Introduction : Clarification des notions de “perturbation” et “risque”
Dans les thématiques précédentes, nous avons montré comment la numérisation du secteur financier a offert des opportunités d’innovation, tout en introduisant de nouvelles vulnérabilités numériques. Nous avons également exploré la manière dont la résilience numérique permet aux institutions financières de maintenir leurs activités essentielles malgré des événements perturbateurs.
Pour mieux comprendre les exigences de DORA et leur application concrète, il est crucial de clarifier deux notions fondamentales : le risque TIC et la perturbation liée aux TIC.
Ces notions, bien qu’étroitement liées, diffèrent dans leur nature et leur rôle dans la gestion des défis numériques. Un risque TIC est une évaluation combinant :
⦁ Une source de menace (intentionnelle ou accidentelle),
⦁ Une vulnérabilité exploitable, et
⦁ Un impact potentiel mesurable.
En revanche, une perturbation liée aux TIC désigne la concrétisation de ce risque, entraînant des impacts immédiats sur la confidentialité, l’intégrité ou la disponibilité des services.
Cette distinction est essentielle pour comprendre comment anticiper et gérer les risques, tout en minimisant les impacts des perturbations. Dans cette section, nous allons explorer ces deux notions, les différencier clairement et les illustrer à travers des exemples concrets issus des cas étudiés précédemment.
⦁ Différenciation entre “perturbation” et “risque”
⦁ Risque TIC (IT-related Risk)
Définition :
Un risque lié aux TIC est défini comme :
“L’impact net sur les objectifs stratégiques d’une organisation, prenant en compte :
⦁ La probabilité qu’une source de menace particulière exploite une vulnérabilité spécifique dans un système d’information.
⦁ L’impact qui en résulterait si cela venait à se produire.”
Un risque TIC est donc une évaluation combinant :
• Une source de menace (intentionnelle ou accidentelle).
• Une vulnérabilité exploitée.
• Un impact potentiel sur la confidentialité, l’intégrité ou la disponibilité des données et des systèmes.
Exemples de risques TIC :
⦁ Erreur humaine non intentionnelle : Une erreur de configuration qui pourrait rendre un système vulnérable.
⦁ Menaces cybernétiques : Une tentative potentielle d’exploitation d’une faille logicielle connue.
⦁ Défaillance technologique : La probabilité qu’un serveur critique tombe en panne à cause d’un défaut matériel.
⦁ Perturbation liée aux TIC
⦁ Définition :
Une perturbation liée aux TIC est définie dans DORA (Article 3, point 9) comme :
“Un événement ayant un impact négatif significatif sur l’intégrité, la disponibilité ou la confidentialité des systèmes, des réseaux ou des données liés à l’utilisation des TIC.”
Une perturbation représente donc la réalisation concrète d’un risque TIC, entraînant des conséquences mesurables et immédiates sur les opérations.
⦁ Exemples de perturbations liées aux TIC :
⦁ Une cyberattaque qui compromet la disponibilité des systèmes (exemple : WannaCry).
⦁ Une panne matérielle rendant inaccessible un service critique (exemple : AWS).
⦁ Une mauvaise gestion du changement provoquant des erreurs de fonctionnement (exemple : Knight Capital).
⦁ Différences clés entre “risque” et “perturbation”
Caractéristique Risque TIC Perturbation liée aux TIC
Nature Potentiel, hypothétique. Concret, réalisé.
Composantes clés Source de menace + vulnérabilité + impact potentiel. Impact direct sur les opérations (confidentialité, intégrité, disponibilité).
Exemple La probabilité qu’un ransomware exploite une faille de sécurité. Un ransomware qui chiffre effectivement les données sensibles.
⦁ Pourquoi cette distinction est-elle importante ?
⦁ Gestion proactive des risques :
Les institutions financières doivent identifier et évaluer les risques TIC avant qu’ils ne se matérialisent en perturbations. Cela inclut :
• La surveillance des vulnérabilités.
• L’évaluation des probabilités et des impacts.
• La mise en place de contrôles préventifs.
⦁ Réponse rapide aux perturbations :
Les perturbations nécessitent des plans de continuité pour limiter leurs impacts sur les opérations et les parties prenantes.
