La loi sur la résilience opérationnelle numérique (Digital Operational Resilience Act, DORA) introduit un mandat à fort enjeu pour les services financiers opérant dans l'UE : prouver que vos opérations - et vos défenses en matière de cybersécurité - peuvent résister aux perturbations les plus graves.
Pour les RSSI, il ne s'agit pas seulement de mises à jour technologiques. Il s'agit de construire un nouveau type de résilience où l'identité joue un rôle central. Ce blog propose un guide pratique pour les RSSI et les responsables IAM qui souhaitent aligner leur stratégie d'identité sur la loi DORA avant que les échéances de 2025 n'entrent en vigueur.
Commencez par la visibilité. Faites correspondre vos systèmes et politiques d'identité actuels aux domaines fondamentaux de DORA :
- Contrôle d'accès et gouvernance
- Authentification et sécurité des données d'identification
- Continuité opérationnelle des services d'identité
- Détection et réponse aux incidents
Où se situent les lacunes ? Où vous appuyez-vous sur des processus manuels ou des outils anciens ? Utilisez cet audit pour classer par ordre de priorité les domaines à risque et les besoins de modernisation.
Les politiques statiques sont trop brutales pour les menaces actuelles. DORA attend des contrôles plus intelligents qui s'adaptent au contexte. Mettre en œuvre l'accès adaptatif en utilisant :
- Analyse du comportement des utilisateurs
- Évaluation de l'état des appareils
- Signaux de géolocalisation et de l'heure du jour
- Historique des schémas d'accès
RSA Risk AI permet de prendre des décisions en temps réel qui réduisent les faux positifs tout en stoppant les menaces réelles.
Vos systèmes de gestion des identités et des accès sont essentiels. Mais peuvent-ils survivre à une panne ?
La loi DORA exige des institutions qu'elles démontrent la continuité des systèmes TIC critiques. Cela inclut votre plateforme d'identité.
Le basculement hybride de RSA garantit que l'authentification peut se poursuivre même si votre nuage, votre centre de données ou votre réseau est compromis.
Le MFA résistant au phishing n'est plus optionnel. RSA propose une gamme de solutions sans mot de passe, y compris :
- Clés matérielles certifiées FIDO2 (iShield)
- Verrouillage mobile pour les appareils non fiables
- Jetons OTP et jetons électroniques basés sur la technologie "push
Déployez-les sur l'ensemble des identités du personnel et des clients pour répondre aux attentes du DORA et mettre un terme au vol de données d'identification.
Les campagnes de certification manuelles et les examens des droits ne sont plus adaptés et ne peuvent plus gérer correctement le nombre croissant d'utilisateurs, d'appareils, de droits et d'environnements. La DORA nécessite une surveillance continue.
Avec Gouvernance et cycle de vie de l'ASR, vous pouvez :
- Automatiser les processus de recrutement, de mutation et de départ
- Appliquer le principe du moindre privilège grâce à un provisionnement basé sur des règles
- Fournir des rapports prêts pour l'audit en quelques clics
DORA séparera la préparation de la réaction. Il ne suffit pas d'avoir mis en place un système IAM, il faut qu'il soit intelligent, résilient et étroitement contrôlé.
Avec RSA, les RSSI obtiennent les outils pour non seulement se conformer à DORA, mais aussi pour construire une infrastructure d'identité qui soutient l'excellence opérationnelle à long terme.
Il est temps d'agir : l'application de la loi sera une réalité en 2025, et votre entreprise risque de se voir infliger de lourdes amendes si elle ne se conforme pas à la réglementation. Utilisez ce guide pour renforcer votre position avant que les régulateurs - ou les attaquants - ne mettent votre résilience à l'épreuve.
Regardez le webinaire de RSA, DORA & Digital Risk : Strengthening Identity Security in Financial Services, pour découvrir ce que la conformité DORA signifie réellement pour la sécurité de l'identité, les meilleures pratiques pour se préparer aux audits DORA, et les principales obligations de conformité liées à l'autorisation de l'utilisateur, l'accès, l'authentification et la continuité de l'activité.
