Définition et grandes notions
Définition de la notion d’incident :
Avant l’entrée en vigueur de DORA, la notion d’incident TIC était définie de manière variée par les régulateurs nationaux et internationaux. Voici quelques exemples :
ENISA (Agence européenne pour la cybersécurité) : Un incident TIC est “tout événement ayant un impact négatif sur la sécurité des systèmes d’information”.
ANSSI (Agence nationale de la sécurité des systèmes d’information, France) : Un incident est “une violation ou une tentative de violation de la sécurité des systèmes d’information”.
ACPR (Autorité de contrôle prudentiel et de résolution, France): Un incident est “tout événement perturbant les opérations ou compromettant la sécurité des systèmes d’information”.
ESA (Autorités européennes de surveillance) : Un incident est “une perturbation ou une défaillance affectant la continuité des services financiers”.
SEC (Securities and Exchange Commission, États-Unis) : Un incident est “une cyberattaque ou une défaillance technique compromettant la confidentialité, l’intégrité ou la disponibilité des données”.
HKMA (Hong Kong Monetary Authority) : Un incident est “un événement affectant la sécurité, la disponibilité ou la performance des systèmes informatiques”.
MAS (Monetary Authority of Singapore): Un incident est “une perturbation des systèmes informatiques ayant un impact sur les opérations ou les clients”.
Explications des définitions :
Ces définitions, bien que variées, mettent l’accent sur plusieurs éléments communs :
Impact négatif : Les incidents sont des événements qui perturbent les opérations ou compromettent la sécurité.
Sécurité des systèmes d’information : La confidentialité, l’intégrité et la disponibilité des données sont au cœur des préoccupations.
Perturbation des services : Les incidents peuvent affecter la continuité des services financiers, avec des conséquences potentielles pour les clients et les marchés.
Grandes notions clés :
Identification des incidents : Les institutions devaient détecter les incidents grâce à des outils de surveillance et des alertes.
Notification et communication : Les incidents devaient être signalés aux parties prenantes internes et, dans certains cas, aux régulateurs.
Gestion et réponse : Les plans de réponse incluaient le confinement, l’éradication et la récupération.
Analyse post-incident : Les causes racines étaient analysées pour prévenir des incidents similaires à l’avenir.
La relation entre incidents et perturbations : Comprendre les mécanismes
Du simple incident à la perturbation majeure
Dans le monde financier, un incident TIC peut sembler anodin au départ mais se transformer en perturbation significative. Prenons un exemple concret : une mise à jour logicielle apparemment mineure qui échoue pendant la nuit. Cet incident initial pourrait, en cascade, entraîner une perturbation des services bancaires en ligne pendant plusieurs heures.
Comment DORA fait la différence
DORA apporte une clarification importante en établissant une hiérarchie entre :
Les incidents : événements techniques spécifiques qui affectent les systèmes d’information (comme une panne de serveur ou un problème de réseau)
Les perturbations : conséquences plus larges sur les services financiers et les clients (comme l’impossibilité d’effectuer des paiements)
Par exemple, un incident sur un système de paiement peut créer une perturbation majeure s’il empêche des milliers de clients d’effectuer leurs transactions.
L’effet domino
La particularité du secteur financier réside dans l’interconnexion de ses services. Un incident apparemment isolé peut déclencher une chaîne de perturbations :
- Un problème technique dans une banque peut affecter ses partenaires
- Une perturbation chez un prestataire de services peut impacter plusieurs institutions
- Un incident de cybersécurité peut se propager à travers les réseaux financiers
Encadré
“Avant DORA, la gestion des incidents reposait principalement sur des recommandations et des bonnes pratiques, sans cadre réglementaire contraignant. Les approches variaient selon les pays et les secteurs, ce qui limitait l’harmonisation et la comparabilité des pratiques.”