⦁ Exemple appliqué :
• Risque : Une dépendance excessive à un fournisseur unique (AWS).
• Perturbation : Une panne chez AWS rendant les services bancaires inaccessibles.
Thématique 1 (Numérisation) : La numérisation du secteur financier a amplifié les risques TIC, notamment liés aux tiers et à l’interconnectivité.
Thématique 2 (Résilience numérique): La résilience numérique repose sur la capacité à identifier les risques et à répondre efficacement aux perturbations lorsqu’elles surviennent.
⦁ Comment le règlement DORA aborde les notions de risques et de perturbations
2.1. Risque lié aux TIC :
⦁ Introduction :
Le risque lié aux TIC constitue le point de départ de nombreux défis numériques pour les institutions financières. En effet, avant qu’un événement ne devienne une perturbation liée aux TIC, il est souvent issu d’un risque identifiable, lié à une vulnérabilité technique, organisationnelle ou humaine.
Dans son article 3, point 5, DORA propose une définition spécifique du risque lié aux TIC que nous allons déchiffrer à la lumière des réglementations précédentes et des textes de référence, en identifiant les différences et en mettant en avant les complémentarités
⦁ Décryptage de la définition du risque lié aux TIC selon DORA
⦁ Définition selon l’article 3, point 5 de DORA
Le règlement DORA définit le risque lié aux TIC comme suit :
« Toute circonstance raisonnablement identifiable liée à l’utilisation des réseaux et des systèmes d’information qui, si elle se concrétise, peut compromettre la sécurité des réseaux et des systèmes d’information, de tout outil ou processus dépendant de la technologie, du fonctionnement et des processus ou de la fourniture de services en produisant des effets préjudiciables dans l’environnement numérique ou physique. »
Cette définition met en avant trois éléments clés :
⦁ Une circonstance identifiable : L’idée qu’un risque lié aux TIC doit être repérable, même s’il n’est pas encore matérialisé.
⦁ Un potentiel de compromis : Le risque devient pertinent lorsqu’il menace la sécurité, la continuité ou l’intégrité des systèmes ou des services.
⦁ Un impact préjudiciable : Le risque se mesure par ses effets, qu’ils soient numériques (vol de données) ou physiques (panne d’infrastructure).
⦁ Décryptage par composantes
⦁ “Toute circonstance raisonnablement identifiable” :
⦁ Analyse :
⦁ Ce choix de termes élargit le périmètre des risques TIC en incluant :
⦁ Des événements concrets ou potentiels (exemple : une vulnérabilité connue).
⦁ Des contextes émergents ou encore mal définis (exemple : l’usage croissant de l’intelligence artificielle dans les systèmes financiers).
⦁ Avantage :
⦁ Cette formulation offre une flexibilité qui permet de prendre en compte un large éventail de scénarios, y compris ceux qui ne sont pas encore documentés mais qui peuvent être anticipés.
⦁ Limite :
⦁ Elle peut rendre difficile l’évaluation concrète des risques pour les institutions financières, car elle repose sur une notion subjective : qu’est-ce qui est “raisonnablement identifiable” ?
⦁ Insistance sur “raisonnablement” :
⦁ Analyse :
⦁ Le terme “raisonnablement” est clé pour interpréter cette définition. Il suggère que :
⦁ Les institutions financières ne sont pas tenues d’identifier tous les scénarios possibles, mais seulement ceux qui peuvent être anticipés avec des méthodes réalistes et proportionnées.
⦁ Les risques doivent être évalués en fonction des moyens, des ressources et des outils disponibles à un moment donné.
⦁ Avantages et limites :
⦁ Avantage : Ce terme introduit une certaine flexibilité, évitant que les institutions ne soient accablées par des obligations irréalisables.
⦁ Limite : La subjectivité du mot “raisonnablement” peut prêter à des interprétations divergentes, créant des zones grises dans l’application pratique.
⦁ Exemple : Une faille logicielle récemment découverte (zero-day) pourrait-elle être considérée comme “raisonnablement identifiable” ?
⦁ Contexte réglementaire :
⦁ ENISA et les ESA insistent davantage sur des méthodologies standardisées pour détecter les risques, comme l’analyse de la probabilité et de l’impact. DORA reste plus large, incitant à l’anticipation mais sans imposer une approche unique.
