- Introduction : Qu’est-ce qu’une perturbation liée aux TIC ?
Les perturbations liées aux TIC représentent la matérialisation des risques numériques dans les infrastructures critiques. Elles traduisent l’impact immédiat de vulnérabilités exploitées ou de défaillances techniques, affectant directement la continuité et la qualité des services essentiels.
Dans le cadre du Digital Operational Resilience Act (DORA), les perturbations liées aux TIC jouent un rôle stratégique dans la résilience opérationnelle numérique. Elles constituent l’une des étapes clés dans la chaîne d’événements pouvant conduire à des incidents majeurs, nécessitant une gestion proactive. - Définition selon DORA et analyse détaillée
Article 3, point 10 de DORA :
“Perturbation liée aux TIC : un événement qui altère le fonctionnement des systèmes d’information, provoquant une réduction significative des services essentiels ou de leur qualité.” - Altération du fonctionnement des systèmes d’information
L’altération du fonctionnement, selon DORA, fait référence à tout événement qui a un impact négatif direct sur les systèmes TIC, réduisant leur capacité à assurer leurs fonctions normales.
Aspect négatif de l’impact :
⦁ Contrairement à une simple anomalie technique (qui peut être gérée sans conséquences majeures), une perturbation implique une diminution de performance perceptible ou une interruption, affectant les opérations essentielles.
⦁ Exemple concret : Une panne réseau qui empêche les paiements en temps réel est une altération significative, car elle impacte directement les utilisateurs.
Historique dans les textes antérieurs :
⦁ ENISA Threat Landscape Reports : ENISA utilise fréquemment le terme “perturbation” pour désigner les impacts négatifs d’événements comme les attaques DDoS ou les pannes critiques.
⦁
⦁ Directive NIS1 (2016) : Les “événements ayant une incidence défavorable” sur les infrastructures critiques sont inclus dans les obligations de notification.
- Réduction significative des services essentiels
La notion de “réduction significative” est essentielle pour différencier les perturbations mineures des événements ayant un impact notable. DORA met l’accent sur les critères suivants pour évaluer cette significativité :
Analyse de la significativité :
⦁ Durée de l’impact :
⦁ Une perturbation prolongée est plus susceptible d’être qualifiée de significative.
⦁ Exemple : Une panne de quelques secondes peut être tolérable, mais une interruption d’une heure dans un système de paiement interbancaire est critique.
⦁ Amplitude :
⦁ Le nombre d’utilisateurs ou de systèmes affectés joue un rôle clé.
⦁ Exemple : Une attaque DDoS ciblant une agence bancaire locale aura moins d’impact qu’une attaque paralysant un réseau bancaire national.
Historique dans les textes antérieurs :
⦁ Directive NIS1 : Introduit l’obligation de notifier les “perturbations significatives” dans les infrastructures critiques, sans toutefois définir clairement les critères de significativité.
⦁ ESA Guidelines (2019) : Imposent aux institutions financières d’évaluer l’impact des perturbations sur les services essentiels, mais avec des marges d’interprétation laissées aux régulateurs nationaux.
- Notion de services essentiels dans DORA
DORA reprend et précise la définition de “services essentiels” introduite par la Directive NIS2 (2022).
Article 3, point 6, de DORA :
“Services essentiels : services critiques pour l’économie et les sociétés, notamment les paiements, les transactions financières et les services de marché.”
Caractéristiques des services essentiels :
⦁ Criticité économique et sociale :
⦁ Les services essentiels sont ceux qui, en cas d’interruption, peuvent causer des perturbations économiques ou sociales majeures.
⦁ Exemples dans le secteur financier :
⦁ Paiements interbancaires.
⦁ Gestion d’actifs et transactions financières.
⦁ Opérations sur les marchés financiers.
Comparaison avec les cadres antérieurs :
⦁ Directive NIS1 : Les services essentiels étaient définis comme des “services ayant une incidence significative sur le fonctionnement économique ou social”.
⦁ Directive NIS2 : Renforce cette définition en ajoutant des critères spécifiques, comme la criticité des infrastructures numériques sous-jacentes.
⦁ ESA Guidelines (2019) : Identifient les “systèmes critiques” dans le secteur financier, mais la notion de service essentiel est davantage implicite.
Version consolidée révisée
- Définition selon DORA et analyse détaillée
Article 3, point 10 de DORA :
“Perturbation liée aux TIC : un événement qui altère le fonctionnement des systèmes d’information, provoquant une réduction significative des services essentiels ou de leur qualité.” - Altération du fonctionnement des systèmes d’information :
⦁ Une altération désigne un impact négatif direct, qu’il s’agisse d’une diminution de la performance, d’une interruption ou d’une indisponibilité complète.
⦁ Historique :
⦁ ENISA identifie les impacts négatifs dans ses rapports sur les menaces.
