DORA impose aux banques une nouvelle exigence de preuve de résilience opérationnelle
Le Digital Operational Resilience Act (DORA) exige désormais des institutions financières qu’elles prouvent leur résilience face aux incidents, et non plus simplement qu’elles en aient les capacités. Cette évolution se manifeste par une nécessité accrue de fournir des preuves exploitables concernant la gestion des incidents au sein de leur environnement technologique et de leurs relations avec des prestataires tiers.
Les institutions financières doivent désormais démontrer leur capacité à résister à des perturbations, à y répondre efficacement et à tirer des leçons de ces événements. Cela implique non seulement des contrôles et des processus en place, mais également la capacité à produire un récit clair et défendable basé sur des données précises.
Un exemple illustratif est celui d’une banque paneuropéenne qui utilise une plateforme de paiement commune. Lorsqu’un incident majeur survient, chacune des équipes impliquées — du SOC aux équipes IT, en passant par la résilience opérationnelle — reconstitue sa propre version des événements, rendant difficile la formulation d’un récit unifié et fiable.
Le cadre réglementaire de DORA stipule des délais stricts pour la détection et la déclaration des incidents, ce qui complique la tâche des organisations lorsque les données sont dispersées sur plusieurs outils, chacun ayant sa propre chronologie et ses identifiants. Ce manque de cohérence peut transformer des lacunes de données en problèmes de gouvernance.
En outre, les exigences de DORA s’appliquent également aux données relatives aux prestataires tiers. Les institutions doivent être capables de prouver, par des données tangibles, quels services soutiennent des fonctions critiques, afin de répondre aux questions des superviseurs sur l’impact des défaillances de leurs fournisseurs.
Alors que la tendance a été de stocker de plus en plus de données pour répondre aux réglementations, DORA souligne que toutes les données n’ont pas la même valeur. Par exemple, un journal de paiement est plus pertinent qu’un volume important de données de débogage. Les institutions financières doivent donc faire face à des contraintes budgétaires tout en maintenant une télémétrie pertinente et accessible.
À me que DORA devient opérationnel, la capacité à produire des récits basés sur des preuves tangibles devient un indicateur clé de la maturité des institutions financières. DORA ne se contente pas de modifier les exigences de conformité, mais transforme également la nature même des preuves sur lesquelles ces institutions doivent s’appuyer.
Source : Carlo Tarantini, Senior Product Marketing Manager, Cribl.
