La conformité est souvent considérée comme un fardeau nécessaire dans les services financiers - une série de cases à cocher pour éviter les amendes ou les atteintes à la réputation. Mais la loi sur la résilience opérationnelle numérique (Digital Operational Resilience Act, DORA) n'est pas qu'un simple exercice de cases à cocher. Elle représente un changement plus profond dans la manière dont les régulateurs attendent des organisations européennes qu'elles gèrent le risque numérique.
Pour les RSSI et les responsables de l'identité, DORA est l'occasion de transformer la conformité en un moteur de réduction des risques et de résilience à long terme. Pour concrétiser cette opportunité, ils devront commencer par l'identité.
Chaque transaction numérique au sein d'une institution financière commence par une question de sécurité fondamentale : qui demande l'accès ? Dans un environnement de plus en plus hybride, connecté au cloud et accessible à distance, la vérification et le contrôle de l'identité sont plus complexes - et plus critiques - que jamais.
DORA reconnaît que sans systèmes d'identité sécurisés et résilients, aucune organisation ne peut maintenir la continuité opérationnelle en cas de crise. Si vous perdez le contrôle de l'identité, vous perdez le contrôle de l'entreprise.
Les systèmes d'identité traditionnels n'ont pas été conçus pour répondre au paysage actuel des menaces ou aux attentes réglementaires. Ils sont souvent réactifs, axés sur les politiques et fortement tributaires des mots de passe et des processus manuels.
Les lacunes les plus courantes sont les suivantes
- Politiques d'accès statiques qui ne tiennent pas compte du risque contextuel
- Manque de visibilité dans un comportement identitaire en temps réel
- Lenteur de la réponse aux incidents en raison d'outils d'identité cloisonnés
- Pas de stratégie de sauvegarde si les systèmes IAM sont hors ligne
Le DORA attend davantage. Elle attend des institutions qu'elles gèrent de manière proactive les risques liés à l'identité dans le cadre de leur programme de résilience opérationnelle. Les organisations financières opérant dans l'UE doivent désormais se conformer à ces exigences, car le 17 janvier 2025 a marqué le début des phases d'application de la loi DORA.
La gestion des risques liés à l'identité va au-delà de l'application des contrôles d'accès. Il s'agit d'évaluer en permanence le risque posé par les utilisateurs, les appareils et les tentatives d'accès, et d'adapter dynamiquement les réponses en matière de sécurité.
Par exemple :
- L'utilisateur se connecte-t-il à partir d'un endroit connu sur un appareil de confiance ?
- Leur comportement est-il conforme aux modèles historiques ?
- Y a-t-il une augmentation des demandes d'assistance qui pourrait indiquer la présence d'ingénierie sociale ?
Ces signaux permettent d'établir un profil de risque en temps réel qui oriente les décisions en matière d'authentification et d'accès.
La plateforme d'identité de RSA est spécialement conçue pour répondre aux exigences du DORA en matière de risque d'identité.
- Risque IA analyse les signaux comportementaux pour détecter et bloquer les accès à risque
- Help Desk Live Verify prévient les attaques d'ingénierie sociale au moment de l'interaction humaine
- Solutions sans mot de passe (y compris les solutions certifiées FIDO2, OTP, biométriques, etc.) réduisent les violations liées aux informations d'identification.
- Gouvernance et cycle de vie de l'ASR rationalise l'application des politiques et les rapports de conformité
- Basculement hybride garantit que l'authentification se poursuit même lorsque les systèmes sont hors service
Ensemble, ces outils permettent aux institutions de gérer l'identité comme une fonction de risque dynamique, basée sur des données.
La conformité réglementaire est le point de départ. Mais les institutions qui vont au-delà des exigences minimales du DORA mettront en place des opérations plus sûres, plus souples et plus fiables.
En investissant dès maintenant dans la gestion des risques liés à l'identité, les RSSI peuvent :
- Réduire la probabilité et l'impact des infractions
- Réduire le coût et la complexité des audits
- Améliorer l'expérience des utilisateurs grâce à un accès adaptatif et sans mot de passe
- Construire une résilience durable dans toutes les opérations numériques
DORA est un appel à repenser l'identité. Non seulement en tant que gardien de l'accès, mais aussi en tant que signal de risque critique et pierre angulaire de la résilience.
Avec RSA, les institutions financières peuvent relever ce défi et utiliser l'identité non seulement pour se conformer, mais aussi pour prendre les devants.
Visionner le webinaire de RSA, DORA & Digital Risk : Strengthening Identity Security in Financial Services, pour découvrir ce que la conformité DORA signifie réellement pour la sécurité de l'identité, les meilleures pratiques pour se préparer aux audits DORA, et les principales obligations de conformité liées à l'autorisation des utilisateurs, à l'accès, à l'authentification et à la continuité des activités.