⦁ La Directive NIS1 exigeait la notification des “perturbations ayant une incidence défavorable”. - Réduction significative des services essentiels :
⦁ La “significativité” est évaluée en fonction de la durée et de l’amplitude de la perturbation.
⦁ Durée : Une interruption prolongée a un impact plus important.
⦁ Amplitude : Plus le nombre d’utilisateurs ou de systèmes affectés est élevé, plus l’impact est critique.
⦁ Historique :
⦁ NIS1 introduit cette notion, mais avec peu de précisions.
⦁ ESA Guidelines renforcent l’importance des évaluations d’impact dans le secteur financier. - Notion de services essentiels :
⦁ DORA définit explicitement les services essentiels comme des services critiques pour l’économie et les sociétés, en particulier dans le secteur financier.
⦁ Exemples : Paiements, transactions financières, services de marché.
⦁ Historique :
⦁ NIS1 et NIS2 posent les bases de cette définition pour les infrastructures critiques.
⦁ Les ESA Guidelines identifient les systèmes critiques, mais de manière moins précise que DORA. - Types de perturbations liées aux TIC
DORA distingue implicitement deux grandes catégories de perturbations, chacune ayant ses origines et impacts spécifiques.
A. Perturbations technologiques
⦁ Origine :
⦁ Problèmes matériels, pannes logicielles, erreurs humaines ou défauts de mise à jour.
⦁ Exemple concret :
⦁ La panne d’Amazon Web Services (AWS) en 2021 a affecté plusieurs institutions financières utilisant des services cloud, entraînant des interruptions de leurs systèmes critiques.
B. Perturbations cybernétiques
⦁ Origine :
⦁ Attaques malveillantes exploitant des vulnérabilités dans les systèmes.
⦁ Exemple concret :
⦁ L’attaque ransomware WannaCry (2017), exploitant une vulnérabilité SMBv1, a paralysé des systèmes critiques à travers le monde.
Comparaison des deux catégories
Critères Perturbations technologiques Perturbations cybernétiques
Origine Pannes ou erreurs techniques. Actions malveillantes.
Impact attendu Dégradation des services. Interruption ou exfiltration.
Exemple Problèmes de mise à jour. Ransomware, attaques DDoS. - Lien entre perturbations et incidents selon DORA
Perturbation vs Incident :
⦁ Une perturbation est un événement isolé qui affecte temporairement les systèmes.
⦁ Lorsqu’elle a un impact significatif sur les services essentiels, elle devient un incident majeur.
Exemple de transition :
⦁ Une attaque DDoS entraîne une indisponibilité temporaire → Perturbation.
⦁ Si cette indisponibilité affecte les paiements interbancaires → Incident majeur lié aux TIC. - Historique et cadre réglementaire
A. Textes internationaux :
⦁ Directive NIS2 (2022) :
⦁ Renforce la gestion des perturbations dans les infrastructures critiques, exigeant des plans de continuité robustes.
⦁ ENISA Threat Landscape Reports :
⦁ Exemples concrets et bonnes pratiques pour identifier et gérer les perturbations TIC.
⦁ ESA Guidelines (2019) :
⦁ Surveillance proactive et obligations pour les institutions financières face aux perturbations TIC.
B. Textes nationaux :
⦁ ANSSI (France) :
⦁ Le Guide d’hygiène informatique (2020) recommande des stratégies pour minimiser les perturbations dues aux défaillances techniques et cybernétiques.
⦁ Régulateurs nationaux (NCA) :
⦁ Exemples : Le FCA (Financial Conduct Authority, Royaume-Uni) impose des tests réguliers pour éviter les perturbations dans les institutions financières. - Gestion proactive des perturbations selon DORA
⦁ Identification des perturbations :
⦁ Surveillance des systèmes en temps réel pour détecter les anomalies.
⦁ Plans de réponse :
⦁ Développement de plans spécifiques pour limiter l’impact des perturbations.
⦁ Tests de résilience :
⦁ Simulations régulières pour évaluer les capacités de réponse. - Conclusion : Perturbations et résilience numérique
Les perturbations liées aux TIC traduisent les impacts directs des vulnérabilités et des cybermenaces sur les systèmes critiques. Dans le cadre de DORA, elles occupent une place centrale dans la résilience opérationnelle numérique, offrant aux institutions financières un cadre pour anticiper et gérer efficacement ces défis. - Cyberattaque
(Article 3, point 14 de DORA)
Définition :
« Un incident lié aux TIC malveillant causé par une tentative de destruction, d’exposition, de modification, de désactivation, de vol, d’utilisation non autorisée d’un actif ou d’accès non autorisé à celui-ci, perpétrée par un acteur de la menace. »
14) «cyberattaque»: un incident lié aux TIC malveillant causé par une tentative de destruction, d’exposition, de modification, de désactivation, de vol, d’utilisation non autorisée d’un actif ou d’accès non autorisé à celui-ci, perpétrée par un acteur de la menace;