Une première étape vers une gestion globale des risques applicatifs et de la conformité à la loi sur la résilience opérationnelle numérique (DORA)

Dans un monde toujours plus numérique, où les entreprises dépendent fortement de la technologie pour leurs activités principales, la loi sur la résilience opérationnelle numérique (DORA) de l’Union européenne établit un cadre complet pour gérer les risques liés aux technologies de l’information et de la communication (TIC) et assurer la continuité des activités des institutions financières et des prestataires de services essentiels. Les exigences étendues de DORA reflètent la dépendance croissante des organisations modernes aux technologies numériques. Les applications étant au cœur de ces activités, des pratiques rigoureuses de sécurité des applications constituent un élément fondamental de la conformité à DORA. Les cybercriminels ciblant les vulnérabilités des applications pour perturber les services, DORA oblige les institutions financières à donner la priorité à la sécurité de leurs applications, de leur infrastructure et des prestataires de services dont elles dépendent.

DORA marque un changement de paradigme : on passe de mesures de sécurité réactives à une approche proactive fondée sur la résilience opérationnelle. La sécurité des applications est au cœur de cette stratégie : elle consiste à sécuriser les applications tout au long de leur cycle de vie, du développement au déploiement et à la maintenance.

Pourquoi les applications sont des cibles privilégiées des perturbations opérationnelles numériques

Les entreprises modernes s’appuient largement sur les applications pour mener leurs activités essentielles. Véritable « cœur numérique » de l’organisation, elles transportent des données sensibles, servent les clients, les employés et les partenaires, et facilitent les processus indispensables. Elles deviennent ainsi des cibles de choix pour les cybercriminels qui cherchent à exploiter des vulnérabilités et à perturber les activités.

Voici les principaux facteurs qui rendent les applications vulnérables :

• Complexité des logiciels : les applications modernes sont des écosystèmes complexes, composés de divers éléments — code, bibliothèques, frameworks et intégrations tierces. Cette complexité élargit la surface d’attaque et multiplie les possibilités de vulnérabilités.

• Développement rapide : la pression pour lancer rapidement de nouvelles fonctionnalités peut reléguer la sécurité au second plan pendant le cycle de développement. Les développeurs peuvent introduire involontairement des vulnérabilités en raison d’erreurs de code, de mauvaises configurations ou de bibliothèques tierces insuffisamment vérifiées.

• Adoption des assistants de codage basés sur l’IA : selon des études récentes, plus de 90 % des organisations utilisent des assistants de codage basés sur l’IA au sein de leurs équipes de développement. Pourtant, la plupart disposent de politiques ou de contrôles encore très insuffisants encadrant leur utilisation, ce qui risque fortement d’entraîner une hausse du nombre de codes non sécurisés.

• Évolution du paysage des menaces : les cybercriminels font constamment évoluer leurs tactiques et développent de nouveaux exploits pour cibler les vulnérabilités connues. Il est donc indispensable d’assurer une sécurité continue afin d’identifier et de corriger les vulnérabilités avant qu’elles ne soient exploitées.

Les cinq piliers de la conformité à DORA

DORA définit cinq domaines clés auxquels les institutions financières et les prestataires de services essentiels doivent répondre pour se mettre en conformité et renforcer leur résilience opérationnelle numérique :

1. Gestion des risques liés aux TIC : DORA impose la mise en place, le maintien et la mise à jour régulière d’un cadre robuste de gestion des risques liés aux TIC (technologies de l’information et de la communication). Ce cadre doit permettre d’identifier, d’évaluer, de hiérarchiser et d’atténuer les risques liés aux TIC dans l’ensemble de l’organisation.

2. Déclaration des incidents : DORA exige que les incidents importants liés aux cybermenaces et aux TIC soient signalés aux autorités compétentes. Cela contribue non seulement à améliorer la transparence du marché, mais permet également aux autorités de mieux comprendre les menaces émergentes et d’y répondre.

3. Tests de résilience opérationnelle numérique : il est essentiel de tester régulièrement les systèmes TIC, notamment au moyen de tests d’intrusion et d’évaluations des vulnérabilités, afin de mesurer la capacité d’une organisation à résister aux cyberattaques. DORA souligne l’importance de mener ces tests fréquemment et de tirer parti des enseignements obtenus pour renforcer la résilience globale.

4. Gestion des risques liés aux tiers : les institutions financières dépendent souvent de prestataires tiers pour leurs activités essentielles. DORA impose de gérer et de surveiller les risques liés aux TIC associés à ces tiers, notamment aux fournisseurs de services cloud et de logiciels.

5. Partage d’informations : DORA encourage le partage d’informations et de renseignements sur les cybermenaces entre les entités financières. Cette approche collaborative peut considérablement renforcer la cybersécurité globale du secteur financier en permettant de détecter plus rapidement les menaces émergentes et d’y répondre.

