55. Les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre efficace pour …

Les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre efficace pour détecter, comprendre, mesurer et atténuer les risques pour la sécurité des TIC. Lors de cette évaluation, les autorités compétentes devraient notamment examiner si ce cadre prévoit:

• a. des rôles et des responsabilités clairement définis concernant:
• i. la (les) personne(s) et/ou les comités qui sont responsables de la gestion quotidienne de la sécurité des TIC et de l’élaboration des politiques générales de sécurité des TIC, ou qui doivent en rendre compte, en prêtant attention au besoin d’indépendance de ces personnes ou comités;
• ii. la conception, la mise en œuvre, la gestion et le suivi des contrôles de sécurité des TIC;
• iii. la protection des systèmes et des services de TIC essentiels en adoptant, par exemple, un processus d’évaluation de la vulnérabilité, une gestion des correctifs logiciels, une protection des points de terminaison (par exemple contre les virus malveillants), des outils de détection et de prévention des intrusions;
• iv. la surveillance, la classification et la gestion des incidents de sécurité des TIC externes ou internes, notamment la réaction face aux incidents ainsi que le redémarrage et le rétablissement des systèmes et des services de TIC;
• v. les évaluations régulières et préventives des menaces pour maintenir des contrôles de sécurité appropriés;
• b. une politique de sécurité des TIC qui prend en considération les normes et les principes de sécurité des TIC internationalement reconnus et, le cas échéant, y adhère (par exemple le «principe du moindre privilège», qui consiste à limiter l’accès au niveau minimal qui permettra un fonctionnement normal de la gestion des droits d’accès, et le principe de la «défense en profondeur», qui consiste à concevoir une architecture de sécurité avec des mécanismes de sécurité sur plusieurs niveaux pour augmenter la sécurité du système dans son ensemble );
• c. un processus visant à recenser les systèmes et les services de TIC et les exigences de sécurité proportionnelles qui reflètent les éventuels risques de fraude et/ou mauvais usages et/ou abus de données confidentielles ainsi que les attentes de sécurité documentées à respecter pour ces systèmes, services et données TIC recensés, alignés sur la tolérance au risque de l’établissement et surveillés pour une mise en œuvre correcte;
• d. un processus documenté de gestion et de remontée d’informations relatives aux incidents de sécurité, qui fournit des orientations sur les différents rôles et responsabilités relatifs à la gestion et à la remontée des informations relatives aux incidents, aux membres du ou des comités de crise et à la chaîne de commandement en cas d’urgence pour la sécurité;
• e. l’enregistrement des activités des utilisateurs et des administrateurs pour permettre un suivi efficace et la détection en temps utile des activités non autorisées ainsi qu’une intervention rapide face à de telles activités; pour mener des enquêtes techniques sur les incidents de sécurité ou y participer. L’établissement devrait avoir mis en place des politiques d’enregistrement qui définissent les types de journaux appropriés à garder et leur période de conservation;
• f. des campagnes ou des initiatives de sensibilisation et d’information pour informer tous les niveaux de l’établissement sur l’utilisation sans risque et la protection des systèmes de TIC de l’établissement et les principaux risques liés à la sécurité des TIC (et autres) dont ils devraient avoir connaissance, en particulier en ce qui concerne les menaces cybernétiques existantes et évolutives (par exemple les virus informatiques, les éventuels abus ou attaques internes ou externes, les cyberattaques), et leur rôle dans l’atténuation des atteintes à la sécurité;
• g. des mesures de sécurité physique adéquates (par exemple vidéosurveillance, alarme antieffraction, portes de sécurité) pour empêcher l’accès physique non autorisé aux systèmes de TIC essentiels et sensibles (par exemple les centres de données);
• h. des mesures visant à protéger les systèmes de TIC contre les attaques perpétrées depuis l’internet (cyberattaques) ou d’autres réseaux externes (par exemple, les connexions télécom traditionnelles ou les connexions avec des partenaires fiables). Les autorités compétentes devraient examiner si le cadre de l’établissement prévoit:
• i. un processus et des solutions pour garder un inventaire complet et actualisé et une vue d’ensemble de tous les points de connexion du réseau offrant un accès vers l’extérieur (par exemple, les sites internet, les applications internet, le wifi, l’accès à distance) par lesquels des tiers pourraient entrer dans les systèmes internes des TIC;
• ii. des mesures de sécurité soigneusement gérées et étroitement surveillées (par exemple pare-feu, serveurs proxy, relais de courriers électroniques, antivirus et scanners de contenu) pour sécuriser le trafic entrant et sortant sur le réseau (par exemple le courrier électronique) et les connexions réseau externes par lesquelles des tiers pourraient entrer dans les systèmes internes des TIC;
• iii. des processus et des solutions pour sécuriser les sites web et les applications qui peuvent être directement attaqués depuis l’internet et/ou de l’extérieur, qui peuvent servir de point d’entrée dans les systèmes internes des TIC. En général, cela comprend une combinaison de pratiques reconnues de développement sécurisé, de durcissement du système de TIC et d’examen des points faibles et/ou la mise en œuvre de solutions de sécurité supplémentaires, comme par exemple les pare-feu d’applications, les systèmes de détection des intrusions (IDS) ou de prévention des intrusions (IPS);
• iv. des tests périodiques d’attaques contre la sécurité pour évaluer l’efficacité des mesures et des processus de sécurité des TIC externes et internes mis en œuvre. Ces tests devraient être effectués par du personnel et/ou des experts externes possédant les connaissances nécessaires et leurs résultats et conclusions être documentés et rapportés à la direction générale et/ou à l’organe de direction. Lorsque cela est nécessaire l’établissement devrait tirer des enseignements de ces tests afin d’améliorer davantage les contrôles et les processus de sécurité et/ou d’obtenir une meilleure assurance de leur efficacité.
• (c) Contrôles visant à gérer les risques significatifs liés aux changements des TIC

1. Vue d’ensemble

1.1 Références

1.2 Exigences identifiées

1.3 Normes associées

2. Exigences identifiées

3. Normes associées

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/