5 étapes clés pour la mise en conformité avec la loi DORA

Alors que les entités financières se préparent à la mise en œuvre de la loi sur la résilience opérationnelle numérique (DORA), il est essentiel de disposer d'une feuille de route claire pour la mise en conformité. Dans le prolongement de nos articles précédents,"Mise en œuvre de la loi DORA : leçons d'un directeur technique" et "Qu'est-ce que la loi sur la résilience opérationnelle numérique (DORA) ?", cet article propose un guide des cinq étapes clés que les organisations doivent suivre pour garantir la conformité à la loi DORA et renforcer leur résilience opérationnelle.

1. Évaluer les risques et les besoins

Le fondement du DORA repose sur une compréhension approfondie de l'état actuel des risques de votre organisation et des exigences spécifiques auxquelles vous devez répondre.

Procéder à une évaluation complète des risques

• Identifier et répertorier tous les systèmes et infrastructures TIC critiques

• Évaluer les vulnérabilités et les menaces potentielles pour ces systèmes

• Évaluer l'impact potentiel des perturbations liées aux TIC sur les activités de l'entreprise

• Prendre en compte les facteurs de risque internes et externes, y compris les cybermenaces, les pannes de système et les risques liés à des tiers.

Comprendre les exigences du DORA

• Examiner la législation DORA, en prêtant attention aux dispositions spécifiques à votre type d'entité financière.

• Identifier les écarts entre vos pratiques actuelles et les exigences du DORA

• Hiérarchiser les domaines nécessitant une attention immédiate en fonction du niveau de risque et des délais de mise en conformité.

Tirer parti des cadres existants

• Alignez votre évaluation sur des cadres établis tels que le NIST Cybersecurity Framework ou l'ISO 27001.

• Établir une correspondance entre les exigences de la DORA et les efforts de mise en conformité existants (par exemple, GDPR, directives NIS et NIS2) afin d'identifier les synergies et d'éviter les doubles emplois.

2. Élaborer une stratégie globale

Une fois que vous avez bien compris vos risques et vos exigences, l'étape suivante consiste à créer une stratégie solide pour la conformité DORA et la résilience opérationnelle.

Élaborer une stratégie de résilience opérationnelle

• Définir des objectifs clairs pour la gestion des risques liés aux TIC et la résilience opérationnelle

• Élaborer des indicateurs de performance clés et des mesures pour évaluer les progrès accomplis.

• Créer une feuille de route avec des objectifs à court et à long terme pour atteindre et maintenir la conformité.

Établir un cadre de gouvernance

• Définir les rôles et les responsabilités en matière de conformité DORA dans l'ensemble de l'organisation

• Créer un comité de pilotage DORA interfonctionnel pour superviser la mise en œuvre.

• Élaborer et documenter des politiques et des procédures pour la gestion des risques liés aux TIC, la réponse aux incidents et la continuité des activités.

• Assurer une supervision exécutive et des rapports réguliers sur les efforts de mise en conformité avec la loi DORA.

Réponse aux incidents et planification de la continuité des activités

• Élaborer des plansdétaillés de réponse aux incidentspour divers scénarios liés aux TIC

• Créer et mettre à jour régulièrement des plans de continuité des activités qui répondent aux exigences du DORA.

• Établir des protocoles de communication clairs pour les parties prenantes internes et externes en cas d'incident

• Définir des objectifs de délai de reprise (RTO) et de point de reprise (RPO) pour les systèmes critiques.

3. Mettre en œuvre des mesures de sécurité robustes

La conformité au DORA exige des contrôles et des pratiques de sécurité solides pour se protéger contre les risques liés aux TIC et garantir la résilience opérationnelle.

Renforcer les capacités de cybersécurité

• Mettre en œuvre des contrôles de sécurité à plusieurs niveaux, notamment  

• Gestion des accès et authentification solides (par exemple, authentification multifactorielle)

• Cryptage des données pour les informations sensibles au repos et en transit

• Pare-feu de nouvelle génération et systèmes de détection/prévention des intrusions

• Solutions de détection et de réponse des points finaux (EDR)

• Mettre à jour et corriger régulièrement tous les systèmes et logiciels

• Mettre en place une segmentation du réseau pour limiter la propagation des failles potentielles.

Améliorer les processus de sauvegarde et de récupération

• Mettre en œuvre une stratégie de sauvegarde solide en suivant la règle 3-2-1 (3 copies, 2 supports différents, 1 hors site).