⦁ 2. “Liée à l’utilisation des réseaux et des systèmes d’information” :
⦁ Analyse :
⦁ Cette phrase ancre le risque TIC dans le domaine numérique, en lien direct avec :
⦁ Les infrastructures technologiques essentielles.
⦁ Les systèmes de gestion des données et des transactions.
⦁ Contexte pratique : Cela inclut :
⦁ Les systèmes internes (serveurs, logiciels critiques).
⦁ Les relations avec des tiers (fournisseurs de cloud, prestataires TIC).
⦁ Absence explicite des données : une omission notable ?
⦁ Contrairement à d’autres cadres réglementaires (comme le RGPD ou la Directive NIS2), DORA ne mentionne pas explicitement les données dans cette partie de la définition.
⦁ Cela peut sembler surprenant, car les données sont souvent la cible principale des cyberattaques et représentent un actif stratégique essentiel pour les institutions financières.
⦁ Hypothèses pour expliquer cette omission :
⦁ Cadrage global : Les réseaux et systèmes d’information mentionnés dans la définition incluent implicitement les données qu’ils transportent ou stockent.
⦁ Complémentarité réglementaire :
⦁ La protection des données personnelles ou financières est largement couverte par d’autres réglementations comme le RGPDou les Directives PSD2 et NIS2. DORA se concentre sur la résilience opérationnelle globale, dont les données ne sont qu’un des aspects.
⦁ Perspective systémique :
⦁ En omettant une mention explicite des données, DORA semble mettre l’accent sur une approche holistique, où la résilience ne dépend pas uniquement de la protection des données, mais également de la continuité des systèmes et services.
⦁ 3. “Qui, si elle se concrétise, peut compromettre la sécurité” :
• Analyse :
La définition met l’accent sur trois aspects de la sécurité :
• Confidentialité : Protection des données sensibles contre l’accès non autorisé.
• Intégrité : Assurance que les données et systèmes ne sont pas altérés de manière non autorisée.
• Disponibilité : Garantie que les systèmes et services restent accessibles lorsque nécessaire.
• Exemples :
• Une cyberattaque qui vole des données (confidentialité).
• Une panne de système due à un bug (disponibilité).
⦁ 4. “Des réseaux, des systèmes d’information, de tout outil ou processus dépendant de la technologie” :
• Analyse :
Cette inclusion élargit le champ d’application aux outils et processus technologiques, couvrant :
• Les logiciels.
• Les équipements matériels.
• Les workflows automatisés et les protocoles organisationnels.
• Impact : Cela englobe les défaillances purement technologiques et les erreurs humaines liées à l’utilisation de la technologie.
⦁ 5. “Produisant des effets préjudiciables dans l’environnement numérique ou physique” :
• Analyse :
La définition reconnaît que les risques TIC ne se limitent pas au domaine numérique.
• Effets numériques : Vol de données, paralysie des systèmes.
• Effets physiques : Dysfonctionnements d’infrastructures critiques (exemple : ATM hors service).
• Exemple concret :
• Une panne de cloud peut entraîner l’indisponibilité des services bancaires, impactant à la fois l’expérience client (numérique) et les opérations physiques (services en agence).
Lien avec les obligations des institutions financières
1. Identification proactive des risques :
• Les institutions doivent s’assurer que toutes les circonstances “raisonnablement identifiables” sont documentées. Cela inclut :
• La surveillance des vulnérabilités techniques (exemple : mises à jour logicielles).
• La cartographie des dépendances à des tiers critiques.
2. Évaluation des impacts :
• DORA met l’accent sur la capacité des institutions à évaluer non seulement les risques directs mais aussi leurs impacts en cascade. Par exemple :
• Un bug dans un logiciel interne peut affecter plusieurs systèmes connectés, amplifiant l’impact initial.
3. Préparation et prévention :
• En intégrant les “circonstances identifiables”, les institutions doivent anticiper les risques émergents, même si ceux-ci ne sont pas encore documentés.
Exemples concrets basés sur cette définition
1. Risque de dépendance excessive aux tiers :
• Circonstance : Une institution utilise un fournisseur unique pour ses services cloud.
• Compromis potentiel : Une panne chez ce fournisseur peut affecter la disponibilité des systèmes critiques.
