Les objectifs précis de DORA 

Ces dernières années, le risque lié aux TIC a attiré l’attention des décideurs politiques, des régulateurs et des organismes de normalisation internationaux, nationaux et de l’Union, dans un effort visant à renforcer la résilience numérique, à définir des normes et à coordonner le travail de réglementation ou de surveillance. Voici quelques objectifs que cette nouvelle législation promulgue : 

Gouvernance et organisation : Les entités financières disposent d’un cadre de gouvernance et de contrôle interne qui garantit une gestion efficace et prudente du risque lié aux TIC, en vue d’atteindre un niveau élevé de résilience opérationnelle numérique. 

Systèmes et protocoles :  Afin d’atténuer et de gérer le risque lié aux TIC, les entités financières utilisent et tiennent à jour des systèmes, protocoles et outils de TIC qui sont adaptés à l’ampleur des opérations qui sous-tendent l’exercice de leurs activités. Les organisations doivent être équipées d’une capacité suffisante pour traiter avec exactitude les données nécessaires à l’exécution des activités et à la fourniture des services en temps utile, et pour faire face aux pics de volume d’ordres, de messages ou de transactions, selon les besoins, y compris lorsque de nouvelles technologies sont mises en place. 

Protection, détection et réponses : Les entités financières doivent assurer un suivi et un contrôle permanent de la sécurité et du fonctionnement des systèmes et outils de TIC et réduire au minimum l’incidence du risque. Les entités financières conçoivent, acquièrent et mettent en œuvre des stratégies, des politiques, des procédures, des protocoles et des outils de sécurité de TIC qui visent à garantir la résilience, la continuité et la disponibilité des systèmes de TIC, en particulier ceux qui soutiennent des fonctions critiques ou importantes, et à maintenir des normes élevées en matières de disponibilité, d’authenticité, d’intégrité et de confidentialité des données, que ce soit au repos, en cours d’utilisation ou en transit. 

Des mécanismes doivent être mis en place afin de détecter rapidement les activités anormales et répondre aux incidents pour garantir la continuité des fonctions de l’entité. 

Procédure de sauvegardes : Les entités financières mettent en place des systèmes de sauvegarde dans le but de veiller à la restauration des systèmes et des données des TIC en limitant au maximum la durée d’indisponibilité, les perturbations et les pertes. 

Les risques et sanctions  

Les autorités compétentes disposent de tous les pouvoirs de surveillance, d’enquête et de sanction nécessaires pour s’acquitter des tâches qui leur incombent en vertu du règlement. 

Ces autorités ont le pouvoir d’imposer les sanctions administratives et les mesures correctives prévues conformément à leurs cadres juridiques nationaux. 

Les États membres peuvent décider de ne pas prévoir de régime de sanctions administratives ou de mesures correctives pour les violations qui font l’objet de sanctions pénales dans le cadre de leur droit national.  

Toutefois, les États membres qui choisissent d’instituer des sanctions pénales pour les violations du règlement veillent à ce que des mesures appropriées soient prises. Les autorités compétentes disposent de tous les pouvoirs nécessaires pour se mettre en rapport avec les autorités judiciaires, les autorités chargées des poursuites ou les autorités judiciaires pénales de leur ressort territorial en vue de recevoir des informations spécifiques liées aux enquêtes ou procédures pénales engagées pour violation du règlement, et de fournir ces mêmes informations aux autres autorités compétentes. 

L’impact de DORA sur les solutions de Managed File Transfer (MFT) 

Pour atteindre les objectifs visés par la législation, les entités financières devront utiliser des solutions et des processus de TIC appropriés. Ces solutions et processus de TIC doivent :  

– garantir la sécurité des moyens de transfert de données   

– réduire au minimum le risque de corruption ou de perte de données, d’accès non autorisé et de défauts techniques susceptibles d’entraver les activités 

– empêcher le manque de disponibilité, les atteintes à l’authenticité et à l’intégrité, les violations de la confidentialité et la perte de données montrent que les informations sont protégées contre les risques découlant de la gestion des données, y compris une mauvaise administration, les risques relatifs au traitement et l’erreur humaine. 

Les solutions de Managed File Transfer (MFT) jouent un rôle crucial dans la mise en œuvre des transferts de fichiers sécurisés conformément à DORA. Voici quelques-uns des aspects clés de l’impact de DORA sur les solutions MFT : 

Chiffrement fort : 

DORA exige l’utilisation de protocoles de chiffrement forts pour protéger les données sensibles lors des transferts de fichiers. Les solutions MFT devront intégrer des algorithmes de chiffrement robustes pour garantir la confidentialité des informations pendant le transit. 

Contrôles d’intégrité : 

Les solutions MFT devront mettre en place des mécanismes de contrôle d’intégrité pour vérifier que les fichiers transférés n’ont pas été altérés ou modifiés pendant le processus de transfert. Cela peut être réalisé grâce à des techniques telles que les sommes de contrôle (checksums) ou les signatures numériques. 

Surveillance et traçabilité : 

DORA exige que les organisations puissent surveiller et tracer les transferts de fichiers gérés. Les solutions MFT devront fournir des fonctionnalités de suivi et d’audit avancées pour permettre la détection rapide des activités suspectes et faciliter la conformité aux exigences de DORA. 

Gestion des clés de chiffrement : 

Les solutions MFT devront proposer des mécanismes de gestion des clés de chiffrement conformes à DORA. Cela comprend la génération, la distribution, la rotation et la révocation sécurisée des clés utilisées pour chiffrer les fichiers lors des transferts. 

En résumé  

Le règlement DORA est une initiative importante visant à renforcer la sécurité des interconnexions entre entités financières. En mettant l’accent sur la confidentialité, l’intégrité, la disponibilité, la gouvernance et la conformité, DORA jouera un rôle essentiel dans la protection des données sensibles échangées entre les organisations. Les solutions de Managed File Transfer (MFT) devront s’adapter aux exigences de DORA en mettant en place des mécanismes de sécurité avancés pour garantir des transferts de fichiers sûrs et conformes au règlement. La conformité à DORA contribuera à renforcer la confiance des clients et à prévenir les risques de violations de sécurité. 

Document officiel du règlement sur la résilience opérationnelle numérique du secteur financier :  https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:32022R2554