Certaines exigences peuvent sembler familières, comme les cadres de gestion des risques. D’autres posent de nouveaux défis et demandent aux organisations des efforts considérables pour se mettre en conformité. Heureusement, répondre à bon nombre de ces exigences permet également de satisfaire les besoins liés à d’autres réglementations propres aux services financiers.

DORA et l’importance accordée à la sécurité des applications

En définissant les exigences de conformité à DORA, les autorités de réglementation ont reconnu le rôle essentiel des applications dans les opérations numériques ainsi que les risques inhérents aux vulnérabilités applicatives. Ces exigences établissent un cadre général et prévoient des mesures concrètes pour mettre en place des pratiques complètes de sécurité des applications, afin que les institutions financières et les prestataires de services essentiels assurent une gestion robuste des risques applicatifs.

Voici quelques dispositions clés de DORA qui soulignent l’importance de la sécurité des applications :

• Analyses de sécurité des applications obligatoires : DORA exige que les organisations analysent régulièrement la sécurité de leurs applications. Elles doivent notamment détecter les vulnérabilités le plus tôt possible afin que les développeurs puissent les corriger avant leur mise en production, où elles pourraient être exploitées.

• Priorité aux applications tierces : DORA reconnaît que de nombreuses organisations s’appuient sur des applications tierces pour mener leurs activités. Ces applications et leurs dépendances doivent également être évaluées afin de détecter les vulnérabilités et de réduire la surface d’attaque globale.

• Gestion et hiérarchisation des risques : DORA souligne l’importance de pratiques rigoureuses de gestion des risques, notamment l’identification, l’évaluation et la hiérarchisation des vulnérabilités en fonction de leur impact potentiel.

Ces exigences spécifiques, ainsi que le cadre plus général de gestion des risques de DORA, sont autant de domaines dans lesquels une plateforme de sécurité conçue pour les développeurs, comme Snyk, peut jouer un rôle déterminant.

Comment Snyk peut vous aider à vous conformer à DORA

Snyk aide les organisations à créer et à maintenir des applications sécurisées, en parfaite adéquation avec l’importance que DORA accorde à la sécurité des applications. Voici comment Snyk peut vous aider concrètement à vous conformer à plusieurs domaines clés définis par DORA :

Gestion des risques liés aux TIC :

• Gestion et correction des vulnérabilités applicatives : DORA impose un cadre robuste de gestion des risques liés aux TIC, qui comprend l’identification, l’évaluation et l’atténuation de ces risques. Snyk contribue à cet objectif en analysant automatiquement les bases de code, les dépendances et les conteneurs à la recherche de vulnérabilités, ainsi que les configurations d’infrastructure as code (IaC) pour repérer les erreurs de configuration qui ne respectent pas les bonnes pratiques, comme les référentiels CIS ou les cadres Well-Architected des fournisseurs cloud. Cette détection proactive permet aux entreprises de gérer ces risques avant qu’ils ne soient exploités et de les intégrer à leur cadre global de gestion des risques liés aux TIC. En plus de favoriser la détection proactive des vulnérabilités logicielles, Snyk est particulièrement bien placé pour faciliter la collaboration entre les équipes AppSec et les développeurs afin de détecter, hiérarchiser et corriger les vulnérabilités.

• Analyse de la composition logicielle (SCA) : les fonctionnalités SCA de Snyk fournissent des informations détaillées sur la posture de sécurité de la chaîne d’approvisionnement logicielle d’une organisation, en identifiant les vulnérabilités des bibliothèques open source et des composants tiers. Elles répondent directement à la nécessité d’évaluer les risques liés aux tiers et de les intégrer au cadre global de gestion des risques liés aux TIC. Snyk Open Source aide à détecter les dépendances vulnérables et fait gagner un temps précieux aux équipes de développement en leur permettant de traiter les problèmes directement dans leur IDE ou leur CLI pendant le codage, réduisant ainsi l’impact opérationnel du développement sur la mise en conformité.

Déclaration des incidents :

• Conformité de la sécurité des applications et rapports sur le programme : DORA exige la déclaration des cyberincidents importants. Snyk propose des fonctionnalités de création de rapports et de documentation sur la conformité, qui peuvent aider à démontrer le respect des exigences réglementaires, notamment celles de DORA. Le processus de déclaration des incidents et d’audit exigé par la loi s’en trouve simplifié. Au-delà de la conformité et de la déclaration des incidents, les fonctionnalités d’analyse des données de Snyk AppRisk offrent aux équipes AppSec une vue d’ensemble de leur programme AppSec, facilitant le suivi, la mesure et la communication des performances du programme et des indicateurs clés de performance et de risque.

Tests de résilience opérationnelle numérique :

• Intégration de l’analyse de sécurité : DORA souligne l’importance de tester régulièrement les systèmes TIC. Snyk s’intègre facilement aux outils de test de sécurité existants et fournit aux développeurs un retour continu sur les vulnérabilités détectées lors des analyses. Grâce à son intégration aux plateformes d’intégration et de déploiement continus (CI/CD), Snyk permet de tester la résilience dès les premières étapes du cycle de développement logiciel, avant que des vulnérabilités critiques n’atteignent la production. Cette approche itérative renforce la résilience globale des systèmes TIC.

