De la conformité à la défense continue: comment la réglementation en matière de cybersécurité s’adapte à la réalité du secteur financier

Des réglementations telles que la norme 23 NYCRR 500, la loi européenne DORA (Digital Operational Resilience Act) et la norme PCI DSS 4.0 marquent un tournant pour les institutions financières, passant d'une conformité statique à une défense dynamique. Elles constituent une réponse à un paysage cybernétique en constante évolution, où les attaques dévastatrices se produisent plus rapidement et ciblent un éventail de cibles plus large. Ceci est particulièrement crucial durant les périodes à haut risque, comme les fêtes de fin d'année, où le télétravail, la réduction des effectifs et le stress accru peuvent offrir davantage de possibilités aux attaquants.

Alors que la réglementation s'adapte à cette réalité évolutive, les organisations les plus avisées n'attendent pas les obligations légales. Face à la hausse des risques, les institutions ne peuvent plus se permettre d'attendre un audit annuel ou une liste de contrôle de conformité pour prouver leur sécurité. Elles s'en servent au contraire comme levier pour obtenir l'adhésion à la mise en place de systèmes de cybersécurité évolutifs et adaptatifs, capables de surveiller, mesurer et améliorer en continu leur niveau de sécurité en temps réel.

Comment la cybersécurité a évolué

Pendant des années, les institutions financières ont principalement bâti leurs programmes de cybersécurité sur la réussite des audits. Il s'agissait de s'assurer que les politiques adéquates étaient rédigées, que les contrôles appropriés étaient en place et de pouvoir le prouver en cochant les cases appropriées sur une liste de vérification. Mais aujourd'hui, le paysage des menaces est bien plus dynamique que cette approche ne le permet. Les attaquants sondent en permanence, s'adaptent instantanément et exploitent les failles en quelques heures, voire quelques minutes. Les pics saisonniers d'activité numérique, comme les transactions de fin d'année et les pics de commerce électronique, ne font qu'amplifier ces vulnérabilités.

Ces risques ne se limitent plus aux grandes entreprises. Comme le souligne l' évaluation des menaces intérieures de 2024, les institutions financières de taille moyenne sont devenues des cibles de grande valeur: riches en données, mais souvent dépourvues de systèmes de défense de niveau entreprise. Les attaquants connaissent et exploitent ces failles, tirant parti de la prolifération numérique pour rester indétectés plus longtemps. La période des fêtes aggrave le problème, car la frustration ou la surcharge de travail des employés peuvent, involontairement ou intentionnellement, créer de nouvelles opportunités pour les cybercriminels.

Les autorités réglementaires prennent désormais en compte cette évolution et adaptent leur législation en privilégiant la préparation plutôt que la simple défense. Conscientes qu'il est impossible d'établir des normes garantissant la sécurité de tous, elles ont modifié leur approche en conséquence, en encourageant des mesures de défense à la fois proactives et réactives: de l'analyse et de la correction régulières des vulnérabilités aux exercices de simulation de réponse en temps réel et aux procédures de sauvegarde vérifiées.

L'ajustement réglementaire en nature

L’évolution des normes réglementaires ne se résume pas à un simple durcissement des contraintes. Elle reconnaît plutôt qu’une conformité statique ne peut protéger un monde numérique en constante évolution. Voici comment cela se traduit dans la réglementation du secteur financier en 2025:

23 NYCRR 500 (États-Unis | New York | Finance)

Les dernières modifications apportées à la loi 23 NYCRR 500 entrent en vigueur, la dernière date limite de mise en œuvre étant fixée au 1er novembre 2025. Elles imposent aux organisations de démontrer une gouvernance continue et une disponibilité quasi instantanée. Pour répondre à ces exigences, les institutions financières doivent désormais démontrer:

• Surveillance continue efficace ou, à minima, tests d'intrusion et évaluations de vulnérabilité réguliers.
• Utilisation de l'authentification multifacteurs (MFA) sur tous les points d'accès.
• Tenue d'un inventaire complet des actifs.
• Signalement des incidents de sécurité importants aux autorités de réglementation dans un délai de 72 heures.

Si vous exercez une activité dans le secteur financier à New York, cette législation vous concerne directement. Mais même si ce n'est pas votre cas, New York est un épicentre du secteur financier, et ce qui s'y passe est un indicateur probable de ce qui se passera ailleurs. Cela témoigne d'une tendance plus large vers une résilience vérifiable et auditable, plutôt que de se fier uniquement à des stratégies réactives et procédurales.

