Les infrastructures de marché rencontrent le même problème de preuve

Les infrastructures de marché financier, les bourses, les chambres de compensation et les systèmes de paiement sont de plus en plus soumis à la fois à des cadres de résilience physique et à des obligations en matière de cybersécurité. Un opérateur suffisamment important pour être désigné comme infrastructure critique est, dans de nombreuses juridictions, également soumis aux exigences de cybersécurité applicables aux entités essentielles. Le volet physique reçoit une attention proportionnée, car il génère des preuves visibles et vérifiables. Le volet cyber, lui, accuse souvent un retard.

Demandez à une chambre de compensation ou à un opérateur de bourse si leurs systèmes sont sécurisés : la réponse sera presque toujours oui. Demandez-leur d’en apporter la preuve, avec des enregistrements plutôt qu’avec de simples assurances, et la confiance s’effrite généralement très vite. Cet article explique pourquoi l’absence de preuves côté cyber est si fréquente dans les infrastructures financières critiques, et ce qu’il faut réellement pour combler cette lacune.

Résumé

Les opérateurs d’infrastructures de marché critiques font face à une surface de conformité qui s’est réellement élargie : les exigences de résilience physique s’ajoutent désormais aux obligations de cybersécurité qui s’appliquent parce que le même opérateur est aussi une entité essentielle. Le volet physique reçoit une attention proportionnée, car il génère des preuves visibles et vérifiables. Le volet cyber accuse souvent un retard, car les preuves requises — un enregistrement continu et interrogeable des accès aux données et de l’activité des systèmes — sont plus difficiles à produire a posteriori. Pour les responsables des risques et de la conformité dans ces secteurs, la priorité concrète consiste à combler le déficit de preuves sur le volet où il est le plus facile de sous-investir, précisément parce qu’un échec y reste invisible jusqu’à ce qu’un incident — ou un régulateur — le rende visible.

Résumé des points clés

1. Les infrastructures financières critiques sont désormais soumises simultanément à des obligations physiques et cyber. Un opérateur désigné comme critique est généralement aussi classé comme entité essentielle au titre de la réglementation cybersécurité.
2. La résilience physique est plus facile à démontrer que la résilience cyber, car elle est visible. Un centre de données de secours ou une ronde de gardiens peuvent être inspectés directement ; les contrôles d’accès ne peuvent pas être vérifiés en se rendant sur site.
3. La confiance dans la résilience cyber sans preuves n’est pas de la résilience, c’est une supposition. Un opérateur incapable de fournir un relevé précis des accès repose sur l’absence d’incident plutôt que sur un contrôle avéré.
4. Les régulateurs attendent de plus en plus des preuves continues, et non une évaluation ponctuelle. Un rapport de risques déposé une fois ne répond pas aux questions d’une autorité de supervision après un incident réel.
5. Les preuves qu’un opérateur d’infrastructure financière critique doit fournir sont les mêmes que celles exigées de toute entité essentielle, mais sous un contrôle accru.

Pourquoi les infrastructures financières critiques impliquent désormais des obligations physiques et cyber

Les opérateurs qualifiés d’infrastructures critiques découvrent de plus en plus que leur désignation déclenche deux ensembles d’obligations distincts et parallèles, et non un seul.

La résilience physique et la résilience cyber sont régulées comme des obligations distinctes

Les cadres de résilience physique se concentrent sur la continuité des services essentiels face aux catastrophes, au sabotage et aux perturbations physiques : enregistrement, évaluations d’impact, mesures de protection pour le site lui-même. Les obligations de cybersécurité, qui s’appliquent parce que le même opérateur est aussi une entité essentielle, portent sur des risques d’une tout autre nature : déclaration d’incidents, gestion des risques des systèmes d’information, et preuves des mesures de sécurité techniques et organisationnelles. Un opérateur peut satisfaire pleinement à l’une de ces obligations tout en restant exposé sur l’autre.

Le niveau d’exigence augmente plus vite que les pratiques de preuve de la plupart des opérateurs

À mesure que les seuils de désignation englobent davantage d’infrastructures de marché et que la coordination entre autorités de supervision physique et cyber s’intensifie, les attentes concrètes envers les opérateurs augmentent d’autant : il ne suffit plus d’avoir des contrôles, il faut pouvoir fournir un relevé précis, horodaté, de la façon dont ces contrôles ont fonctionné lors d’un événement. Beaucoup d’opérateurs ont développé leurs pratiques de preuve pour un niveau d’exigence inférieur et n’ont pas encore rattrapé ce qui est désormais attendu d’eux.

