Pour de nombreuses organisations financi\u00e8res, la question cruciale n\u2019est pas de savoir si le r\u00e8glement DORA et la continuit\u00e9 des activit\u00e9s sont li\u00e9s, mais dans quelle mesure ce lien s\u2019est d\u00e9j\u00e0 traduit par des dispositifs op\u00e9rationnels v\u00e9rifiables. Lorsqu\u2019un incident informatique perturbe des services essentiels, ce n\u2019est pas le document de politique qui fait la diff\u00e9rence, mais la capacit\u00e9 \u00e0 maintenir les processus, les d\u00e9cisions et les d\u00e9lais de reprise dans des limites compatibles avec les obligations r\u00e9glementaires, les attentes des clients et les exigences du march\u00e9. <\/p>\n
La DORA ne remplace pas la continuit\u00e9 des activit\u00e9s. Elle la rend toutefois plus exigeante, plus mesurable et bien plus int\u00e9gr\u00e9e \u00e0 la gestion des risques informatiques, \u00e0 la cha\u00eene d\u2019approvisionnement technologique et \u00e0 la capacit\u00e9 de r\u00e9action face aux incidents. C\u2019est pourquoi ce sujet ne concerne pas uniquement la conformit\u00e9, l\u2019informatique ou la cybers\u00e9curit\u00e9. Il implique la gouvernance, les op\u00e9rations, les fonctions de contr\u00f4le, les achats, la gestion de crise et les tiers critiques. <\/p>\n
Le r\u00e8glement (UE) n\u00b0 2022\/2554 relatif \u00e0 la r\u00e9silience op\u00e9rationnelle num\u00e9rique impose aux entit\u00e9s financi\u00e8res de mettre en place un dispositif structur\u00e9 permettant de pr\u00e9venir les incidents informatiques, d’y r\u00e9sister, d’y r\u00e9pondre et de s’en remettre. La continuit\u00e9 d’activit\u00e9<\/a> entre en jeu d\u00e8s lors que la r\u00e9silience num\u00e9rique cesse d’\u00eatre une question technique pour devenir une capacit\u00e9 \u00e0 assurer la continuit\u00e9 du service. <\/p>\n Cette \u00e9tape est d\u00e9cisive. Un plan de continuit\u00e9 reposant uniquement sur des sc\u00e9narios traditionnels \u2013 indisponibilit\u00e9 des locaux, panne d\u2019infrastructure locale, absence de personnel cl\u00e9 \u2013 n\u2019est pas suffisant s\u2019il ne prend pas en compte la compromission des plateformes centrales, la perte d\u2019int\u00e9grit\u00e9 des donn\u00e9es, l\u2019indisponibilit\u00e9 des fournisseurs de services cloud ou l\u2019interruption prolong\u00e9e des services externalis\u00e9s. DORA pr\u00e9conise une approche qui associe la continuit\u00e9 op\u00e9rationnelle et les d\u00e9pendances num\u00e9riques, avec des crit\u00e8res de gravit\u00e9, d\u2019impact et de tol\u00e9rance \u00e0 l\u2019interruption bien plus stricts. <\/p>\n Concr\u00e8tement, la continuit\u00e9 d’activit\u00e9 devient l’un des m\u00e9canismes gr\u00e2ce auxquels l’organisation d\u00e9montre sa capacit\u00e9 \u00e0 maintenir ses fonctions critiques m\u00eame en cas d’incidents informatiques graves. Mais pour \u00eatre cr\u00e9dible, elle doit \u00eatre coordonn\u00e9e avec la gestion des incidents, la reprise apr\u00e8s sinistre, la communication de crise et la gestion des risques li\u00e9s aux tiers. <\/p>\n L\u2019erreur la plus courante consiste \u00e0 consid\u00e9rer DORA comme une nouvelle couche documentaire superpos\u00e9e \u00e0 un programme existant. Cela fonctionne rarement. Lorsque les cadres de continuit\u00e9 sont bien \u00e9tablis, DORA acc\u00e9l\u00e8re l\u2019int\u00e9gration et renforce la fiabilit\u00e9 des donn\u00e9es. En revanche, lorsque la continuit\u00e9 a \u00e9t\u00e9 g\u00e9r\u00e9e comme une simple obligation p\u00e9riodique, le r\u00e8glement met rapidement en \u00e9vidence des lacunes en mati\u00e8re de gouvernance et de tests. <\/p>\n Le premier changement concerne le p\u00e9rim\u00e8tre. Il ne suffit plus d\u2019identifier les processus critiques de mani\u00e8re g\u00e9n\u00e9rique. Il faut relier les services