Conformité à la loi sur la résilience opérationnelle
numérique (DORA)

Gouvernance et organisation

Les entités financières doivent mettre en place un cadre de gouvernance solide pour gérer efficacement les risques liés aux TIC et garantir la résilience opérationnelle numérique.

Produits ManageEngine pour vous aider à vous conformer

• PAM360

  Offre aux administrateurs une visibilité globale, un contrôle granulaire et une gouvernance renforcée des activités à privilèges au sein de l’ensemble de l’organisation.

• ServiceDesk Plus

  Propose une plateforme unifiée, compatible ITIL et dopée à l’IA, pour orchestrer des workflows automatisés couvrant la gestion des incidents, les demandes d’accès des utilisateurs, la gestion des changements et des versions, ainsi que la gestion des actifs informatiques.

• OpManager Plus

  Met en œuvre des contrôles d’accès stricts et conserve des journaux d’audit, assurant la visibilité et la traçabilité nécessaires à une gestion rigoureuse des risques liés aux TIC.

• Log360

  Fournit un tableau de bord centralisé de surveillance de la sécurité, permettant le suivi des événements, la détection d’anomalies et l’évaluation des risques en temps réel.

• AppCreator

  Permet de développer des solutions de gouvernance sur mesure grâce à des frameworks intégrés, facilitant la conformité aux normes de gouvernance internationales.

Cadre de gestion des risques liés aux TIC

Les entités financières doivent établir un cadre de gestion complète du risque lié aux TIC pour assurer la résilience opérationnelle numérique. Cela inclut des stratégies et des outils pour protéger les données et les actifs contre les menaces et l’accès non autorisé.

Produits ManageEngine pour vous aider à vous conformer

• Endpoint Central

  Propose des fonctionnalités de reporting avancées et une visibilité détaillée sur les actifs des terminaux, offrant ainsi une compréhension approfondie de l’environnement de terminaux.

• PAM360

  Grâce à ses capacités de notation dynamique de la confiance et à l’analyse du comportement des utilisateurs à privilèges, il permet aux organisations de gérer les risques en temps réel.

• Digital Risk Analyzer

  Gère les risques liés aux domaines en assurant une visibilité proactive, en identifiant les menaces, en vérifiant la validité des certificats SSL et en surveillant les dates d’expiration.

• Analytics Plus

  Permet de créer des tableaux de bord pour la gestion des risques afin de suivre l’accès des utilisateurs, surveiller l’état des actifs et analyser les scores de risque, améliorant ainsi la conformité globale.

• AD360

  Détecte les risques de sécurité dans Active Directory et Microsoft 365, identifie les menaces internes, et protège les ressources critiques à l’aide d’une authentification multifactorielle (MFA) renforcée.

• ServiceDesk Plus

  Automatise les réponses aux incidents, la gouvernance des changements IT, ainsi que la gestion de l’inventaire et des actifs informatiques pour atténuer efficacement les risques. Intègre des fonctionnalités d’orchestration et des analyses pilotées par l’IA.

• OpManager Plus

  Intègre un service d’audit de sécurité dédié à l’analyse des pare-feux, incluant les rapports nécessaires et les recommandations pour renforcer la posture de sécurité.

• Log360

  Exploite l’analyse comportementale et la détection des anomalies pour identifier les activités suspectes, telles que l’escalade de privilèges, les tentatives d’accès non autorisées et les fuites de données.

• AppCreator

  Permet de concevoir des solutions personnalisées d’atténuation et de prévention des risques, aidant les entités financières à se protéger contre les accès non autorisés et les atteintes potentielles.

Systèmes, protocoles et outils TIC

Les entités financières doivent régulièrement mettre à jour leurs systèmes TIC afin de maîtriser les risques, garantir leur fiabilité, répondre à l’augmentation de la demande en période de forte activité et assurer leur résilience face aux situations critiques.

Produits ManageEngine pour vous aider à vous conformer

• Endpoint Central

  Intègre un mode conforme à la norme FIPS 140-2 avec des algorithmes approuvés, renforçant ainsi la sécurité. Sa conception multi-locataires facilite l’intégration rapide de nouveaux terminaux.

• OpManager Plus

  Garantit une surveillance continue et une prestation de services fiable, y compris lors des pics de charge ou face à des évolutions technologiques complexes.

• AppCreator

  Permet de développer des solutions personnalisées de gestion des risques informatiques, assurant une haute disponibilité et une résilience optimale.

