02 / Conformité et certification
DORA, pour les systèmes qui font circuler l'argent
Nous aidons les entités financières à confronter leur cadre de gestion du risque lié aux TIC au règlement, à resserrer la gestion des incidents et des prestataires, et à mener les tests de résilience qui l'accompagnent.
Présentation
Ce que DORA vous demande
Le règlement sur la résilience opérationnelle numérique du secteur financier (DORA), règlement (UE) 2022/2554, s'applique à un large éventail d'entités financières. Il exige un cadre de gestion du risque lié aux TIC placé sous la responsabilité de l'organe de direction, la classification et la notification des incidents majeurs liés aux TIC, un programme de tests de résilience opérationnelle numérique et la maîtrise du risque lié aux prestataires tiers de services TIC.
Contrairement à NIS 2, DORA est un règlement et s'applique directement dans chaque État membre. Le détail figure dans des normes techniques et dans les attentes de votre autorité compétente, et la proportionnalité compte : une petite structure ne doit pas la même chose qu'une grande banque.
Black Fox n'est ni un cabinet d'avocats ni un superviseur. Les tests de pénétration fondés sur la menace (TLPT), exigés de certaines entités, suivent un cadre propre, avec des exigences envers les testeurs et l'implication de l'autorité. Nous ne nous présentons pas comme prestataire TLPT. Nous intervenons sur les tests et la préparation qui les entourent.
À qui s'adresse ce service
Établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d'investissement, assureurs, prestataires de services sur crypto-actifs et les autres entités financières listées par DORA. Également les prestataires TIC qui les servent et doivent répondre à leurs questionnaires, audits et clauses contractuelles.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Analyse d'écarts du risque lié aux TIC
Une revue de votre cadre au regard du règlement : gouvernance, identification des actifs et fonctions TIC, protection, détection, réponse et rétablissement, et retour d'expérience.
Gestion et notification des incidents
Un processus pour détecter, classer et notifier les incidents majeurs liés aux TIC, avec des responsables clairs et un circuit de décision qui tient sous pression.
Tests de résilience
Des tests adaptés à votre taille et à vos risques, par exemple évaluations de vulnérabilités, tests d'intrusion réseau et applicatifs, tests fondés sur des scénarios et revues de code source, avec un suivi jusqu'à la correction.
Risque lié aux prestataires tiers
Un appui pour votre registre d'informations sur les accords contractuels, l'évaluation des prestataires, les clauses contractuelles et les stratégies de sortie pour ceux qui soutiennent des fonctions critiques ou importantes.
Continuité d'activité
Des plans de continuité et de rétablissement TIC testés, pas seulement rédigés, et alignés sur ce dont vos fonctions critiques dépendent vraiment.
Organe de direction
Formations et points d'information pour que l'organe de direction puisse définir, approuver et superviser le cadre dont il est responsable.
Déroulement de la mission
Lancement
Nous convenons du périmètre, des entités et des interlocuteurs, et signons d'abord un accord de confidentialité si vous le souhaitez.
Cartographie
Nous cartographions vos fonctions critiques ou importantes, les systèmes TIC qui les portent et les prestataires qui les exploitent.
Analyse d'écarts
Entretiens, revue documentaire et sondages techniques au regard du règlement, avec à la clé un rapport priorisé.
Accompagnement à la mise en œuvre
Nous travaillons avec vos responsables sur le cadre, le processus d'incident, le suivi des prestataires et les plans de continuité.
Tests
Des tests de résilience convenus à l'avance, avec rapport de synthèse, rapport technique et preuves de concept pour chaque constat.
Restitution et suivi
Recommandations et plan de remédiation, puis en option des contre-tests et des revues périodiques à mesure que le programme mûrit.
Ce que vous recevez
- Analyse d'écarts au regard des exigences de DORA
- Plan de remédiation priorisé
- Procédure de classification et de notification des incidents
- Éléments pour votre registre d'informations sur les prestataires TIC
- Rapports de tests de résilience avec preuves de concept
- Supports de formation pour l'organe de direction
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
Réalisez-vous des TLPT ?
Non. Les tests de pénétration fondés sur la menace prévus par DORA concernent les entités désignées par les autorités et suivent un cadre avec des exigences propres envers les testeurs et le déroulement. Nous aidons sur le travail qui les entoure, par exemple la préparation, les autres tests de résilience et la correction des constats.
Quelle différence entre DORA et NIS 2 ?
DORA est un règlement propre au secteur financier, directement applicable dans toute l'UE. NIS 2 est une directive multisectorielle qui s'applique par le droit national. Pour les entités financières couvertes par DORA, c'est DORA qui prime sur le risque lié aux TIC.
Nous utilisons un fournisseur cloud. Est-ce notre problème ou le sien ?
Les deux. Vous restez responsable du risque que vous externalisez. DORA vous demande d'évaluer les prestataires, de prévoir des clauses précises, de tenir un registre des accords et de préparer votre sortie. Certains prestataires critiques font en outre l'objet d'une supervision directe au niveau européen.
Un test d'intrusion nous met-il en conformité avec DORA ?
Aucun test isolé ne le fait. Les tests sont un volet du règlement, à côté de la gestion des risques, de la notification des incidents et du risque lié aux tiers. Un test vous donne des preuves et une liste de points à corriger.
Services associés
- Sécurité offensiveTests d'intrusionTests d'intrusion par Black Fox Security : boîte noire, grise ou blanche sur un périmètre convenu, rapports métier et technique, et contre-test de vos correctifs.
- Gouvernance et risquesGestion des risques tiersRisques fournisseurs avec Black Fox Security : inventaire, classement, questionnaires, revue des preuves et clauses contractuelles, en lien avec NIS 2 et DORA.
- Gouvernance et risquesContinuité d'activité et reprise après sinistrePCA et PRA avec Black Fox Security : bilan d'impact sur l'activité, plans de continuité et de reprise, tests de sauvegarde et de restauration, exercices sur table.
- Conformité et certificationNIS 2NIS 2 avec Black Fox Security : analyse d'assujettissement, écarts face aux mesures de gestion des risques, notification des incidents, fournisseurs.
Commencez par les fonctions qui comptent
Dites-nous quel type d'entité vous êtes et ce qui existe déjà. Nous vous montrerons où le règlement et votre cadre divergent.