m\u00e9tier, les ressources informatiques, les applications, les flux d\u2019informations, les r\u00f4les d\u00e9cisionnels et les fournisseurs tiers au sein d\u2019une cha\u00eene de d\u00e9pendances tra\u00e7able. Si un service essentiel d\u00e9pend d\u2019un seul fournisseur ou d\u2019une plateforme non redondante, la vuln\u00e9rabilit\u00e9 n\u2019est pas th\u00e9orique. Il s\u2019agit d\u2019un \u00e9l\u00e9ment de risque op\u00e9rationnel qui doit \u00eatre compris, ma\u00eetris\u00e9 et, si n\u00e9cessaire, att\u00e9nu\u00e9. <\/p>\n Le deuxi\u00e8me changement concerne les seuils. Le RTO et le RPO ne peuvent pas \u00eatre des valeurs historiques qui ne sont jamais remises en question. Ils doivent refl\u00e9ter la tol\u00e9rance r\u00e9elle \u00e0 l\u2019interruption du service, les impacts r\u00e9glementaires et en mati\u00e8re de r\u00e9putation, ainsi que la capacit\u00e9 concr\u00e8te de reprise. C\u2019est pr\u00e9cis\u00e9ment l\u00e0 que r\u00e9side le probl\u00e8me dans de nombreuses organisations : des objectifs de reprise formellement approuv\u00e9s, mais qui ne s\u2019appuient pas sur des architectures, des proc\u00e9dures et des r\u00f4les adapt\u00e9s. <\/p>\n Le troisi\u00e8me changement concerne les exercices. DORA pr\u00f4ne une r\u00e9silience d\u00e9montrable. Cela implique des exercices plus fid\u00e8les aux sc\u00e9narios r\u00e9els, la v\u00e9rification des d\u00e9pendances externes, des simulations d\u2019escalade, la validation des d\u00e9lais de prise de d\u00e9cision et le contr\u00f4le de l\u2019efficacit\u00e9 des communications en situation de crise. Un plan qui existe mais qui ne tient pas la route lors d\u2019un exercice ne g\u00e9n\u00e8re pas de r\u00e9silience. Il engendre une fausse impression de ma\u00eetrise. <\/p>\n L’un des aspects les plus importants du r\u00e8glement est la responsabilisation de l’organe de direction. La r\u00e9silience op\u00e9rationnelle num\u00e9rique ne peut \u00eatre enti\u00e8rement d\u00e9l\u00e9gu\u00e9e aux fonctions techniques. Cela a \u00e9galement un impact direct sur les programmes de continuit\u00e9 des activit\u00e9s. <\/p>\n Lorsque les responsabilit\u00e9s sont r\u00e9parties de mani\u00e8re ambigu\u00eb, les d\u00e9lais de r\u00e9ponse s\u2019allongent et les d\u00e9cisions critiques sont bloqu\u00e9es. Une gouvernance claire s\u2019impose donc : qui d\u00e9cide du passage en mode crise, qui autorise les solutions de contournement et les solutions de repli, qui \u00e9value le retour \u00e0 la normale, qui interagit avec les autorit\u00e9s, les clients et les parties prenantes strat\u00e9giques. Dans ce contexte, la continuit\u00e9 des activit\u00e9s ne se limite pas \u00e0 la continuit\u00e9 des processus<\/a>. Il s\u2019agit d\u2019une capacit\u00e9 de commandement et de contr\u00f4le. <\/p>\n Il convient \u00e9galement d’\u00e9viter tout chevauchement contre-productif entre les fonctions. La s\u00e9curit\u00e9 de l’information, les op\u00e9rations informatiques, le risque op\u00e9rationnel, la conformit\u00e9 et la continuit\u00e9 d’activit\u00e9 doivent conserver des comp\u00e9tences distinctes, tout en s’inscrivant dans un mod\u00e8le coh\u00e9rent. Si chaque fonction \u00e9value les criticit\u00e9s, les impacts et les priorit\u00e9s \u00e0 l’aide d’indicateurs diff\u00e9rents, le syst\u00e8me perd de son efficacit\u00e9 au moment m\u00eame o\u00f9 il devrait gagner en efficacit\u00e9. <\/p>\n La BIA reste un outil essentiel, mais elle doit \u00e9voluer dans le cadre de la DORA. Il ne suffit plus de collecter des donn\u00e9es sur les dur\u00e9es maximales d’indisponibilit\u00e9 ou sur les activit\u00e9s manuelles de remplacement. Il faut une analyse plus approfondie des d\u00e9pendances num\u00e9riques qui sous-tendent les services essentiels. <\/p>\n Cela implique