Identification

Les institutions financières doivent régulièrement examiner et documenter l’ensemble de leurs fonctions métiers, rôles et actifs TIC, en identifiant les risques potentiels, notamment les cybermenaces. Elles doivent évaluer les changements dans l’infrastructure réseau ou les systèmes hérités, et maintenir à jour un inventaire des informations critiques ainsi que des dépendances vis-à-vis de prestataires tiers.

Produits ManageEngine pour vous aider à vous conformer

• Endpoint Central

  Collecte des informations détaillées sur l’environnement informatique et assure une gestion continue des vulnérabilités via une interface centralisée.

• PAM360

  Les journaux d’audit enregistrent automatiquement toutes les activités des comptes à privilèges, y compris les tentatives de connexion et les tâches exécutées, offrant une visibilité claire pour les audits internes et les investigations.

• Site24x7

  Détecte l’ensemble des périphériques réseau et fournit des fonctions de gestion de la configuration pour faciliter le suivi des changements, renforçant ainsi la sécurité et la performance du réseau.

• Analytics Plus

  Offre une vue consolidée via des tableaux de bord permettant de suivre l’état des actifs, les journaux de modification, l’activité des comptes privilégiés et les scores de risque.

• AD360

  Identifie les risques de sécurité dans Active Directory et Microsoft 365, surveille les comportements suspects, facilite la gestion et la certification des droits, et fournit des insights exploitables.

• ServiceDesk Plus

  Permet de suivre et de gérer les actifs matériels et logiciels, aussi bien sur site qu’à distance. La CMDB optimise la cartographie de l’infrastructure pour les équipes IT, en mettant en lumière les risques lors des incidents ou des changements.

• OpManager Plus

  Permet une gestion proactive du réseau et une restauration rapide des services en combinant des données en temps réel sur les performances des équipements avec une visualisation des dépendances entre services — un atout essentiel pour garantir la stabilité de l’infrastructure.

• Log360

  Surveille l’infrastructure réseau et les systèmes hérités afin de détecter les vulnérabilités, les erreurs de configuration et les modifications non autorisées.

• AppCreator

  Permet de créer et de maintenir un référentiel agissant comme un inventaire actualisé des informations critiques, des actifs TIC et des dépendances tierces.

Protection et prévention

Les entités financières doivent assurer une surveillance et un contrôle continus de la sécurité de leurs systèmes TIC afin de réduire les risques au minimum. Les objectifs clés de la sécurité des TIC sont d’assurer la résilience, la continuité et la disponibilité des systèmes, en particulier ceux qui prennent en charge des fonctions critiques, tout en maintenant des normes strictes en matière de disponibilité, d’authenticité, d’intégrité et de confidentialité des données.

Produits ManageEngine pour vous aider à vous conformer

• Endpoint Central

  Renforce la sécurité grâce à des fonctionnalités de prévention des pertes de données (DLP), d’antivirus, de gestion des correctifs, de chiffrement et de contrôles administratifs avancés sur les périphériques.

• PAM360

  Propose un coffre-fort centralisé pour la gestion sécurisée des informations sensibles : mots de passe, certificats, clés d’accès et documents critiques.

• Analytics Plus

  Fournit des analyses de sécurité poussées en corrélant les vulnérabilités des actifs, la conformité des correctifs et les risques potentiels via des tableaux de bord exploitables.

• AD360

  Sauvegarde de manière sécurisée Active Directory, Microsoft 365 et d’autres services. Intègre l’authentification multifactorielle (MFA), détecte les risques, prévient les violations et permet un contrôle régulier des accès.

• Identity360

  Gère les accès grâce à la synchronisation automatisée des rôles et à la gestion groupée des autorisations. Protège les données et les ressources via des méthodes MFA robustes.

• ServiceDesk Plus

  Participe à la protection des services et des actifs informatiques via des workflows proactifs de gestion des incidents de cybersécurité, des workflows personnalisés pour les demandes d’accès, ainsi que des processus solides pour la gestion des changements.

• OpManager Plus

  Assure une surveillance 24h/24 et 7j/7 des périphériques réseau, applications et services, garantissant la résilience et la disponibilité des systèmes critiques. Les alertes en temps réel et la visibilité complète permettent une détection rapide des menaces et une réponse efficace aux incidents.

• Log360

  Assure une surveillance de sécurité continue, la détection des menaces et la réponse aux incidents pour protéger l’infrastructure informatique. Grâce à l’analyse des journaux en temps réel, aux contrôles d’accès et à la détection des anomalies, il garantit la résilience, la disponibilité et l’intégrité des données système.

• AppCreator

  Les données stockées dans AppCreator sont chiffrées au repos, conformément aux standards de cryptage industriels et aux réglementations internationales en matière de sécurité des données.