Pourquoi la preuve physique est facile et la preuve cyber difficile

L’asymétrie entre ces deux obligations ne tient pas à la priorité accordée par les opérateurs, mais à la capacité de produire naturellement des preuves pour l’une, alors que l’autre exige une conception délibérée pour générer des preuves exploitables.

On peut faire le tour du périmètre, pas du journal d’accès

Une mesure de sécurité physique, un centre de données de secours, une ronde de gardiens, sont des éléments qu’un inspecteur peut vérifier en les observant directement. La résilience cyber n’a pas d’équivalent en matière de visite sur site. Savoir si l’accès aux systèmes de négociation et de compensation a réellement été contrôlé, surveillé et journalisé comme annoncé ne peut se vérifier qu’en examinant les enregistrements — lesquels n’existent que si les systèmes ont été conçus dès le départ pour les capturer en continu.

L’absence d’incident n’est pas une preuve de contrôle

Beaucoup d’opérateurs considèrent discrètement que le fait qu’aucun incident ne soit survenu remplace la preuve d’un contrôle effectif. Cette substitution est risquée, car elle s’effondre dès qu’un incident ou une enquête réglementaire survient. Un opérateur à qui l’on demande de démontrer précisément ce qui s’est passé sur une période donnée doit déjà disposer de cette réponse sous forme d’enregistrement.

Ce qu’exige réellement la fermeture du déficit de preuves cyber

Combler ce déficit n’est pas d’abord une question de rédaction de meilleures règles. Il s’agit de veiller à ce que les systèmes traitant des données opérationnelles et clients sensibles génèrent effectivement les preuves que la politique prétend exister.

Journalisation continue sur chaque système manipulant des données sensibles

Le déficit de preuves d’un opérateur ne relève que rarement d’un manque de volonté à se conformer. Il s’explique par une journalisation configurée pour le dépannage opérationnel plutôt que pour la conformité réglementaire, limitée en cas de charge, ou jamais corrélée pour reconstituer un historique complet. Une journalisation continue et exhaustive sur tous les canaux manipulant des données sensibles permet, en cas d’enquête, de retrouver les enregistrements plutôt que de devoir reconstituer les faits à partir d’hypothèses.

Les preuves doivent être prêtes avant la demande du régulateur, pas après

Une autorité de supervision enquêtant sur un incident posera des questions précises : quelles données ont été consultées, par qui, avec quelle autorisation, et quels contrôles étaient en place. Un opérateur capable de répondre immédiatement, à partir d’enregistrements existants, se trouve dans une situation radicalement différente de celui qui doit expliquer pourquoi les preuves n’existent pas ou ne peuvent être réunies dans les délais impartis.

Construire la base de preuves avant qu’elle ne soit nécessaire

La priorité concrète pour un opérateur d’infrastructure de marché critique est d’auditer le volet cyber de ses obligations avec la même rigueur que pour la résilience physique : vérifier que la journalisation est continue et exhaustive sur chaque système manipulant des données sensibles, que les enregistrements obtenus sont rapidement interrogeables, et qu’ils répondraient effectivement aux exigences d’une autorité de supervision demandant des précisions.

Comment un plan de contrôle des données fournit les preuves dont les infrastructures financières critiques ont besoin

Prouver la résilience cyber, plutôt que de l’affirmer, exige une couche de gouvernance qui capture chaque accès, envoi, partage et téléchargement sur tous les canaux où circulent des données sensibles, en continu et dans un format interrogeable à la demande.

Le Data Control Plane de Kiteworks applique des contrôles zero-trust contextualisés à chaque action sur tous les canaux et consigne chacune d’elles dans un journal d’audit infalsifiable et non limité, qui alimente directement les outils SIEM, offrant ainsi aux opérateurs un enregistrement continu et interrogeable de ce qui est arrivé aux données sensibles, quand, et sous quelle autorisation. Un déploiement à locataire unique, sur site, en cloud privé hébergé ou en instance dédiée, garantit que cette base de preuves reste sous le contrôle de l’opérateur.

Les opérateurs souhaitant vérifier si leurs pratiques de preuve cyber résisteraient à ce niveau de contrôle peuvent réserver une démo personnalisée pour découvrir comment la journalisation continue et intercanale s’applique à leur environnement d’infrastructure critique.