Gestion des risques liés aux tiers :

• Sécurité de la chaîne d’approvisionnement logicielle : DORA impose de gérer les risques associés aux prestataires de services tiers. Snyk analyse les dépendances tierces à la recherche de vulnérabilités, permettant aux organisations de détecter et de corriger les faiblesses potentielles de leur chaîne d’approvisionnement logicielle. Snyk permet également de générer des nomenclatures logicielles (SBOM) et d’en importer. Cela réduit la surface d’attaque globale et minimise les risques liés aux fournisseurs tiers.

• Surveillance continue : Snyk assure une surveillance continue, permettant aux organisations de rester informées des vulnérabilités présentes dans leurs dépendances et leurs applications tierces. Cette approche proactive garantit la détection et le traitement rapides des risques potentiels, et renforce la résilience opérationnelle numérique face à la découverte de nouvelles vulnérabilités zero-day ou de nouveaux exploits ciblant des vulnérabilités existantes.

Au-delà de la conformité : instaurer une culture de sécurité et de gestion des risques

S’il est essentiel de se conformer à DORA, il est tout aussi important de promouvoir une culture de la sécurité des applications et de la gestion des risques au sein de votre organisation. Snyk va au-delà des outils en proposant des formations et des ressources aux développeurs pour encourager les pratiques de codage sécurisé. Les développeurs peuvent ainsi écrire du code sécurisé dès le départ, ce qui réduit encore la surface d’attaque et renforce votre résilience opérationnelle numérique globale. Cette démarche rejoint l’objectif de DORA : améliorer la résilience opérationnelle numérique globale grâce à de meilleures pratiques et à une sensibilisation accrue au sein des entités financières.

L’accent mis par DORA sur la gestion des risques favorise également une culture d’évaluation de toutes les menaces, y compris les vulnérabilités des applications, sous l’angle de la sécurité et des risques métier. Les vulnérabilités ne représentent pas toutes le même niveau de menace. Snyk aide à établir les priorités en fonction de l’accessibilité de la vulnérabilité, de la probabilité qu’elle soit exploitée et de son impact potentiel. Les organisations peuvent ainsi concentrer leurs ressources sur les problèmes les plus critiques et signaler rapidement les vulnérabilités à haut risque aux autorités compétentes. Grâce à Snyk AppRisk, la visibilité et la découverte des applications, la gestion de la couverture de sécurité et la priorisation fondée sur les risques permettent aux équipes de sécurité et de développement de collaborer plus efficacement pour gérer les risques applicatifs de leur organisation.

La culture d’entreprise repose également sur l’engagement en faveur du cycle de développement logiciel sécurisé (SDLC) et sur la place accordée au DevSecOps. Cet engagement consiste à intégrer des pratiques de sécurité au pipeline DevOps et à effectuer des contrôles de sécurité à chaque étape du développement logiciel. Cette approche permet de détecter et de corriger les vulnérabilités au plus tôt, de réduire le risque de failles de sécurité et de renforcer la résilience opérationnelle.

Le DevSecOps ne se limite pas à intégrer des outils et des technologies : il s’agit d’ancrer une culture de la sécurité dans l’organisation, en favorisant la collaboration entre les équipes de développement, d’exploitation et de sécurité, et en encourageant le partage des responsabilités en matière de sécurité à l’échelle de l’organisation. En adoptant une approche DevSecOps, les organisations font de la sécurité un élément central de leurs pratiques de développement, plutôt qu’une réflexion après coup.

Conclusion

DORA constitue une avancée majeure pour garantir la résilience des opérations numériques des établissements financiers et des prestataires de services essentiels. En reconnaissant l’importance de la sécurité des applications, DORA contribue à renforcer la résilience des infrastructures numériques, alors que les entreprises s’appuient de plus en plus sur le développement d’applications comme moteur d’innovation. Grâce à sa plateforme de sécurité conçue pour les développeurs, Snyk aide les organisations non seulement à se conformer à DORA, mais aussi à instaurer une culture de la sécurité qui protège leurs applications et opérations critiques. Il est également important de souligner qu’une approche adaptée des enjeux de sécurité des applications liés à DORA pose les bases du respect d’autres réglementations, actuelles et futures. Des réglementations ou cadres de référence bien établis, comme ISO 27001, SOC 2 et PCI DSS, reposent tous sur la nécessité d’évaluer et de gérer les risques tout au long du SDLC.

En s’associant à Snyk, les organisations peuvent intégrer les exigences de DORA à l’élaboration de leur programme de sécurité des applications et à leur démarche globale de conformité, afin d’assurer la continuité de leurs activités et de protéger leurs actifs les plus précieux.