Détection

Les entités financières doivent être en mesure de détecter rapidement les anomalies informatiques (conformément à l’article 17) et de réaliser des tests réguliers (conformément à l’article 25). Elles doivent instaurer plusieurs niveaux de contrôle et configurer des alertes automatiques en cas d’incident, allouer des ressources à la surveillance de l’activité des utilisateurs et des cybermenaces, et s’assurer que les systèmes de reporting des données permettent de vérifier l’exhaustivité des rapports métiers et de corriger les erreurs éventuelles.

Produits ManageEngine pour vous aider à vous conformer

• Endpoint Central

  Alerte les administrateurs SOC et IT en cas d’attaque malveillante afin d’isoler le système concerné. Une fois l’analyse forensique effectuée, le système peut être restauré.

• Site24x7

  Fournit une surveillance en temps réel, une détection d’anomalies et des seuils dynamiques et personnalisables pour garantir des opérations informatiques plus fluides.

• Analytics Plus

  Utilise la détection d’anomalies basée sur l’IA, les alertes en temps réel et l’analyse prédictive alimentée par le machine learning pour identifier les activités inhabituelles et prévenir les menaces potentielles.

• AD360

  Détecte les risques de sécurité dans les environnements hybrides via des rapports d’évaluation des risques, et s’appuie sur l’analyse du comportement des utilisateurs (UBA) pour enquêter sur les menaces malveillantes et y remédier.

• ServiceDesk Plus

  Centralise les alertes et notifications issues de divers outils ITOM, SIEM et de gestion IT, les regroupe en incidents, puis les assigne aux équipes concernées pour traitement rapide.

• OpManager Plus

  Dispose d’un moteur de détection des anomalies basé sur le machine learning, capable d’identifier les écarts par rapport aux performances normales et de détecter rapidement les anomalies TIC.

• Log360

  Génère des alertes en temps réel sur les incidents de sécurité, les accès non autorisés et les comportements anormaux du système. Permet de configurer des alertes personnalisées selon la gravité, aidant les équipes de sécurité à hiérarchiser les menaces et à intervenir de façon proactive.

Réponse et reprise

Les entités financières doivent mettre en œuvre une politique complète de continuité des activités TIC dans le cadre de leur stratégie de gestion des risques, afin de garantir la disponibilité des fonctions critiques et une réponse efficace aux incidents. Elles doivent établir, auditer et tester régulièrement leurs plans de réponse et de reprise TIC, y compris pour les fonctions externalisées.

Les produits ManageEngine pour vous aider à vous conformer

• Endpoint Central

  Protège les terminaux contre les ransomwares à l’aide de sauvegardes inaltérables et de fonctionnalités de mise en quarantaine renforcée.

• PAM360

  S’appuie sur une architecture évolutive prenant en charge plusieurs serveurs applicatifs, tout en reposant sur un groupe de disponibilité SQL, un cluster ou une base Cloud RDS unique pour le backend.

• Site24x7

  Garantit la continuité des opérations grâce à une surveillance en temps réel, des alertes automatisées et des tests réguliers des plans de réponse aux incidents.

• Analytics Plus

  Anticipe les incidents en détectant les indicateurs de compromission et automatise l’analyse des causes profondes pour accélérer la réponse et la résolution.

• AD360

  Assure la sauvegarde d’Active Directory, de Microsoft 365 et d’autres services via des versions chiffrées et immuables. Protège l’accès aux données sensibles grâce à une authentification multifactorielle (MFA).

• ServiceDesk Plus

  Aide les équipes d’intervention à détecter et enregistrer les incidents, en déclenchant des workflows prédéfinis qui automatisent les notifications, l’attribution des tâches, les escalades et les opérations de reprise.

• OpManager Plus

  Assure la continuité des opérations TIC grâce à une surveillance en temps réel et un basculement automatique. Des workflows automatisés et des sauvegardes de configuration permettent une récupération rapide et sécurisée pour une reprise après sinistre efficace.

• Log360

  Intègre des mécanismes automatisés de réponse aux incidents et de reprise, réduisant les interruptions de service. Permet une détection des menaces en temps réel, des workflows de remédiation automatisés et des analyses forensiques pour contenir efficacement les incidents de sécurité.

• AppCreator

  Permet de créer et de maintenir un référentiel des perturbations avec journalisation, facilitant l’accessibilité des données et leur consultation ultérieure.

Stratégies et procédures de sauvegarde, procédures et méthodes de restauration et de récupération

Les entités financières doivent élaborer et documenter des stratégies de sauvegarde et de restauration afin de réduire au minimum les interruptions d’activité.