• Impact : Clients incapables d’accéder aux services numériques.
2. Risque d’erreur humaine :
• Circonstance : Une erreur de configuration dans un logiciel de gestion des paiements.
• Compromis potentiel : Altération des transactions financières.
• Impact : Perte de confiance des clients et amendes réglementaires.
3. Risque cyber :
• Circonstance : Une vulnérabilité non corrigée dans un système interne.
• Compromis potentiel : Exposition à un ransomware comme WannaCry.
• Impact : Interruption des opérations pendant plusieurs jours.
Synthèse du point approfondi
La définition du risque lié aux TIC dans DORA est ambitieuse car elle cherche à couvrir un large éventail de scénarios. Toutefois, elle laisse une part d’interprétation, notamment avec l’usage du terme “circonstance raisonnablement identifiable”. Cela incite les institutions à adopter une approche proactive, en combinant la surveillance technologique, l’analyse organisationnelle et la gestion des dépendances à des tiers.
- Comparaison avec d’autres définitions du risque TIC
Pour mieux comprendre cette définition, comparons-la avec celles trouvées dans d’autres cadres réglementaires et textes de référence.
A. ENISA – Cyber Threat Landscape (2022)
ENISA décrit les risques TIC comme :
« Une combinaison de la probabilité d’un événement cybernétique et de ses impacts sur les actifs informationnels. »
Différences et complémentarités avec DORA :
• ENISA met davantage l’accent sur la probabilité, tandis que DORA utilise le terme « circonstance raisonnablement identifiable », moins précis.
• ENISA relie explicitement les risques TIC à des actifs informationnels, alors que DORA élargit la portée aux processus et environnements physiques.
B. Directive NIS2 (Article 6)
La directive NIS2 mentionne des risques similaires dans le contexte des opérateurs de services essentiels :
« Tout risque pouvant affecter la continuité et la sécurité des réseaux et des systèmes d’information essentiels. »
Différences et complémentarités :
• NIS2 se concentre sur la continuité des services essentiels, un aspect sous-entendu mais non explicitement mentionné par DORA.
• DORA englobe davantage d’éléments technologiques et organisationnels, allant au-delà des simples réseaux et systèmes d’information.
C. ESA (EBA, ESMA, EIOPA) Guidelines (ICT Risk Management, 2019)
Les ESA définissent les risques TIC comme :
« Des risques découlant de la dépendance croissante des institutions financières aux technologies de l’information pour fournir leurs services, notamment les risques liés aux défaillances technologiques, aux cyberattaques et aux erreurs humaines. »
Différences et complémentarités :
• Les ESA incluent directement des exemples concrets (cyberattaques, erreurs humaines), tandis que DORA reste plus abstrait avec le terme « circonstance ».
• Les ESA mettent en évidence la dépendance au numérique, un aspect implicite mais non détaillé dans DORA.
- Focus : La notion de “circonstance” dans la définition de DORA
Le terme “circonstance raisonnablement identifiable” dans DORA peut sembler évasif, mais il reflète une flexibilité intentionnelle pour couvrir :
1. Des risques explicites : Une vulnérabilité technique connue, comme SMBv1 exploitée par EternalBlue.
2. Des risques émergents : Une dépendance croissante à des tiers critiques, même sans incidents immédiats.
Critique :
• Ce choix de termes peut manquer de précision, rendant la mise en œuvre difficile. Par exemple, comment une institution peut-elle déterminer si une « circonstance » est « raisonnablement identifiable » ?
• Les définitions alternatives (ENISA ou ESA) préfèrent des termes plus opérationnels comme « probabilité » ou « menace spécifique ».
Clarification sur la sécurité :
La définition met l’accent sur les trois piliers classiques de la sécurité des systèmes d’information :
• Confidentialité : Protéger les données sensibles contre les accès non autorisés.
• Intégrité : Assurer que les données et systèmes ne sont pas modifiés ou corrompus de manière non autorisée.
• Disponibilité : Garantir que les systèmes et services restent accessibles lorsqu’ils sont nécessaires.
Impact de l’omission explicite des données :
Même si les données ne sont pas mentionnées, les risques TIC identifiés dans cette partie incluent implicitement les impacts directs sur :
• La perte ou la divulgation de données sensibles.
