4.6 Gestion des risques liés aux TIC et à la sécurité

Les établissements de crédit et les établissements financiers devraient identifier et gérer leurs risques liés aux TIC et à la sécurité relatifs à l’utilisation du processus d’entrée en relation d’affaires à distance, y compris lorsque les établissements de crédit et les établissements financiers s’appuient sur des tiers ou lorsque le service est externalisé, y compris à des entités du groupe.

En plus de satisfaire aux exigences énoncées dans les directives de l’ABE sur la gestion des risques liés aux TIC et à la sécurité,⁴ le cas échéant, les établissements de crédit et les établissements financiers devraient utiliser des canaux de communication sécurisés pour interagir avec le client pendant le processus d’entrée en relation d’affaires à distance. La solution d’entrée en relation d’affaires à distance devrait utiliser des protocoles et des algorithmes cryptographiques sécurisés conformes aux bonnes pratiques du secteur, afin de préserver, dans la mesure du possible, la confidentialité, l’authenticité et l’intégrité des données échangées.

⁴ EBA/GL/2019/04

Les établissements de crédit et les établissements financiers devraient offrir un point d’accès sécurisé pour le démarrage du processus d’entrée en relation d’affaires à distance fondé sur des certificats qualifiés de cachets électroniques tels que visés à l’article 3, paragraphe 30, du règlement (UE) nº 910/2014 ou des certificats qualifiés d’authentification de sites internet tels que visés à l’article 3, paragraphe 39, dudit règlement. Le client devrait également être informé des mesures de sécurité applicables qui devraient être prises pour garantir une utilisation sécurisée du système.

Lorsqu’un appareil multifonctionnel est utilisé pour exécuter le processus d’entrée en relation d’affaires à distance, un environnement sécurisé devrait être utilisé pour l’exécution du code logiciel côté client, le cas échéant. Des mesures de sécurité supplémentaires devraient être mises en œuvre pour garantir la sécurité et la fiabilité du code logiciel et des données recueillies, conformément à l’évaluation des risques de sécurité telle qu’énoncée dans les orientations de l’ABE sur la gestion des risques liés aux TIC et à la sécurité.