54. Pour cette évaluation, les autorités compétentes devraient notamment examiner si le cadre: a. …

Pour cette évaluation, les autorités compétentes devraient notamment examiner si le cadre:

• a. recense les processus de TIC essentiels et les systèmes de TIC sous-jacents liés et qui devraient faire partie des programmes de résilience et de continuité de l’entreprise avec:
• i. une analyse complète des dépendances entre les processus opérationnels clés et les systèmes sous-jacents;
• ii. des objectifs de rétablissement pour les systèmes de TIC sous-jacents (généralement déterminés par l’entreprise et/ou la réglementation en matière de RTO et de RPO);
• iii. une planification d’urgence appropriée pour permettre la disponibilité, la continuité et le rétablissement des systèmes et services de TIC essentiels afin de réduire les perturbations des opérations de l’établissement dans un délai raisonnable;
• b. tient compte de la résilience de l’entreprise, prévoit des politiques et des normes de continuité des activités et des contrôles opérationnels qui incluent:
• i. des mesures visant à éviter qu’un seul scénario, incident ou catastrophe ait une incidence à la fois sur les systèmes de production et sur les systèmes de rétablissement des TIC;
• ii. des procédures de sauvegarde et de rétablissement du système de TIC pour les logiciels et les données essentiels, qui garantissent que ces sauvegardes sont stockées dans un lieu sécurisé et suffisamment éloigné, de sorte qu’un incident ou une catastrophe ne puisse pas détruire ou corrompre ces données essentielles;
• iii. des solutions de surveillance pour détecter en temps utile les incidents portant atteinte à la disponibilité ou la continuité des TIC;
• iv. un processus documenté de gestion et de remontée d’informations relatives aux incidents, qui fournisse également des orientations sur les différents rôles et responsabilités relatifs à la gestion et à la remontée des informations relatives aux incidents aux membres du ou des comités de crise et à la chaîne de commandement en cas d’urgence;
• v. des mesures physiques visant à protéger l’infrastructure essentielle des TIC de l’établissement (par exemple les centres de données) contre les risques environnementaux (par exemple les inondations ou d’autres catastrophes naturelles) et à assurer un environnement d’exploitation approprié pour les systèmes de TIC (par exemple la climatisation);
• vi. des processus, des rôles et des responsabilités afin de garantir que les systèmes et services de TIC externalisés soient également couverts par des solutions et des plans adéquats de résilience et de continuité de l’entreprise;
• vii. des solutions de planification et de suivi des performance et des capacités des TIC pour les systèmes et services de TIC essentiels avec des exigences de disponibilité définies, de façon à détecter en temps utile les problèmes importants de performance et de capacité;
• viii. des solutions pour protéger les activités ou les services essentiels liés à l’internet (par exemple les services bancaires électroniques), lorsque cela est approprié, contre le déni de service et d’autres cyberattaques visant à empêcher ou à perturber l’accès à ces activités et services.
• c. teste des solutions de disponibilité et de continuité des TIC contre un certain nombre de scénarios réalistes, notamment les cyberattaques, les tests de commutation et les tests de sauvegarde pour les logiciels et les données essentiels qui:
• i. soient planifiées, formalisés et documentés, et qui prévoient que les résultats des tests seront utilisés pour renforcer l’efficacité des solutions de disponibilité et de continuité des TIC;
• ii. associent des parties prenantes et des fonctions au sein de l’organisation, telles que la direction des lignes d’activité, notamment les équipes responsables de la continuité des activités, des incidents et des interventions en cas de crise, ainsi que des parties prenantes externes concernées dans l’écosystème;
• iii. associent de manière appropriée l’organe de direction et la direction générale (par exemple dans le cadre d’équipes de gestion de crise) et les informent des résultats des tests.
• (b) Contrôles visant à gérer les risques significatifs pour la sécurité des TIC

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

3. Normes associées

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/