Les infrastructures de marché rencontrent le même problème de preuve

Les infrastructures de marché financier, les bourses, les chambres de compensation et les systèmes de paiement sont de plus en plus soumis à la fois à des cadres de résilience physique et à des obligations en matière de cybersécurité. Un opérateur suffisamment important pour être désigné comme infrastructure critique est, dans de nombreuses juridictions, également soumis aux exigences de cybersécurité applicables aux entités essentielles. Le volet physique reçoit une attention proportionnée, car il produit des preuves visibles et vérifiables. Le volet cyber, lui, accuse souvent un retard.

Demandez à une chambre de compensation ou à un opérateur de bourse si leurs systèmes sont sécurisés, la réponse sera presque toujours oui. Mais demandez-leur de le prouver, avec des registres plutôt qu’avec des assurances, et la confiance s’effrite généralement très vite. Cet article explique pourquoi l’écart de preuves sur le plan cyber est si fréquent dans les infrastructures financières critiques, et ce qu’il faut réellement pour le combler.

Résumé exécutif

Les opérateurs d’infrastructures de marché critiques font face à un périmètre de conformité qui s’est réellement élargi : les exigences de résilience physique s’ajoutent désormais aux obligations de cybersécurité, car le même opérateur est reconnu comme entité essentielle. Le volet physique reçoit une attention proportionnée, car il produit des preuves visibles et vérifiables. Le volet cyber, lui, accuse souvent un retard, car les preuves requises — un historique continu et interrogeable des accès aux données et de l’activité des systèmes — sont bien plus difficiles à produire a posteriori. Pour les responsables des risques et de la conformité dans ces secteurs, la priorité concrète consiste à combler l’écart de preuves sur le volet où l’investissement est le plus facile à négliger, précisément parce que les défaillances y restent invisibles jusqu’à ce qu’un incident, ou un régulateur, les rende visibles.

Résumé des points clés

1. Les infrastructures financières critiques sont désormais soumises simultanément à des obligations physiques et cyber. Un opérateur désigné comme critique est généralement aussi classé comme entité essentielle au titre de la réglementation sur la cybersécurité.
2. La résilience physique est plus facile à démontrer que la résilience cyber, car elle est visible. Un centre de données de secours ou une ronde de gardiens peuvent être inspectés directement ; les contrôles d’accès, eux, ne se vérifient pas en visitant le site.
3. Faire confiance à la résilience cyber sans preuves n’est pas une preuve de résilience, mais une simple supposition. Un opérateur incapable de fournir un relevé précis des accès s’appuie sur l’absence d’incident plutôt que sur un contrôle démontré.
4. Les régulateurs attendent de plus en plus des preuves continues, et non une évaluation ponctuelle. Un rapport de risque déposé une fois ne répond pas aux questions d’une autorité de supervision après un incident réel.
5. Les preuves exigées d’un opérateur d’infrastructure financière critique sont les mêmes que celles requises de toute entité essentielle, mais sous un contrôle accru.

Pourquoi les infrastructures financières critiques impliquent désormais des obligations physiques et cyber

Les opérateurs reconnus comme infrastructures critiques constatent de plus en plus que leur statut déclenche deux ensembles d’obligations distincts et parallèles, et non plus un seul.

La résilience physique et la résilience cyber sont réglementées comme des obligations distinctes

Les cadres de résilience physique portent sur la continuité des services essentiels face aux catastrophes, au sabotage et aux perturbations physiques : enregistrement, analyses d’impact, mesures de protection pour le site lui-même. Les obligations de cybersécurité, qui s’appliquent parce que le même opérateur est aussi classé comme entité essentielle, couvrent des risques d’une toute autre nature : déclaration d’incidents, gestion des risques des systèmes d’information, et preuves de mesures de sécurité techniques et organisationnelles. Un opérateur peut être irréprochable sur un volet et rester exposé sur l’autre.

Le niveau d’exigence progresse plus vite que les pratiques de preuve de la plupart des opérateurs

À mesure que les seuils de désignation englobent davantage d’infrastructures de marché et que la coordination entre autorités de supervision physique et cyber s’intensifie, les attentes concrètes envers les opérateurs augmentent : il ne suffit plus d’avoir des contrôles, il faut pouvoir fournir un relevé précis et horodaté de la façon dont ces contrôles ont fonctionné lors d’un incident. Beaucoup d’opérateurs ont bâti leurs pratiques de preuve pour un niveau d’exigence inférieur et n’ont pas rattrapé le niveau désormais attendu.

