Les directives de sécurité NIS2 et DORA de l'UE : ce que vous devez savoir

Le financier et services essentiels les secteurs ont été les principales cibles des rançongiciels en 2022.

Les organisations de ces secteurs sont soumises à une pression énorme. Ils doivent se transformer et se numériser pour améliorer leur efficacité, et ce, rapidement, tout en préservant la disponibilité et la sécurité.

Dans le même temps, les acteurs des rançongiciels ciblent intentionnellement les acteurs financiers et les opérateurs de services essentiels. Ils savent que ces industries ne peuvent se permettre aucune interruption de service et qu'elles offrent à leur tour les meilleures chances de payer une rançon.

L'année dernière, nous avons été témoins d'innombrables incidents de cybersécurité dans services bancaires et financiers et secteurs des services essentiels notamment l'énergie, l'eau et les transports. Ces attaques ont causé d'énormes pertes financières et des dommages potentiels considérables à l'économie, aux infrastructures sous-jacentes et à la sécurité des consommateurs.

Pourquoi les services financiers et les services essentiels ont besoin de cyberrésilience

Chaque année, un nouveau mot à la mode dans le monde des affaires occupe le devant de la scène.

Celle de cette année ? Résilience. Et pour cause.

Au cours des 12 derniers mois, la façon dont les entreprises gèrent les cyberrisques a connu un changement significatif. Les cyberattaques ont évolué, passant du simple vol de données à un impact sur la disponibilité des entreprises. Avec le coût moyen d'une violation de données maintenant 4,35 millions de dollars, il ne suffit plus de simplement répondre aux attaques, il s'agit d'y survivre.

Découvrez pourquoi la résilience est priorité absolue du secteur bancaire en matière de sécurité en ce moment.

Le problème est exacerbé par le manque de confiance des chefs d'entreprise dans la résilience de leur organisation en cas d'attaque. Selon recherches récentes selon Enterprise Strategy Group, seuls 19 % des chefs d'entreprise estiment que leur organisation est prête à faire face à l'impact d'une cyberattaque. Et plus de la moitié pensent qu'une attaque aurait des conséquences commerciales catastrophiques.

Découvrez comment Illumio Zero Trust Segmentation assure la cyberrésilience ici.

La réponse de l'Union européenne à la cyberrésilience - NIS2 et DORA

Afin de renforcer la résilience et les capacités de réponse aux incidents en Europe, l'Union européenne (UE) a récemment approuvé des mises à jour de la directive sur les réseaux et les systèmes d'information (NIS) pour les services essentiels, appelée NIS2, qui devrait entrer en vigueur dans les prochaines années.

Bien qu'il ne fasse plus partie de l'UE, le Royaume-Uni a adopté la directive NIS et a confirmé qu'il procéderait également à des mises à jour. La mise à jour renforcera la directive existante afin de garantir la protection des services essentiels et numériques du Royaume-Uni contre les cyberattaques de plus en plus sophistiquées et fréquentes.

En outre, l'UE a créé la loi sur la résilience opérationnelle numérique (DORA) qui vise à garantir que les organisations de services bancaires et financiers peuvent résister aux incidents de sécurité, y répondre et s'en remettre.

Une fois les directives publiées, les organisations bénéficient d'une période de mise en œuvre de 24 mois. Mais des changements proactifs sont toujours meilleurs que des exercices d'incendie réactifs. Les chefs d'entreprise recommandent de commencer dès maintenant pour se mettre en conformité.

Qu'est-ce que NIS2 ?

L'objectif principal de la nouvelle directive NIS2 est d'améliorer le partage des connaissances et de renforcer la réponse post-violation des services essentiels, notamment l'énergie, les transports, les banques et les soins de santé. Il s'agit d'une évolution de la directive NIS initiale qui définissait les mesures légales pour la sécurité des réseaux et des systèmes d'information.

Accédez au projet de directive NIS2 ici.

Pourquoi NIS2 est important pour les services essentiels

L'objectif de cette directive est d'améliorer la résilience et les capacités de réponse aux incidents des secteurs public et privé ainsi que de l'UE dans son ensemble.

Mais c'est aussi le signe d'une tendance plus générale, à savoir l'acceptation de la possibilité de violations. Bien que la directive contribue à protéger les actifs informatiques critiques, elle impose également aux fournisseurs de services essentiels un nouveau défi en matière de conformité.

Qu'est-ce que DORA ?

Alors que NIS2 inclut les organisations de services bancaires et financiers dans sa directive, DORA s'adresse au secteur financier, en particulier.