Loi sur la résilience opérationnelle numérique (DORA) (UE | Finances)

À compter de janvier 2025, la loi DORA exige que les entités financières gèrent la cyber-résilience et la résilience opérationnelle dans le cadre de la continuité de leurs activités principales, en:

• Normaliser la manière dont les institutions classent et signalent les incidents liés aux TIC.
• Fixer des délais pour la notification aux organismes de réglementation.
• Introduction de tests de résilience réguliers.
• Renforcer la surveillance des principaux fournisseurs de technologies tiers.

Cet objectif témoigne de la tendance à la résilience observée. Il s'agit de créer une norme harmonisée à l'échelle de l'UE qui garantisse aux institutions financières la capacité de résister à une perturbation numérique et de s'en remettre, même en cas de crise majeure. Il ne suffit plus de se protéger contre une attaque et d'espérer que tout se passe bien.

Normes de sécurité des données de l'industrie des cartes de paiement (PCI DSS) 4.0 (Global | Finance)

À compter de mars 2025, la dernière version de la norme PCI DSS modernise la manière dont les organisations protègent les données des titulaires de cartes. Au lieu de s'appuyer sur des contrôles rigides et uniformes, la norme PCI DSS 4.0 introduit une approche personnalisée et fondée sur les risques. Ce changement offre une plus grande flexibilité pour atteindre les objectifs de sécurité.

Au lieu d'exigences standardisées, elle privilégie la validation continue et la collecte de preuves. Il s'agit d'une évolution notable par rapport aux versions précédentes, reconnaissant que chaque environnement est différent et que la véritable conformité implique de prouver l'efficacité des mesures de protection en pratique, et non seulement sur le papier.

Ces cadres de référence en matière de cybersécurité ont tous un point commun: ils font de la cybersécurité une discipline vivante et dynamique qui évolue au même rythme que les menaces.

Implications plus larges pour le secteur financier mondial

Les équipes dirigeantes doivent prendre conscience que le nouveau contexte réglementaire impose une charge de la preuve à la fois plus lourde et plus continue. Pour prouver leur conformité aux normes réglementaires, les institutions doivent désormais démontrer:

• Traçabilité: où résident les données, comment elles circulent, qui y accède et quand.
• Réactivité: rapidité avec laquelle les systèmes détectent, isolent et répondent aux menaces.
• Résilience: la capacité de l’entreprise à se rétablir efficacement, et non simplement sa capacité à le faire.
• Gouvernance: que la direction supervise activement les cyber-risques, au lieu de les déléguer au service informatique.

Les autorités de réglementation ne se contentent plus d'une preuve de sécurité statique ; cette approche est désormais insuffisante. Elles exigent maintenant la preuve que votre stratégie de sécurité repose sur une approche proactive et continue, vérifiée par la résilience post-incident, au moins autant, voire plus, que par la préparation en amont.

Responsabilisation des dirigeants et évolution du rôle du RSSI

La recrudescence des attaques dans tous les secteurs en 2025, et pas seulement dans le domaine financier, souligne que la cybersécurité n'est plus une préoccupation informatique isolée. En 2026, les DSI et les RSSI doivent évoluer d'opérateurs techniques à véritables leaders stratégiques. Les PDG, quant à eux, doivent redéfinir le rôle du RSSI en l'orientant vers la prise de décisions stratégiques, avec un accès direct au conseil d'administration.

Ce changement de perspective transforme la cybersécurité, d'un centre de coûts défensif en un véritable levier de croissance qui protège la réputation de la marque, la valeur actionnariale et la confiance des clients. Comme le soulignent des études récentes, l'investissement en cybersécurité est désormais une priorité absolue pour les dirigeants. Cette priorité doit se traduire par des stratégies d'entreprise intégrées, associant sécurité, résilience, gestion des identités et gouvernance des données à l'ensemble des fonctions de l'entreprise.

Pourquoi c'est une bonne chose

Bien que cela puisse paraître comme une pression supplémentaire (et c'en est une), c'est aussi une formidable opportunité pour les responsables informatiques et des données prêts à moderniser leurs systèmes. L'évolution vers une défense continue incite les organisations à:

• Remplacez la documentation statique par une surveillance en temps réel et une collecte automatisée de preuves.
• Intégrez la gestion des risques et la stratégie d'entreprise afin que la cybersécurité devienne un facteur de confiance dans tous les départements, et pas seulement dans le département informatique.
• Instaurer un climat de confiance avec les clients, les partenaires et les organismes de réglementation en faisant preuve de transparence et en assurant la traçabilité des contrôles.

