Avec DORA, les institutions financières doivent désormais prouver leur capacité à restaurer leurs systèmes après une cyberattaque. Une exigence qui interroge directement l’immuabilité des sauvegardes, notamment lorsque les accès administrateurs sont compromis.
Une tribune de Daniel Fried (Object First), pour L’observatoire de la tech.
Bien plus qu’un simple avantage compétitif, la résilience est désormais une condition réglementaire fondamentale pour les institutions financières en Europe. Selon des études récentes, plus de 96 % d’entre elles reconnaissent que leur niveau de résilience demeure insuffisant pour répondre aux exigences du règlement européen sur la résilience opérationnelle numérique du secteur financier (DORA).
Avec l’entrée en vigueur de DORA, les établissements financiers ne sont plus évalués uniquement en fonction des politiques de continuité qu’ils ont mises en place, mais sur leur aptitude à démontrer qu’ils sont capables de restaurer leurs systèmes et leurs données dans des conditions vérifiables et bien définies.
DORA : passer de la planification à la preuve
Jusqu’ici, les tests portant sur les capacités de reprise d’activité après un incident étaient effectués dans un environnement contrôlé qui ne reflétait pas véritablement les scénarios modernes de cyberattaques. La réglementation DORA renforce les attentes en exigeant des acteurs financiers qu’ils vérifient leurs capacités de reprise d’activité dans des conditions plus réalistes, y compris dans une situation de perturbation opérationnelle majeure.
Dans cette perspective, les plans de continuité de l’activité ne suffisent plus. Les institutions financières doivent désormais démontrer des capacités de reprises d’activité mesurables à l’aide d’objectifs de délais (RTO) et de points de rétablissement (RPO), renforcés par des tests de résilience opérationnelle réguliers et documentés.
Sauvegardes et ransomwares : un vecteur d’exposition critique
Ces exigences en matière de reprise d’activité démontrable sont particulièrement claires lors d’une attaque par ransomware. Dans la plupart des cas, les systèmes de sauvegarde représentent l’une des cibles principales. Les attaquants visent spécifiquement les sauvegardes pour éliminer les capacités de restauration de leurs victimes, les laissant sans autre choix que de payer la rançon.
En compromettant les données de sauvegarde, ils cherchent à empêcher la restauration rapide des systèmes, prolongeant ainsi les arrêts et les ralentissements de l’activité, tout en exerçant une pression financière et opérationnelle accrue sur les entreprises. La question ne consiste plus simplement à se demander si des sauvegardes existent, mais si celles-ci sont intactes, fiables et inaltérées lorsque l’entreprise en a le plus besoin.
Les limites des approches traditionnelles de la sauvegarde des données
Pour faire face à ces menaces, de nombreuses organisations ont renforcé leurs environnements de sauvegarde en déployant des technologies telles que les snapshots, les mécanismes d’immuabilité ou les architectures de stockage dédiées. Ces solutions ont beaucoup contribué à améliorer la résilience globale. Toutefois, leur efficacité dépend souvent du modèle de déploiement employé et du niveau de contrôle administratif sous-jacent. Dans certains cas, la fenêtre de vulnérabilité persiste, en particulier lorsque les mécanismes de protection sont modifiés ou reposent sur des identifiants pouvant être compromis.
« Les différentes manières de déployer l’immuabilité ne fournissent pas toutes le même niveau de protection. »
Alors que les exigences réglementaires se renforcent et que les cybermenaces se multiplient, les entreprises ont tendance à cumuler les contrôles de sécurité, les outils de monitoring ainsi que les mécanismes de mise en conformité en couches successives. Or, même si chaque mesure individuelle renforce la résilience, leur combinaison peut mener à la création d’environnements opérationnels de plus en plus complexes.
Cette complexité opérationnelle augmente les risques liés à des erreurs de configuration. Elle complique également l’exécution de tests réguliers et exhaustifs reproduisant fidèlement des conditions d’incidents réels. Dans ce contexte, la résilience n’est plus seulement définie par les outils en place, mais également par la capacité de l’organisation à préserver la cohérence de ses solutions et à maintenir un contrôle opérationnel sous pression.
L’immuabilité absolue comme fondement de la reprise d’activité fiable
La capacité à garantir une reprise d’activité fiable repose sur un principe essentiel : l’immuabilité des données de sauvegarde, qui permet de s’assurer que les données ne puissent pas être modifiées ou supprimées, même en cas de compromission des identifiants administratifs ou des systèmes de gestion.
Néanmoins, les différentes manières de déployer l’immuabilité ne fournissent pas toutes le même niveau de protection. Sur certains environnements, les mécanismes d’immuabilité dépendent encore du degré de privilège administratif ou de fenêtres de modification limitées. Dans un scénario d’attaque où les identifiants d’une personne dotée d’un degré de privilège élevé auraient été dérobés, ces dépendances peuvent devenir des faiblesses.
« Les systèmes de sauvegarde représentent l’une des cibles principales. »
C’est pour cette raison que le concept « d’immuabilité absolue » continue d’attirer l’attention des entreprises. Le principe est simple : aucun utilisateur, pas même un administrateur disposant du plus haut degré de privilège ni un attaquant ayant réussi à accéder à l’infrastructure de sauvegarde, n’est en mesure de modifier ou de supprimer les données protégées. En éliminant la dépendance aux contrôles administratifs, cette approche vise à éliminer une vulnérabilité critique souvent exploitée dans le cadre de cyberattaques sophistiquées.
Cette distinction a son importance, car les attaques par ransomware modernes exploitent souvent le vol d’identifiants disposant d’un degré de privilège élevé. Si les comptes des administrateurs sont compromis, les systèmes de restauration qui reposent sur la confiance dans les administrateurs pourraient ne plus être accessibles au moment où ils sont le plus nécessaires. Afin de bâtir une stratégie de résilience mature, au lieu d’une simple fonctionnalité technique, l’immuabilité devrait devenir une propriété fondamentale de l’architecture de sauvegarde et de reprise d’activité après un incident, conçue pour résister aux scénarios d’attaques les plus difficiles à contrer.
De la conformité à la capacité opérationnelle
Alors que la réglementation européenne continue d’évoluer, le règlement DORA redéfinit clairement la manière d’évaluer la résilience. Au lieu de se concentrer simplement sur l’existence de plans ou de mécanismes de reprise d’activité, les institutions financières doivent se focaliser sur leur capacité à démontrer de manière répétée et vérifiable que leurs services essentiels sont capables de résister à des perturbations sévères et de relancer l’activité dans des délais prédéfinis.
Ce nouveau paradigme ne mesure pas la résilience à l’aune des politiques en place, mais en fonction de la capacité des entreprises à restaurer leur activité lorsque cela compte le plus.
Par Daniel Fried, SVP Sales Worldwide, Object First