Le prochain DORA La directive vise à garantir que les entreprises peuvent résister aux violations, y répondre et s'en remettre. Le secteur bancaire soutient l'économie mondiale et, en l'absence de mesures de cybersécurité strictes, les violations peuvent rapidement devenir catastrophiques. DORA demande aux banques de renforcer leur cyberrésilience, de protéger les données des clients et d'assurer la continuité des activités en cas de faille de sécurité.

La DORA, qui devrait entrer en vigueur début 2023 et entrer en vigueur d'ici 2025, changera la donne dans le secteur des services financiers.

Accédez à la directive DORA ici.

Pourquoi DORA est important pour les services bancaires et financiers

Depuis de nombreuses années, le secteur s'efforce de relier les résultats commerciaux et de sécurité. DORA améliore non seulement la résilience des organisations financières, mais rendra plus explicite le lien entre les capacités de sécurité et la résilience opérationnelle.

Les entreprises concernées doivent être en mesure de gérer et de gérer les risques rapidement. En fait, la section II du chapitre II de la DORA impose aux organisations de développer un cadre de gestion des risques approprié pour faire face aux risques de sécurité de manière rapide, efficace et complète, et pour garantir un niveau élevé de résilience opérationnelle numérique.

Mais ce n'est pas une mince affaire, et les organisations doivent commencer à jeter les bases dès maintenant, sinon elles risquent de prendre du retard.

3 manières dont Illumio Zero Trust Segmentation peut vous aider à atteindre la conformité NIS2 et DORA

Que doivent faire immédiatement les organisations pour renforcer leur résilience et se conformer aux normes NIS2 et DORA ? Commencez par Segmentation Zero Trust (ZTS).

1. Bénéficiez d'une visibilité sur la communication entre les applications et les charges de travail

Dans un premier temps, il est important d'effectuer une analyse des écarts en comparant les initiatives de sécurité actuelles et les risques de votre organisation par rapport aux exigences NIS2 et DORA.

Un outil important dans ce processus est mappage des dépendances des applications proposé par Plateforme Illumio ZTS. Bénéficiez d'une visibilité rapide et facile à comprendre sur le trafic et les communications des applications et des charges de travail sur l'ensemble de la surface d'attaque hybride. Par exemple, déterminez quels serveurs communiquent avec des actifs critiques pour l'entreprise ou quelles applications ont des lignes ouvertes vers Internet, permettant ainsi aux acteurs malveillants d'accéder facilement au réseau de votre entreprise.

Cette visibilité permet à votre équipe de sécurité de hiérarchiser son travail en matière de conformité à la NIS2 et à la DORA. Ils peuvent identifier les domaines dans lesquels l'organisation est déjà conforme et les domaines dans lesquels de meilleurs contrôles de sécurité doivent être mis en place.

2. Définissez une politique de segmentation flexible et granulaire

Après avoir obtenu une visibilité sur votre réseau hybride, vous êtes prêt à donner la priorité à la définition d'une politique de sécurité informée qui augmente votre cyberrésilience et vous aide à vous conformer aux normes NIS2 et DORA.

Illumio ZTS vous permet de définir automatiquement des politiques de segmentation flexibles et granulaires qui contrôlent la communication entre les charges de travail et les appareils. Cela ne permet que ce qui est nécessaire et voulu. Par exemple, vous pouvez restreindre les communications entre le serveur et l'application, entre le développeur et la production ou entre l'informatique et l'OT.

La définition d'une politique de segmentation est une étape essentielle vers la création d'une architecture Zero Trust, un modèle de sécurité implicite dans les directives NIS2 et DORA.

3. Isolez les actifs de manière proactive ou limpez la propagation des violations de manière réactive

La segmentation de votre réseau avec Illumio ZTS assure une sécurité à la fois proactive et réactive contre les violations inévitables, atteignant ainsi l'objectif principal de résilience aux attaques défini par les directives NIS2 et DORA.

Isolez de manière proactive les actifs de grande valeur afin de limiter l'accès aux seuls éléments critiques et nécessaires. Cela signifie que vous êtes assuré que les rançongiciels ou autres violations ne peuvent pas se propager à ces actifs, arrêter les activités et créer des dommages catastrophiques.

Lors d'une attaque active, stoppez de manière réactive la propagation d'une faille et limitez-la à une petite partie de votre réseau en quelques minutes. En fait, un récente émulation de cyberattaque de Bishop Fox a découvert qu'Illumio ZTS peut arrêter la propagation d'une brèche en moins de 10 minutes. C'est quatre fois plus rapide que les solutions EDR (Endpoint Detection and Response) utilisées seules.

En savoir plus sur comment Illumio s'aligne sur la directive NIS existante, base de la prochaine directive NIS2.

Prêt à utiliser Illumio ZTS pour atteindre la conformité NIS2 et DORA ? Contactez-nous dès aujourd'hui pour une consultation et une démonstration.