d’hygiène informatique (2020) : Guide officiel.