«Appendice VIII

Exigences en matière de gestion de la sécurité de l’information et de gestion de la continuité des opérations

Gestion de la sécurité des informations

Ces exigences sont applicables à chaque participant, à moins qu’un participant démontre qu’une exigence particulière ne lui est pas applicable. En définissant le champ d’application de ces exigences au sein de son infrastructure, il convient que le participant identifie les éléments faisant partie de la chaîne d’opérations de paiement (Payment Transaction Chain — PTC). Plus précisément, la chaîne d’opérations de paiement commence à un point d’entrée (Point of Entry — PoE), c’est-à-dire un système participant à la création des opérations (par exemple une station de travail, une application de front-office ou de back-office, un intergiciel) et se termine au système chargé de l’envoi du message à SWIFT (par exemple le boîtier VPN SWIFT) ou à Internet (ce dernier s’appliquant en cas d’accès par l’internet).

Exigence 1.1: Politique de sécurité de l’information

La direction établit une orientation politique claire conforme aux objectifs opérationnels; elle apporte son concours à la sécurité de l’information et manifeste son engagement envers celle-ci à travers l’instauration, l’approbation et le maintien d’une politique de sécurité de l’information, destinée à gérer cette sécurité ainsi que la cyberrésilience au sein de l’organisation sur le plan de l’identification, de l’évaluation et du traitement des risques liés à la sécurité de l’information et à la cyberrésilience. Cette politique devrait comporter au moins les éléments suivants: objectifs, portée (comprenant des domaines tels que l’organisation, les ressources humaines, la gestion des actifs, etc.), principes et répartition des responsabilités.

Exigence 1.2: Organisation interne

Un cadre pour la sécurité de l’information est mis en place afin de mettre en œuvre la politique de sécurité de l’information au sein de l’organisation. La direction coordonne et vérifie la mise en place de ce cadre afin de garantir la mise en œuvre de la politique de sécurité de l’information (conformément à l’exigence 1.1) dans toute l’organisation, y compris l’attribution de ressources suffisantes et la désignation des personnes responsables en matière de sécurité à cette fin.

Exigence 1.3: Parties externes

Le recours à une ou plusieurs parties externes ou aux produits/services qu’elles proposent, ou la dépendance à l’égard de celles-ci ou de leurs produits/services, ne devrait pas compromettre la sécurité de l’information de l’organisation et de ses installations de traitement des informations. Tout accès, par des parties externes, aux installations de traitement des informations de l’organisation doit être contrôlé. Lorsque des parties externes ou des produits/services de parties externes doivent accéder aux installations de traitement des informations de l’organisation, il est procédé à une évaluation des risques afin de déterminer les implications en matière de sécurité et les exigences de contrôle. Les contrôles sont convenus et définis dans un accord passé avec chaque partie externe concernée.

Exigence 1.4: Gestion des actifs

Tous les actifs informationnels, les processus opérationnels et les systèmes d’information sous-jacents de la chaîne d’opérations de paiement, tels que les systèmes d’exploitation, les infrastructures, les applications opérationnelles, les produits standards, les services et les applications développées à l’intention des utilisateurs, sont comptabilisés et ont un propriétaire désigné. Les personnes responsables de la maintenance et de l’exécution des contrôles appropriés dans les processus opérationnels, d’une part, et des composants informatiques associés destinés à protéger les actifs informationnels, d’autre part, sont désignées. Note: Le propriétaire peut, s’il y a lieu, déléguer la mise en œuvre de certains contrôles, mais demeure responsable de la protection adéquate des actifs.

Exigence 1.5: Classement des actifs informationnels

Les actifs informationnels sont classés selon leur niveau de criticité pour la bonne réalisation de la prestation du service par le participant. Le classement indique le besoin, la priorité et le degré de protection requis lors du traitement de l’actif informationnel dans les processus opérationnels concernés, et tient également compte des composants informatiques sous-jacents. Un dispositif de classement des actifs informationnels, approuvé par la direction, est utilisé afin de définir un ensemble approprié de contrôles de la protection tout au long du cycle de vie des actifs informationnels (y compris la suppression et la destruction de ces éléments) et de signaler la nécessité de mesures de traitement particulières.