Tout cela est facilement réalisable grâce à des solutions d'infrastructure plus résilientes, interconnectées et bien gérées. Cette évolution offre aux responsables informatiques, qui ont peiné à obtenir un budget interne ou l'adhésion des équipes en matière de cybersécurité, l'opportunité de repenser entièrement leur infrastructure et leur parc technologique. Elle renforce également le leadership en cybersécurité.

Alors que de plus en plus de conseils d'administration reconnaissent que la sécurité est essentielle à la continuité des activités et à la réputation, les RSSI (Responsables de la sécurité des systèmes d'information) accèdent à un rôle stratégique. Cette évolution favorise une collaboration plus étroite entre les services technologiques, opérationnels et les unités commerciales, garantissant ainsi que les décisions en matière de sécurité contribuent activement à la croissance, à la confiance et à la résilience, au lieu de se limiter à la protection contre les pertes.

Ce que vous pouvez faire à ce sujet: Mettre en place une défense continue

Les réglementations naissent en réponse aux crises ; elles sont réactives par nature. Ainsi, bien qu’elles constituent un repère utile en matière de cybersécurité, l’objectif premier doit toujours être la sécurité véritable. Mettre en œuvre des outils et des bonnes pratiques pour des systèmes globalement sécurisés vous protégera mieux – comme cela a toujours été le cas – que de simplement appliquer la loi à la lettre.

Les étapes suivantes reflètent les meilleures pratiques qui permettent aux organisations de rester sécurisées pendant les périodes à risque accru, comme les fêtes de fin d'année, où les attaques opportunistes sont les plus fréquentes, assurant ainsi une résilience tout au long de l'année:

1. Auditez votre surface d'attaque. Des centres de données internes aux applications cloud et aux appareils physiques utilisés par vos employés dans le monde entier, examinez l'intégralité de votre surface d'attaque à chaque point d'entrée potentiel. Mettez en place des procédures de vérification, éliminez les proliférations inutiles, maîtrisez les risques et appliquez des contrôles et une gouvernance cohérents.

2. Assurez une conformité continue. Analysez votre sécurité en profondeur. Mettez en place des plateformes ou des processus qui automatisent la validation des contrôles, suivent les modifications et vous alertent en continu et en temps réel des anomalies au sein de toute l'organisation, au lieu de vous fier à des évaluations trimestrielles ou annuelles. Ceci est particulièrement crucial pendant les périodes de forte activité, comme les fêtes de fin d'année, où les menaces se multiplient et où le personnel est plus susceptible de prendre des congés ; la visibilité sur vos systèmes devient alors une priorité absolue.

3. Élargissez la visibilité à votre écosystème. Ensuite, adoptez une approche interne. Les risques liés aux tiers et au cloud sont désormais des priorités réglementaires. Évaluez en permanence la sécurité de vos fournisseurs et exigez des preuves de leurs pratiques d'authentification multifacteur (MFA), de leurs capacités de réponse aux incidents et de leurs normes de traitement des données.

4. Testez et renforcez votre résilience. N'attendez pas une attaque pour évaluer la réactivité de vos systèmes de réponse: simulez des scénarios de ransomware, de compromission d'identifiants et de violation de données chez vos fournisseurs une fois vos nouveaux systèmes et procédures opérationnels. Assurez-vous que chacun connaisse son rôle et ses responsabilités, et mesurez les temps de réponse et de rétablissement afin d'être prêt en cas de besoin.

5. Communiquez ces efforts à vos clients. La transparence engendre la confiance, et c'est d'autant plus vrai dans le secteur des services financiers. Sensibilisez vos clients aux bonnes pratiques pour interagir en toute sécurité avec vos systèmes.

Conclusion

La réglementation en matière de cybersécurité s'adapte à la réalité, marquée par des menaces et des attaques continues et en constante expansion. Cependant, elle restera toujours en deçà de l'innovation et de l'évolution des menaces. C'est pourquoi l'objectif ne peut se limiter à la conformité ; il est impératif d'être toujours prêt. À l'approche des fêtes de fin d'année, période qui accroît le volume des transactions et les cyber-risques, les institutions financières ne peuvent se permettre d'attendre.

Mais lorsque la conformité devient un sous-produit de la défense continue, on passe d'une simple conformité formelle à une approche globale qui protège les personnes, les informations et la confiance en temps réel. Cliquez ici pour en savoir plus sur la façon dont Rocket Software peut vous aider à moderniser votre infrastructure informatique pour une résilience en temps réel et sans interruption.