• La corruption des données critiques pour les opérations financières.
Exemple concret :
• Une cyberattaque comme WannaCryne cible pas uniquement les réseaux, mais également les données qui y transitent, provoquant une indisponibilité prolongée.
4. “Produisant des effets préjudiciables dans l’environnement numérique ou physique” :
Importance de la double dimension numérique et physique :
• Numérique : Vol ou destruction de données, panne de systèmes.
• Physique : Dysfonctionnement des infrastructures dépendantes du numérique, comme les guichets automatiques ou les terminaux de paiement.
Exemple concret :
• Une panne AWS affecte directement les plateformes bancaires en ligne (numérique) mais peut également entraîner une interruption des services en agence (physique).
Synthèse enrichie du point 1
La définition du risque TIC selon DORA adopte une approche large et systémique, en insistant sur la nécessité pour les institutions financières d’identifier les risques de manière proportionnée et proactive.
1. La flexibilité introduite par le terme “raisonnablement” :
• Cela permet aux institutions d’adapter leurs efforts d’identification des risques à leurs capacités et ressources.
• Cependant, cette flexibilité peut être perçue comme une zone grise, nécessitant des méthodologies claires pour évaluer ce qui est “raisonnable”.
2. L’absence explicite des données :
• Bien que surprenante à première vue, cette omission est compensée par le caractère global de la définition, qui inclut les données comme partie intégrante des réseaux et systèmes d’information.
• Cette approche reflète également une complémentarité avec d’autres cadres réglementaires centrés sur la protection des données (RGPD, PSD2).
- Risque cyber vs risque technologique : Une distinction encore pertinente ?
La définition de DORA ne distingue pas explicitement entre les risques cyber (provenant d’attaques malveillantes) et les risques technologiques (provenant de défaillances techniques ou d’erreurs humaines). Pourtant, ces distinctions reste
nt pertinentes dans certains contextes :
Risque cyber :
⦁ Exemples : Phishing, ransomware (ex. WannaCry).
⦁ Caractéristique : Souvent intentionnel, lié à des menaces externes.
Risque technologique :
⦁ Exemples : Panne AWS, bug logiciel (ex. Knight Capital).
⦁ Caractéristique : Souvent accidentel, lié à des failles internes ou des défaillances.
Aujourd’hui, ces distinctions s’estompent :
⦁ Une cyberattaque peut exploiter une faille technologique (ex. SolarWinds).
⦁ Une défaillance technologique peut amplifier les impacts d’une cybermenace (ex. WannaCry et SMBv1).
Conclusion :
⦁ Plutôt que de chercher à séparer ces notions, DORA adopte une définition englobante pour encourager une approche holistique de la gestion des risques TIC.
Synthèse et implications
La définition du risque lié aux TIC dans DORA est large mais flexible, ce qui permet :
1. D’intégrer des risques variés, qu’ils soient technologiques ou cyber.
2. D’harmoniser la compréhension des risques à travers les secteurs et les cadres réglementaires.
Cependant, son caractère général, notamment l’utilisation de termes comme « circonstance », peut poser des défis pratiques pour les institutions financières cherchant à appliquer cette définition. Un alignement avec des guides plus précis, comme ceux d’ENISA ou des ESA, peut s’avérer nécessaire pour opérationnaliser efficacement cette définition.
2.2. Perturbations liées aux TIC :
« Voici une proposition de structure pour décrypter la définition des « perturbations liées aux TIC» selon DORA, en adoptant la même rigueur que pour le risque lié aux TIC :
- Introduction : Pourquoi la notion de perturbation liée aux TIC est essentielle
Dans le cadre de la résilience numérique, la perturbation liée aux TIC représente une concrétisation des risques identifiés, avec des impacts directs et mesurables sur les opérations. Contrairement au risque, qui reste potentiel, la perturbation désigne un événement réalisé.
Selon l’article 3, point 9 de DORA, une perturbation liée aux TIC est définie comme :
« Un événement ayant un impact négatif significatif sur l’intégrité, la disponibilité ou la confidentialité des systèmes, des réseaux ou des données liés à l’utilisation des TIC. »
Cette définition souligne le lien entre les perturbations et les trois piliers de la sécurité des systèmes d’information. Nous allons décrypter cette définition, en la comparant à d’autres cadres réglementaires et en explorant son applicabilité dans des cas concrets.