Exigence 1.6: Sécurité liée aux ressources humaines

Les responsabilités en matière de sécurité sont abordées, préalablement au recrutement, dans une description appropriée du poste ainsi que dans les conditions d’emploi. Tous les candidats à l’emploi, les cocontractants et les utilisateurs tiers font l’objet d’un contrôle adéquat, particulièrement en ce qui concerne les postes sensibles. Les employés, les cocontractants et les utilisateurs tiers d’installations de traitement des informations signent un accord sur leurs rôles et responsabilités en matière de sécurité. Il est veillé à ce que tous les employés, les cocontractants et les utilisateurs tiers acquièrent un niveau de sensibilisation adéquat; des enseignements et formations sur les procédures de sécurité et l’utilisation correcte des installations de traitement des informations leur sont dispensés afin de minimiser les risques potentiels liés à la sécurité. Il est mis en place une procédure disciplinaire formelle pour les employés en cas de manquements à la sécurité. Les responsabilités sont attribuées de manière à assurer la gestion du départ ou du changement d’affectation, au sein de l’organisation, d’un employé, d’un cocontractant ou d’un utilisateur tiers ainsi que la restitution de l’ensemble de l’équipement et la suppression de tous les droits d’accès.

Exigence 1.7: Sécurité physique et environnementale

Les installations de traitement des informations critiques ou sensibles sont hébergées en lieu sûr et protégées par un périmètre de sécurité défini, des barrières de sécurité appropriées et des contrôles d’accès. Ces installations sont physiquement protégées de tout accès non autorisé, de tout dommage et de toute perturbation. Leur accès n’est accordé qu’aux personnes physiques relevant de l’exigence 1.6. Des procédures et des normes sont mises en place afin de protéger, lors d’un transport, les supports physiques contenant des actifs informationnels.

L’équipement est protégé des menaces physiques et environnementales. La protection de l’équipement (y compris de l’équipement utilisé hors site) et la protection contre le vol de biens sont nécessaires afin de réduire le risque d’accès non autorisé aux informations et de préserver les informations ou l’équipement de toute perte ou dommage. Des mesures spéciales peuvent être nécessaires pour préserver les installations auxiliaires, telles que l’alimentation électrique et l’infrastructure de câblage, et les protéger des menaces physiques.

Exigence 1.8: Gestion de l’exploitation

Des responsabilités et des procédures sont définies pour la gestion et le fonctionnement des installations de traitement des informations couvrant de bout en bout tous les systèmes sous-jacents de la chaîne d’opérations de paiement.

En ce qui concerne les modalités de fonctionnement, y compris l’administration technique des systèmes informatiques, une séparation des tâches est mise en œuvre, lorsque cela est nécessaire, afin de réduire le risque d’utilisation abusive des systèmes, que ce soit par négligence ou de façon délibérée. Lorsque la séparation des tâches ne peut être mise en œuvre pour des raisons objectives et dûment étayées, des contrôles compensatoires sont mis en œuvre à la suite d’une analyse formelle des risques. Des contrôles sont mis en place afin de détecter et d’empêcher l’introduction de codes malveillants dans les systèmes de la chaîne d’opérations de paiement. Des contrôles sont également mis en place (y compris relatifs à la sensibilisation des utilisateurs) pour détecter, empêcher et supprimer les codes malveillants. Les codes mobiles ne sont utilisés que depuis des sources sûres (par exemple, des composants COM signés de Microsoft ou des applets Java). La configuration du navigateur (par exemple l’utilisation d’extensions et de modules d’extension) est strictement contrôlée.

La direction met en œuvre des politiques de sauvegarde et de récupération des données; ces politiques de récupération comprennent un plan du processus de récupération, qui fait l’objet de tests à intervalles réguliers, au moins une fois par an.

Les systèmes critiques pour la sécurité des paiements sont surveillés et les évènements concernant la sécurité de l’information sont enregistrés. Des journaux d’opérateur sont utilisés afin de garantir l’identification de problèmes relatifs au système d’information. Ces journaux sont régulièrement examinés sur la base d’échantillons, en se fondant sur la criticité des opérations. Un suivi du système est effectué afin de s’assurer du caractère effectif des contrôles repérés comme étant critiques pour la sécurité des paiements et de vérifier la conformité à un modèle de politique d’accès.

