Safety des données, audits informatiques et préparation aux incidents : la circulaire 126 fixe des exigences de sécurité pour les establishments financières visées par le texte. Face aux rançongiciels, ces mesures doivent aider les établissements à limiter les dégâts et à rétablir leurs providers.
Par Gael Beauboeuf, CISA, PDG de Pacivra
Contact : [email protected]
Un rançongiciel peut bloquer l’accès à des fichiers ou à des systèmes informatiques. Les auteurs de l’attaque réclament alors une rançon pour rétablir l’accès. Dans certains cas, ils volent aussi des données et menacent de les publier. Pour une establishment financière, une telle attaque peut interrompre des providers et exposer des renseignements confidentiels sur ses shoppers.
Ce que prévoit la circulaire 126
La Banque de la République d’Haïti (BRH) demande aux establishments financières visées par sa circulaire 126 de protéger la confidentialité, la disponibilité et l’intégrité des données traitées par leurs systèmes informatiques, et d’assurer la traçabilité des opérations. Le texte prévoit aussi des audits informatiques internes et externes ainsi qu’un plan de contingence.
Un audit permet de vérifier si les mesures de safety fonctionnent et de repérer celles qui doivent être corrigées. La sécurité repose à la fois sur des procédures claires, sur la safety des locaux et des équipements et sur des mesures strategies adaptées aux risques de chaque établissement.
Le plan de contingence, lui, se prépare avant l’incident. Il précise qui doit intervenir, remark limiter les conséquences de l’attaque et dans quel ordre rétablir les providers. Dans son avis du 19 octobre sur les cyberattaques, la BRH a rappelé aux establishments financières de ne pas négocier avec les cybercriminels et d’activer leur plan de contingence.
Trois priorités pour réduire le risque
Protéger les accès. L’authentification à deux facteurs est particulièrement utile pour la messagerie, les accès à distance et les comptes administrateurs. Chaque utilisateur devrait disposer des seuls droits nécessaires à son travail. Les correctifs de sécurité doivent être appliqués régulièrement, et les accès accordés aux prestataires, réexaminés.
Tester les sauvegardes. La règle dite « 3-2-1 » consiste à conserver trois copies des données sur deux varieties de helps, dont une hors website. Une copie hors ligne ou protégée contre la modification offre une safety supplémentaire. Un take a look at de restauration permet de vérifier que les données sont récupérables et de mesurer le temps nécessaire à la reprise.
Former les équipes. Un courriel, un SMS ou un message WhatsApp peut servir à usurper l’identité d’un collègue ou d’un prestataire. Des exercices réguliers aident les employés à repérer ces tentatives et à les signaler. Une demande inhabituelle de paiement, de mot de passe ou de code doit être vérifiée par un autre canal, à partir de coordonnées déjà connues.
Développer l’experience locale en audit informatique aiderait les establishments financières haïtiennes à vérifier que ces mesures fonctionnent dans la pratique. Un take a look at de restauration, par exemple, répond à une query qu’un plan écrit ne suffit pas à trancher : combien de temps faudra-t-il pour que les shoppers retrouvent l’accès à leurs providers après une attaque ?