au moins trois points \u00e0 prendre en compte. Le premier concerne la granularit\u00e9 : un service peut sembler g\u00e9r\u00e9 par plusieurs applications, mais \u00eatre en r\u00e9alit\u00e9 expos\u00e9 \u00e0 un point de d\u00e9faillance unique, tel qu\u2019un fournisseur d\u2019identit\u00e9, un middleware, un r\u00e9f\u00e9rentiel de donn\u00e9es ou un prestataire externe. La deuxi\u00e8me concerne l\u2019int\u00e9grit\u00e9 des donn\u00e9es : dans certains cas de figure, le probl\u00e8me ne r\u00e9side pas dans l\u2019indisponibilit\u00e9, mais dans le manque de fiabilit\u00e9 des informations. La troisi\u00e8me concerne les interd\u00e9pendances entre les processus, qui, en cas de cyberincident, ont tendance \u00e0 propager l\u2019impact bien au-del\u00e0 du p\u00e9rim\u00e8tre initial. <\/p>\n Une analyse d’impact sur les activit\u00e9s (BIA) mise \u00e0 jour selon l’approche DORA doit donc \u00e9tablir des liens entre les processus critiques, les services importants, les actifs TIC, les d\u00e9pendances externes et les niveaux de tol\u00e9rance. Il s’agit d’un travail \u00e0 la fois technique et organisationnel. Si elle est r\u00e9alis\u00e9e de mani\u00e8re superficielle, elle compromet l’ensemble de la cha\u00eene de planification. <\/p>\n C’est \u00e0 travers les tests que l’on mesure la maturit\u00e9 r\u00e9elle de l’organisation. DORA exige des programmes de tests proportionn\u00e9s \u00e0 la taille, au profil de risque et \u00e0 la complexit\u00e9 op\u00e9rationnelle. En mati\u00e8re de continuit\u00e9 d’activit\u00e9, cela implique de sortir de la logique des tests formels programm\u00e9s et de passer \u00e0 une logique de v\u00e9rification de fond. <\/p>\n Une simulation sur table bien con\u00e7ue peut s\u2019av\u00e9rer utile pour valider les r\u00f4les, les proc\u00e9dures d\u2019escalade et la communication. Elle ne suffit toutefois pas \u00e0 d\u00e9montrer la capacit\u00e9 de reprise apr\u00e8s sinistre sur des services num\u00e9riques complexes. Il faut \u00e9galement des essais techniques, des basculements contr\u00f4l\u00e9s, des exercices interfonctionnels et des sc\u00e9narios incluant des tiers, des indisponibilit\u00e9s prolong\u00e9es, la corruption des donn\u00e9es et la prise de d\u00e9cisions en situation d\u2019information incompl\u00e8te. <\/p>\n Il existe par ailleurs un \u00e9l\u00e9ment souvent n\u00e9glig\u00e9 : les tests ne servent pas uniquement \u00e0 confirmer que quelque chose fonctionne. Ils servent \u00e0 identifier ce qui ne fonctionne pas. C’est pourquoi les r\u00e9sultats doivent se traduire par des mesures correctives, des priorit\u00e9s d’investissement et une r\u00e9\u00e9valuation des plans. Si l’organisation effectue des tests mais ne comble pas les lacunes mises en \u00e9vidence, sa conformit\u00e9 n’est qu’apparente. <\/p>\n DORA accorde une grande attention aux prestataires tiers du secteur des TIC, ce qui correspond \u00e0 la r\u00e9alit\u00e9 op\u00e9rationnelle du secteur financier. De nombreuses interruptions importantes ne sont pas dues \u00e0 une d\u00e9faillance interne, mais \u00e0 des d\u00e9pendances externalis\u00e9es insuffisamment contr\u00f4l\u00e9es. <\/p>\n En mati\u00e8re de continuit\u00e9 des activit\u00e9s, cela signifie que les plans ne peuvent pas se limiter au p\u00e9rim\u00e8tre de l\u2019entreprise. Ils doivent prendre en compte les d\u00e9lais de r\u00e9ponse des fournisseurs, les proc\u00e9dures d\u2019escalade, l\u2019acc\u00e8s aux informations pendant l\u2019incident, les clauses contractuelles, les options de sortie et la viabilit\u00e9 des alternatives. Il n\u2019existe pas toujours de solution redondante \u00e9conomiquement justifiable. Mais le risque doit au moins \u00eatre compris et accept\u00e9 en toute connaissance de cause, et non d\u00e9couvert