Les échanges d’informations entre les organisations s’appuient sur une politique d’échange formalisée, menée conformément aux accords d’échange existant entre les parties concernées, et respectent la législation en la matière. Les composants de logiciels de tiers utilisés pour échanger des informations avec TARGET2 (tels que des logiciels fournis par un “service bureau” mentionné au scénario 2 de la section relative au champ d’application dans le document portant sur le mécanisme d’autocertification TARGET2) font l’objet d’un accord formel passé avec le tiers.

Exigence 1.9: Contrôle d’accès

L’accès aux actifs informationnels est justifié par les exigences opérationnelles [besoin de connaître (1)] et se fait conformément au dispositif de politiques d’entreprise mis en place (y compris la politique de sécurité de l’information). Des règles claires en matière de contrôle d’accès sont définies sur la base du principe du droit d’accès minimal (2), afin de refléter étroitement les besoins des processus opérationnels et informatiques correspondants. Le cas échéant (par exemple pour la gestion des sauvegardes), il convient que le contrôle d’accès logique soit compatible avec le contrôle d’accès physique, à moins que des contrôles compensatoires adéquats ne soient en place (par exemple chiffrement, anonymisation des données à caractère personnel).

Des procédures formalisées et documentées sont mises en place afin de contrôler l’attribution des droits d’accès aux systèmes et services d’information qui relèvent de la chaîne d’opérations de paiement. Ces procédures concernent toutes les étapes du cycle de vie de l’accès utilisateur, de l’inscription initiale de nouveaux utilisateurs à la désinscription finale des utilisateurs qui n’ont plus besoin d’accès.

Une attention particulière est accordée, le cas échéant, à l’attribution des droits d’accès dont la criticité est telle qu’une utilisation abusive de ces droits d’accès pourrait avoir de graves répercussions sur les opérations du participant (par exemple les droits d’accès permettant l’administration du système, la neutralisation des systèmes de contrôle, l’accès direct aux données des opérations).

Des contrôles appropriés sont mis en place pour identifier, authentifier et autoriser les utilisateurs à des points précis dans le réseau de l’organisation, par exemple pour l’accès sur place et à distance aux systèmes de la chaîne d’opérations de paiement. Afin de garantir la responsabilisation, les comptes personnels ne sont pas partagés.

En ce qui concerne les mots de passe, des règles sont mises en place et exécutées au moyen de contrôles spécifiques visant à s’assurer qu’ils ne peuvent être devinés aisément, par exemple des règles en matière de complexité et une validité limitée dans le temps. Un protocole sécurisé de récupération et/ou de réinitialisation du mot de passe est mis en place.

Une politique est élaborée et mise en œuvre, concernant l’utilisation de contrôles cryptographiques, afin de protéger la confidentialité, l’authenticité et l’intégrité des informations. Une politique de gestion des clés est élaborée pour favoriser l’utilisation de contrôles cryptographiques.

Une politique est mise en place en matière de visualisation des informations confidentielles à l’écran ou sur papier (par exemple la politique de l’écran vide et du bureau propre), afin de réduire les risques d’accès non autorisé.

En cas de travail à distance, les risques liés au travail dans un environnement non protégé sont pris en compte et des contrôles techniques et organisationnels appropriés sont mis en œuvre.

Exigence 1.10: Acquisition, développement et maintenance des systèmes d’information

Les exigences de sécurité sont identifiées et convenues préalablement au développement et/ou à la mise en œuvre des systèmes d’information.

Des contrôles appropriés sont intégrés dans les applications, y compris les applications développées à l’intention des utilisateurs, afin de garantir un traitement adéquat. Ces contrôles comprennent la validation des données d’entrée, du traitement interne et des données de sortie. Des contrôles supplémentaires peuvent être requis pour des systèmes traitant ou ayant une incidence sur des informations sensibles, précieuses ou critiques. De tels contrôles sont définis compte tenu des exigences de sécurité et de l’évaluation des risques conformément aux politiques adoptées (par exemple, la politique de sécurité de l’information, la politique de contrôle cryptographique).

Les exigences opérationnelles des nouveaux systèmes sont déterminées, documentées et testées préalablement à leur acceptation et leur utilisation. En ce qui concerne la sécurité du réseau, il convient de mettre en œuvre des contrôles appropriés, y compris en matière de segmentation et de gestion sécurisée, en fonction de la criticité des flux de données et du niveau de risque des zones réseau dans l’organisation. Des contrôles spécifiques sont mis en place pour protéger les informations sensibles transitant sur des réseaux publics.