Produits ManageEngine pour vous aider à vous conformer

• Endpoint Central

  Protège les terminaux contre les ransomwares grâce à des sauvegardes instantanées et met en quarantaine les fichiers suspects pour une analyse forensique.

• PAM360

  En cas de panne d’un serveur, permet aux utilisateurs de réinstaller PAM360 et de restaurer la base de données à l’aide du fichier de sauvegarde et de la clé principale en moins de 15 minutes.

• AD360

  Sauvegarde Active Directory, Microsoft 365 et autres environnements avec cryptage, récupération rapide, authentification multifactorielle (MFA) et immuabilité pour garantir la protection des données.

• OpManager Plus

  Automatise la sauvegarde des configurations des périphériques réseau (routeurs, commutateurs, pare-feux) et effectue des contrôles de conformité pour faciliter une restauration rapide et assurer la continuité des activités.

• Log360

  Assure le stockage à long terme des journaux de sécurité, garantissant la disponibilité des données critiques pour les analyses forensiques et les audits de conformité.

Apprendre et évoluer

Les organisations financières doivent évaluer en continu les cybermenaces, analyser les incidents survenus, suivre les tendances des risques et dispenser des formations en sécurité à leur personnel ainsi qu’aux tiers. Cela permet d’améliorer leur maturité en cybersécurité et de s’adapter efficacement aux évolutions du contexte.

Produits ManageEngine pour vous aider à vous conformer

• ServiceDesk Plus

  Enregistre et résume tous les détails des interventions lors d’incidents, facilitant les examens post-incident pour encourager le partage des connaissances et l’apprentissage organisationnel.

• Log360

  Agrège et analyse les données des événements de sécurité à travers l’ensemble de l’environnement informatique, permettant d’identifier les vulnérabilités, d’évaluer les cybermenaces et de perfectionner les stratégies de gestion des risques.

Communication

Les entités financières doivent établir des plans de communication de crise pour informer leurs clients, contreparties et le public en cas d’incidents ou de vulnérabilités TIC, conformément à l’article 6, paragraphe 1. Ces plans doivent inclure des politiques dédiées aux parties prenantes internes et externes, avec une personne désignée responsable de la gestion des demandes des médias.

Produits ManageEngine pour vous aider à vous conformer

• ServiceDesk Plus

  Facilite l’alerte systématique des intervenants, des équipes internes, des autorités compétentes et de toutes les parties prenantes externes à chaque étape du processus de gestion des incidents.

Poursuite de l’harmonisation des outils, méthodes, processus et stratégies de gestion des risques liés aux TIC

Les autorités européennes de surveillance (AES) et l’ENISA ont défini des normes techniques réglementaires visant à renforcer la sécurité des technologies de l’information et de la communication (TIC) au sein des entités financières. Ces normes couvrent la robustesse des réseaux, l’intégrité des données, la gestion des accès, la réponse aux incidents, les plans de continuité ainsi que la gestion globale des risques liés aux TIC. Elles ont par ailleurs été adoptées par la Commission européenne.

Produits ManageEngine pour vous aider à vous conformer

• Endpoint Central

  Facilite le respect des normes RTS relatives à la gestion des risques TIC, en renforçant la gestion des privilèges des terminaux et en améliorant les cadres de sécurité.

• AD360

  Sécurise les réseaux d’entreprise grâce à une authentification multifactorielle (MFA) résistante au phishing, au suivi des risques, et à l’audit régulier des autorisations d’accès.

• Identity360

  Automatise la gestion des accès en combinant synchronisation des rôles et MFA, protégeant ainsi les données, les actifs et l’ensemble du réseau.

• ServiceDesk Plus

  Assure un enregistrement complet et structuré de toutes les actions de réponse aux incidents, des impacts, des configurations (CI), ainsi que des communications et notes associées, pour produire des analyses post-incident détaillées favorisant le partage des connaissances et l’apprentissage collectif.

• OpManager Plus

  Renforce la conformité des entités financières aux normes AES et ENISA grâce à des contrôles d'accès granulaires et à la détection proactive des appareils non autorisés. Cette approche garantit une sécurité informatique robuste et assure une résilience opérationnelle optimale.

• Log360

  Permet aux institutions financières de gérer efficacement les privilèges d’accès, de surveiller l’authentification des utilisateurs, de contrôler l’accès basé sur les rôles, et de détecter les anomalies, en totale conformité avec les exigences réglementaires.