en pleine crise. <\/p>\n C\u2019est l\u00e0 que l\u2019approche m\u00e9thodologique fait toute la diff\u00e9rence. Une \u00e9valuation rigoureuse des d\u00e9pendances critiques permet de distinguer le risque transf\u00e9rable, le risque att\u00e9nuable et le risque qui n\u00e9cessite une v\u00e9ritable capacit\u00e9 de continuit\u00e9 interne. Continuitaly intervient souvent pr\u00e9cis\u00e9ment \u00e0 cette intersection entre la conformit\u00e9, la pr\u00e9paration op\u00e9rationnelle et l\u2019\u00e9valuation concr\u00e8te des expositions. <\/p>\n L’objectif n’est pas de produire davantage de documents. Il s’agit de mettre en place un syst\u00e8me capable de continuer \u00e0 fonctionner, m\u00eame de mani\u00e8re d\u00e9grad\u00e9e, lorsque la composante num\u00e9rique est soumise \u00e0 des contraintes. Cela n\u00e9cessite une coh\u00e9rence entre les politiques, les architectures, les r\u00f4les, les tests et le reporting. Cela exige \u00e9galement une certaine honn\u00eatet\u00e9 organisationnelle : toutes les structures n\u2019ont pas le m\u00eame niveau de maturit\u00e9, et toutes les lacunes ne peuvent pas \u00eatre combl\u00e9es rapidement. <\/p>\n Pour certaines entreprises, la priorit\u00e9 sera de r\u00e9ajuster la gouvernance et de clarifier les responsabilit\u00e9s. Pour d\u2019autres, il s\u2019agira de revoir l\u2019analyse d\u2019impact sur les activit\u00e9s (BIA) et les strat\u00e9gies de reprise. Pour d\u2019autres encore, le point critique r\u00e9sidera dans la d\u00e9pendance vis-\u00e0-vis de tiers ou dans le manque d\u2019int\u00e9gration entre la gestion de crise et la r\u00e9ponse aux incidents. La directive DORA n\u2019impose pas de solution unique. Elle exige toutefois que le mod\u00e8le choisi soit proportionn\u00e9, tra\u00e7able et d\u00e9fendable. <\/p>\n Lorsque la r\u00e9glementation DORA et la continuit\u00e9 des activit\u00e9s sont abord\u00e9es comme des disciplines distinctes, il en r\u00e9sulte une conformit\u00e9 fragile. En revanche, lorsqu\u2019elles sont int\u00e9gr\u00e9es dans un programme de r\u00e9silience op\u00e9rationnelle, l\u2019organisation am\u00e9liore sa capacit\u00e9 de r\u00e9action, r\u00e9duit l\u2019incertitude dans la prise de d\u00e9cision et renforce la cr\u00e9dibilit\u00e9 de sa gestion des risques aupr\u00e8s des autorit\u00e9s, des clients et du march\u00e9. <\/p>\n En fin de compte, l\u2019int\u00e9r\u00eat ne r\u00e9side pas dans le fait d\u2019avoir un plan suppl\u00e9mentaire. Il r\u00e9side dans la capacit\u00e9 \u00e0 d\u00e9terminer quels services doivent rester op\u00e9rationnels, pendant combien de temps, avec quelles ressources et sous quelle autorit\u00e9 d\u00e9cisionnelle, lorsque l\u2019incident n\u2019est plus une hypoth\u00e8se mais une r\u00e9alit\u00e9 op\u00e9rationnelle. <\/p>\n","protected":false},"excerpt":{"rendered":" R\u00e8glement DORA et continuit\u00e9 des activit\u00e9s : comment harmoniser la gouvernance, les risques informatiques, les tests et la gestion de crise pour assurer la r\u00e9silience op\u00e9rationnelle num\u00e9rique.<\/p>\n","protected":false},"author":1,"featured_media":5408,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[384],"tags":[],"class_list":["post-5410","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-actualites"],"acf":[],"yoast_head":"\nQuels changements concrets pour les programmes de continuit\u00e9 ?<\/h2>\n
Gouvernance, r\u00f4les et responsabilit\u00e9<\/h2>\n
Analyse d’impact sur l’activit\u00e9<\/a> et cartographie des d\u00e9pendances informatiques<\/h2>\n
Tests : le banc d’essai du r\u00e8glement DORA et de la continuit\u00e9 des activit\u00e9s<\/h2>\n
Tiers prestataires informatiques et continuit\u00e9 du service<\/h2>\n
De la conformit\u00e9 \u00e0 la r\u00e9silience op\u00e9rationnelle<\/h2>\n