L’accès aux fichiers système et au code source du programme fait l’objet de contrôles, et les projets informatiques ainsi que les activités de support sont réalisés de manière sécurisée. Il est pris soin d’éviter la divulgation de données sensibles dans des environnements de test. Les environnements de projet et de support sont contrôlés de manière stricte. La mise en œuvre de modifications en environnement de production fait également l’objet d’un contrôle strict. Une évaluation des risques est effectuée en cas de modifications majeures à mettre en œuvre en environnement de production.

Les systèmes en environnement de production font également l’objet de tests réguliers de sécurité conformément à un plan prédéfini, en se fondant sur le résultat d’une évaluation des risques, et les tests de sécurité comprennent au moins des évaluations de la vulnérabilité. Toutes les insuffisances mises en lumière lors des tests de sécurité sont évaluées, et des plans d’action sont élaborés en vue de combler les lacunes identifiées et font l’objet d’un suivi en temps utile.

Exigence 1.11: Sécurité de l’information dans les relations avec les fournisseurs (3)

Afin de garantir la protection des systèmes d’information internes des participants accessibles aux fournisseurs, il convient de documenter les exigences de sécurité de l’information visant à atténuer les risques liés à l’accès accordé au fournisseur, ces exigences faisant l’objet d’un accord formel avec le fournisseur.

Exigence 1.12: Gestion des incidents liés à la sécurité de l’information et améliorations à cet égard

Afin de garantir une approche cohérente et efficace en matière de gestion des incidents liés à la sécurité de l’information, y compris en matière de communication relative aux évènements et failles de sécurité, sont mises en place et testées, aux niveaux opérationnel et technique, les fonctions, responsabilités et procédures permettant de remédier rapidement, efficacement, méthodiquement et de manière sécurisée aux incidents liés à la sécurité de l’information, y compris aux scénarios relatifs à des incidents de cybersécurité (par exemple, une fraude commise par un agresseur externe ou par un initié). Le personnel impliqué dans ces procédures est formé de manière adéquate.

Exigence 1.13: Évaluation de la conformité technique

Les systèmes d’information internes d’un participant (par exemple les systèmes de back-office, les réseaux internes et la connectivité du réseau externe) font l’objet d’évaluations régulières pour s’assurer de leur conformité avec le cadre des politiques instaurées par l’organisation (par exemple la politique de sécurité de l’information et la politique de contrôle cryptographique).

Exigence 1.14: Virtualisation

Les machines virtuelles invitées respectent l’ensemble des contrôles de sécurité mis en place pour le matériel et les systèmes physiques (par exemple le durcissement et la journalisation). Les contrôles ayant trait aux hyperviseurs doivent comprendre: le durcissement de l’hyperviseur et du système d’exploitation hôte, l’application régulière de correctifs et une stricte séparation des différents environnements (par exemple de la production et du développement). La gestion centralisée, la journalisation et le suivi ainsi que la gestion des droits d’accès, en particulier pour les comptes privilégiés, sont mis en œuvre sur la base d’une évaluation des risques. Les machines virtuelles invitées administrées par le même hyperviseur ont un profil de risque similaire.

Exigence 1.15: Solutions d’informatique en nuage (cloud computing)

L’utilisation de solutions d’informatique en nuage publiques et/ou hybrides dans la chaîne d’opérations de paiement doit être fondée sur une évaluation formelle des risques, en tenant compte des contrôles techniques et des clauses contractuelles relatives à la solution d’informatique en nuage.

En cas d’utilisation de solutions d’informatique en nuage hybrides, il est entendu que le niveau de criticité de l’ensemble du système correspond à celui du système connecté ayant le niveau de criticité le plus élevé. Tous les composants sur site des solutions hybrides doivent être séparés des autres systèmes sur site.

Gestion de la continuité des opérations (seulement applicable aux participants critiques)

Les exigences suivantes (2.1 à 2.6) concernent la gestion de la continuité des opérations. Chaque participant à TARGET2 considéré par l’Eurosystème comme étant critique pour le bon fonctionnement du système de TARGET2 met en place une stratégie de continuité des opérations comprenant les éléments suivants.