Cadre simplifié de gestion des risques liés aux TIC

Les organisations doivent instaurer un cadre clair de gestion des risques liés aux TIC, incluant un plan structuré, une surveillance continue des systèmes, et une capacité de réaction rapide face aux risques détectés. Elles doivent également reconnaître leur dépendance vis-à-vis des fournisseurs tiers et élaborer des plans de continuité des activités intégrant des sauvegardes adaptées.

Remarque: cet article concerne principalement les petites entreprises non interconnectées comme décrit ci-dessus. Pour plus de précisions, référez-vous au règlement DORA.

Produits ManageEngine pour vous aider à vous conformer

• Endpoint Central

  Aide les organisations à respecter les exigences RTS en matière d’outils, méthodes, processus, stratégies et cadre simplifié pour la gestion des risques liés aux TIC.

• AD360

  Détecte les risques associés à Active Directory et Microsoft 365, prévient les violations de sécurité, et assure la sauvegarde immuable des données pour une récupération rapide en cas d’incident.

• ServiceDesk Plus

  Accompagne les petites entreprises non interconnectées dans l’amélioration de leur gestion des risques, en appliquant les meilleures pratiques ITIL, notamment pour la gestion des incidents, des demandes de service, des changements et des actifs informatiques.

• OpManager Plus

  Maintient l’intégrité des réseaux tout en simplifiant la gestion des risques liés aux TIC pour garantir la continuité des activités. Les sauvegardes automatisées et la surveillance en temps réel des pare-feux facilitent la conformité réglementaire et permettent une réaction rapide aux risques détectés.

Processus de gestion des incidents liés aux TIC

Les entités financières doivent détecter, enregistrer et surveiller les incidents liés aux technologies de l’information et de la communication (TIC). Ce processus inclut la mise en place d’indicateurs d’alerte précoce, la définition claire des rôles, la planification de la communication avec les parties prenantes, le signalement des incidents majeurs à la direction, ainsi que l’élaboration de procédures d’intervention pour un rétablissement rapide des services.

Produits ManageEngine pour vous aider à vous conformer

• Endpoint Central

  Fournit aux administrateurs réseau et aux équipes SOC des données critiques, telles que l’heure de détection, le statut de l’attaque, les actions de l’agent et les détails des terminaux concernés, facilitant la gestion d’événements suspects, notamment les malwares et ransomwares.

• Site24x7

  Permet la détection rapide des incidents, la gestion coordonnée des réponses, ainsi que l’information proactive des parties prenantes grâce à une surveillance en temps réel et des rapports détaillés.

• Analytics Plus

  Exploite l’intelligence artificielle pour identifier rapidement les indicateurs de compromission, automatiser les workflows d’alerte, et accélérer le traitement des incidents.

• ServiceDesk Plus

  Accélère la réponse aux incidents via des workflows visuels, un triage intelligent, une synthèse assistée par GenAI, ainsi que des rapports et analyses approfondies pour optimiser la gestion des incidents.

• OpManager Plus

  Les tableaux de bord en temps réel et les alertes personnalisables permettent une détection précoce des incidents. Ils simplifient le suivi, la surveillance et le reporting des incidents, favorisant une reprise rapide du service grâce à des protocoles de réponse prédéfinis.

• Log360

  Optimise la détection, la classification et la résolution des incidents pour les entités financières en s’appuyant sur ses capacités SOAR (Security Orchestration, Automation and Response).

• AppCreator

  Permet la création d’un référentiel structuré des incidents informatiques et des cybermenaces. Il facilite la génération de rapports destinés aux parties prenantes pour mieux évaluer les impacts et coordonner les efforts d’atténuation.

Classification des incidents liés aux TIC et des cybermenaces

Les entités financières doivent classifier les incidents TIC en fonction de leur impact opérationnel et des pertes potentielles de données. Les normes réglementaires précisent les critères pour la déclaration obligatoire des menaces majeures en cybersécurité, en particulier pour aider les petites entreprises à s’y conformer efficacement.

Produits ManageEngine pour vous aider à vous conformer

• ServiceDesk Plus

  Fournit des capacités de classification des incidents basées sur des conditions et de l’intelligence artificielle, déclenchant des workflows adaptés.

Signalement des incidents majeurs liés aux TIC et notification des cybermenaces importantes

Les entités financières doivent signaler les incidents TIC majeurs à une autorité désignée, en fournissant des informations détaillées permettant leur évaluation ainsi que l’analyse des répercussions transfrontalières potentielles. Pour cela, elles doivent utiliser les modèles prévus à l’article 20.

Produits ManageEngine pour vous aider à vous conformer

• ServiceDesk Plus

  Facilite l’information en temps utile des autorités et parties prenantes lors de la gestion des incidents.