Pourquoi il est facile de produire des preuves physiques et difficile de produire des preuves cyber

L’asymétrie entre les deux obligations ne tient pas à la priorité accordée par les opérateurs, mais à la capacité de produire naturellement des preuves pour l’une, et à la nécessité de concevoir délibérément la production de preuves pour l’autre.

On peut faire le tour du périmètre, mais pas du journal d’accès

Une mesure de sécurité physique, un centre de données de secours, une ronde de gardiens, peuvent être vérifiés par un inspecteur qui les observe directement. Il n’existe pas d’équivalent pour la résilience cyber. Le contrôle, la surveillance et la journalisation des accès aux systèmes de trading et de compensation ne peuvent être vérifiés qu’en consultant des registres, et ces registres n’existent que si les systèmes ont été conçus dès le départ pour les générer en continu.

L’absence d’incident ne prouve pas le contrôle

Beaucoup d’opérateurs considèrent discrètement que l’absence de problème tient lieu de preuve de contrôle. Cette confusion est dangereuse, car elle vole en éclats dès qu’un incident ou une enquête réglementaire survient. Un opérateur à qui l’on demande de détailler précisément ce qui s’est passé sur une période donnée doit déjà disposer de cette réponse sous forme de registre.

Ce qu’il faut réellement pour combler l’écart de preuves cyber

Combler cet écart ne relève pas d’abord de la rédaction de meilleures règles. Il s’agit de veiller à ce que les systèmes traitant des données opérationnelles et clients sensibles génèrent effectivement les preuves que la politique prétend exister.

Journalisation continue sur tous les systèmes traitant des données sensibles

L’écart de preuves d’un opérateur ne traduit que rarement un manque de volonté d’être conforme. Il s’agit plutôt d’une journalisation conçue pour le dépannage opérationnel et non pour la conformité réglementaire, limitée en cas de charge, ou jamais corrélée en un relevé unique des événements. Une journalisation continue et complète sur tous les canaux traitant des données sensibles transforme une enquête en simple extraction de registres, au lieu d’une reconstitution approximative des faits.

Les preuves doivent être prêtes avant la demande du régulateur, pas après

Une autorité de supervision enquêtant sur un incident posera des questions précises : quelles données ont été consultées, par qui, sous quelle autorisation, et quels contrôles étaient en place. Un opérateur capable de répondre immédiatement, à partir de registres existants, se trouve dans une position radicalement différente de celui qui doit expliquer pourquoi les preuves n’existent pas ou ne peuvent être réunies à temps.

Construire la base de preuves avant qu’elle ne soit nécessaire

La priorité concrète pour un opérateur d’infrastructure de marché critique est d’auditer le volet cyber de ses obligations avec la même rigueur que celle appliquée à la résilience physique : vérifier que la journalisation est continue et complète sur tous les systèmes traitant des données sensibles, que les registres produits sont rapidement interrogeables, et qu’ils répondraient effectivement aux exigences d’une autorité de supervision demandant des précisions.

Comment un plan de contrôle des données fournit les preuves dont les infrastructures financières critiques ont besoin

Prouver la résilience cyber, plutôt que de l’affirmer, suppose une couche de gouvernance qui capture chaque accès, envoi, partage et téléchargement sur tous les canaux par lesquels transitent les données sensibles, en continu et sous une forme interrogeable à la demande.

Le Data Control Plane de Kiteworks applique des contrôles zero-trust adaptés aux données à chaque action sur chaque canal, et consigne chaque événement dans un journal d’audit inviolable et non limité qui alimente directement les outils SIEM, offrant ainsi aux opérateurs un historique continu et interrogeable de ce qui est arrivé aux données sensibles, quand, et sous quelle autorisation. Le déploiement à locataire unique, sur site, dans un cloud auto-hébergé ou en instance dédiée hébergée, garantit que cette base de preuves reste sous le contrôle de l’opérateur.

Les opérateurs qui souhaitent vérifier si leurs propres pratiques de preuve cyber résisteraient à ce niveau d’exigence peuvent réserver une démo personnalisée pour découvrir comment la preuve d’audit continue et intercanale s’applique à leur environnement d’infrastructure critique.