- Décryptage de la définition selon DORA
La définition de DORA peut être décomposée en plusieurs éléments clés :
1. « Un événement » :
• Analyse :
Le terme « événement » implique une action ou un incident concret. Il peut s’agir :
• D’une cyberattaque (exemple : ransomware).
• D’une panne technologique (exemple : dysfonctionnement de matériel ou logiciel).
• D’un acte intentionnel ou accidentel (exemple : erreur humaine).
• Complémentarité avec d’autres cadres :
• NIS2 (Article 6) mentionne également les événements affectant la continuité des services critiques, mais insiste davantage sur la gestion des incidents majeurs.
• ENISA Threat Landscape Report élargit cette notion à des événements émergents, comme les attaques sur l’IA ou les infrastructures IoT.
2. « Impact négatif significatif » :
• Analyse :
L’adjectif « significatif » introduit une évaluation subjective. L’impact doit être suffisamment grave pour :
• Perturber les opérations essentielles.
• Mettre en danger les données ou les services.
• Affecter les clients ou les partenaires.
• Défi d’interprétation :
• Comment définir les seuils de « significatif » ?
• Une panne d’une heure est-elle significative ? Cela dépend du contexte opérationnel.
• Comparaison :
• Les ESA utilisent des indicateurs pour qualifier un incident, comme le nombre d’utilisateurs affectés ou la durée de l’interruption.
3. « Intégrité, disponibilité ou confidentialité » :
• Analyse :
• Confidentialité : Perturbation entraînant une fuite ou un vol de données.
• Intégrité : Perturbation entraînant une modification ou une corruption des données ou systèmes.
• Disponibilité : Perturbation bloquant l’accès aux services ou systèmes.
• Exemples concrets :
• WannaCry : Impact sur la disponibilité (chiffrement des données).
• SolarWinds : Impact sur l’intégrité (compromission des systèmes).
- Focus : Le terme « impact négatif significatif »
Discussion sur la notion de “significatif” :
• Subtilité : Contrairement à une simple interruption ou défaillance, une perturbation significative implique une gravité notable.
• Facteurs pour évaluer la significativité :
1. Durée de l’interruption.
2. Nombre d’utilisateurs ou clients affectés.
3. Effets sur la réputation ou les finances de l’institution.
Comparaison avec d’autres cadres :
• Les ESA et ENISA adoptent des méthodologies plus normatives, utilisant des indicateurs pour mesurer la significativité :
• Temps moyen pour restaurer un service (MTTR).
• Pourcentage de données compromises.
- Perturbations numériques : Exemples et cas concrets
1. WannaCry (2017) :
• Type : Perturbation cyber.
• Impact : Chiffrement des données, paralysant les systèmes dans plusieurs organisations, dont des banques.
• Significativité :
⦁ Interruption prolongée des services.
⦁ Perte de confiance des clients.
2. AWS Panne (2020) :
⦁ Type : Perturbation technologique.
⦁ Impact : Indisponibilité des services en ligne pour plusieurs institutions financières.
⦁ Significativité :
⦁ Dépendance à un fournisseur tiers critique.
3. SolarWinds (2020) :
⦁ Type : Perturbation mixte (technologique et cyber).
⦁ Impact : Compromission de la chaîne d’approvisionnement, affectant des systèmes critiques.
⦁ Significativité :
⦁ Effet systémique touchant plusieurs secteurs. - Synthèse : Les implications pour les institutions financières
1. Comprendre les perturbations :
Les institutions doivent surveiller les événements pouvant entraîner des perturbations, en évaluant leur significativité de manière systématique.
2. Différences entre perturbations cyber et technologiques :
⦁ Cyber : Souvent intentionnelles (attaques).
⦁ Technologiques : Accidentelles (erreurs humaines, défaillances).
⦁ Mixte : Ex. SolarWinds, où une attaque cyber exploite une vulnérabilité technologique.
3. Intégration dans la résilience numérique :
⦁ Élaborer des indicateurs pour identifier rapidement les perturbations significatives.
⦁ Renforcer les plans de continuité pour minimiser les impacts.