• tester régulièrement les procédures de sauvegarde et de récupération afin de garantir l'intégrité des données et les capacités de restauration du système

• Mettre en place des sauvegardes immuables pour se protéger contre les attaques de ransomware

Traiter les risques liés aux tiers

• Élaborer un programme complet de gestion des risques liés aux tiers

• Faire preuve de diligence raisonnable à l'égard de tous les fournisseurs de services TIC essentiels

• Inclure les exigences de conformité au DORA dans les contrats avec les fournisseurs tiers.

• Évaluer et auditer régulièrement les mesures de sécurité des tiers et la résilience opérationnelle.

‍

4. Effectuer des tests et des audits réguliers

Les tests et les audits continus sont essentiels pour maintenir la conformité DORA et améliorer votre résilience opérationnelle au fil du temps.

Mise en œuvre d'un programme de tests complet

• Effectuer régulièrement des tests de pénétration afin d'identifier les vulnérabilités de vos systèmes et réseaux.

• Effectuer fréquemment des tests de reprise après sinistre (DR) pour garantir l'efficacité de vos plans de reprise.

• Effectuer des exercices de continuité des activités pour tester la réponse de votre organisation à divers scénarios liés aux TIC.

• Inclure des fournisseurs tiers dans vos activités de test, le cas échéant

Automatiser la détection et la réponse aux menaces

• Mettre en œuvre des solutions de gestion des informations et des événements de sécurité (SIEM) pour la détection des menaces en temps réel.

• Utiliser l'intelligence artificielle et l'apprentissage automatique pour améliorer les capacités de détection des menaces.

• Élaborer et mettre à jour régulièrement des manuels de jeu pour la réponse automatisée aux incidents.

Établir un cadre d'audit solide

• Réaliser des audits internes réguliers afin d'évaluer la conformité au DORA et l'efficacité de vos stratégies de gestion des risques liés aux TIC.

• Faire appel à des auditeurs externes pour obtenir une évaluation indépendante de vos efforts de mise en conformité avec la loi DORA.

• Élaborer un processus de suivi et de mise en œuvre des conclusions et recommandations d'audit

‍

5. Former et collaborer

Pour réussir à se conformer à la loi DORA, il faut une culture de sensibilisation et de collaboration dans l'ensemble de l'organisation.

Fournir une formation complète aux employés

• Élaborer des programmes de formation spécifiques sur les exigences du DORA et les procédures de conformité.

• Organiser régulièrement des formations de sensibilisation à la cybersécurité pour tous les employés.

• Simuler des attaques de phishing et d'ingénierie sociale pour tester et améliorer la préparation des employés

Favoriser la collaboration interfonctionnelle

• Organiser des réunions régulières entre les services informatiques, juridiques, de gestion des risques et les unités opérationnelles pour discuter de la conformité à la loi DORA.

• Créer des canaux d'échange d'informations et de bonnes pratiques entre les différentes équipes et les différents services.

S'engager avec les parties prenantes externes

• Collaborer avec les organismes de réglementation afin de rester informé des interprétations et des attentes de la DORA.

• Établir des relations avec des partenaires et des fournisseurs dans le domaine de la cybersécurité afin d'améliorer vos capacités de veille et de réaction aux menaces.

Atteindre et maintenir la conformité DORA est une tâche complexe mais essentielle pour les entités financières opérant dans l'UE. En suivant ces cinq étapes clés - évaluation des risques et des exigences, élaboration d'une stratégie globale, mise en œuvre de mesures de sécurité robustes, réalisation de tests et d'audits réguliers et promotion d'une culture de la formation et de la collaboration - les organisations peuvent non seulement répondre aux exigences réglementaires, mais aussi améliorer de manière significative leur résilience opérationnelle.

N'oubliez pas que la conformité à la loi DORA est un processus continu, et non un effort ponctuel. Revoyez et affinez régulièrement votre approche pour vous assurer que votre organisation reste résiliente face à l'évolution des risques liés aux TIC et des attentes réglementaires.

Ressources complémentaires :

• Mise en œuvre de DORA : leçons d'un CTO ‍
• Qu'est-ce que la loi sur la résilience opérationnelle numérique (DORA) ? ‍
• Commencez avec la liste de contrôle de la conformité DORA ! ‍
• Décoder DORA - Naviguer dans la résilience numérique en finance ‍
• DORA dans Atlassian Cloud : Une approche experte de la conformité

‍