Ligne directrice de l'AMF sur la cybersécurité : par où commencer

Groupe Conseil GRD.

L'Autorité des marchés financiers (AMF) a publié en février 2020 sa Ligne directrice sur la gestion des risques liés aux technologies de l'information et des communications (TIC). Selon l'AMF, elle vise à ce que les institutions financières mettent en place des mesures d'hygiène et de sécurité pour prévenir la matérialisation d'incidents majeurs et en limiter les impacts (page AMF). L'AMF la présente notamment aux institutions de dépôts et sociétés de fiducie ainsi qu'aux assureurs (page Assureurs). Voici, selon Groupe Conseil GRD, comment aborder ce texte.

Ce que l'AMF entend par risque TIC

La ligne directrice définit le risque TIC comme le risque d'affaires lié à l'utilisation, la propriété, l'opération et l'adoption des TIC. Il comprend notamment les risques de disponibilité et de continuité, de sécurité (incluant la cybersécurité), de changement, d'intégrité des données et d'infogérance (PDF AMF). L'AMF s'attendait à une mise en œuvre d'ici le 27 février 2021.

Étape 1 : une taxonomie des risques TIC

La première attente est une taxonomie propre à l'institution, pour répertorier tous les types de risques TIC. Le texte cite comme catégories à considérer la sécurité de l'information, la gestion de crise, l'infogérance et l'infonuagique, la continuité des activités, la gestion des changements et les opérations TIC. Les risques doivent être agrégés au niveau de l'institution (PDF AMF).

Étape 2 : la gouvernance et les rôles

L'AMF attend une gouvernance des TIC fondée sur des sources reconnues; elle donne en exemple l'OCDE, le G7, le NIST, ISACA-Cobit et ISO. Le conseil d'administration devrait notamment veiller à l'assignation d'un responsable des TI et d'un responsable de la sécurité de l'information à la seconde ligne de défense. La haute direction devrait diffuser une politique de sécurité de l'information, déployer des contrôles proportionnels à la criticité des actifs et offrir de la formation en sécurité (PDF AMF).

Étape 3 : préparation, traitement et suivi

La gestion des risques TIC est organisée en trois volets (PDF AMF) :

• Préparation : recensement périodique des actifs informationnels et de leurs vulnérabilités, cadre de classification selon la disponibilité, l'intégrité et la confidentialité, analyses d'impact d'affaires et tests de sauvegarde.
• Traitement : détection continue des activités anormales, réponse aux vulnérabilités divulguées, plans de remplacement du matériel et du logiciel avant leur fin de support, et tenue d'un registre des risques TIC.
• Suivi : mécanismes pour notifier promptement les parties intéressées internes et externes, incluant l'AMF, lors d'un incident opérationnel, puis analyses et leçons apprises après un incident majeur.

Étape 4 : l'annexe des pratiques

L'annexe énumère des pratiques complémentaires. On y trouve la gestion des identités et des accès, la journalisation (coupe-feu, applications, systèmes, authentification), les principes du « besoin de savoir », du « moindre privilège » et de la « ségrégation des tâches », la limitation des comptes génériques ou partagés, ainsi que les tests d'intrusion et exercices « Red Team ». Pour l'infonuagique, l'AMF mentionne le droit d'audit contractuel, le chiffrement des données et des stratégies de sortie (PDF AMF).

Notre conseil pour démarrer

Nous suggérons de commencer par un état des lieux : inventaire des actifs, registre des risques TIC et vérification des contrôles d'accès. Ces trois éléments touchent les trois volets de la ligne directrice et servent de base au reste. La ligne directrice précise que l'institution doit l'appliquer selon sa nature, sa taille, la complexité de ses activités et son profil de risque.

Demander une soumission : info@grdinc.ca