Bâtir une économie numérique résiliente : la place de l'identité organisationnelle normalisée
Dans un monde toujours plus numérisé, les cyberattaques se multiplient et se complexifient. Les infrastructures critiques étant assurées pour l'essentiel par des prestataires de services informatiques tiers, il est capital de garantir l'identification cohérente et claire de ces derniers grâce à des identifiants organisationnels normalisés et vérifiables, gages de confiance et de cyber-résilience. Le Règlement sur la résilience opérationnelle numérique (DORA) de l'Union Européenne constitue un précédent réglementaire majeur pour relever ce défi dans le secteur financier et devrait être adoptée à l'échelle mondiale pour sécuriser tous les écosystèmes numériques du monde entier.
Auteur: Alexandre Kech
Date: 2024-12-18
Vues:
Les cyberattaques représentent une menace immédiate et grandissante pour la stabilité du système financier mondial.
Selon un rapport de 2024 du Fonds monétaire international (FMI), le secteur financier a été la cible de plus de 20 000 cyberattaques au cours des 20 dernières années, des attaques qui ont provoqué 12 milliards de dollars de pertes directes, sans parler des coûts indirects causés par les atteintes à la réputation.
Le pire est à venir. Selon le rapport du FMI, les attaques ont doublé depuis la pandémie de COVID-19. Leur fréquence et leur sophistication ne cessent d'augmenter, ce qui représente « une menace de taille pour la stabilité macro-financière en raison d'une perte de confiance, de la perturbation des services essentiels et des interconnexions technologiques et financières. »
La question des « interconnexion technologiques » est tout particulièrement préoccupante. Alors que les entreprises financières sont connues pour leur position de leaders dans le domaine de la cybersécurité, la numérisation des services financiers entraîne une dépendance croissante vis-à-vis de prestataires de services informatiques tiers pour la prise en charge des fonctions critiques et la fourniture directe des services essentiels.
Selon une étude menée par les trois autorités européennes de surveillance, près de 15 000 de ces prestataires comptent des institutions financières dans toute l'UE parmi leurs clients. Cet état de fait pose des défis en matière de résilience opérationnelle dans deux domaines. La dépendance des institutions financières à l'égard de nombreux fournisseurs induit plusieurs vulnérabilités et fragmente les opérations. Les chaînes d'approvisionnement peuvent aussi devenir complexes et opaques, difficiles à démêler, notamment en cas d'incident de cybersécurité. À l'inverse, le recours généralisé à certains fournisseurs (par exemple dans les services de cloud computing) augmente le risque que les attaques ou certains problèmes deviennent systémiques.
Compte tenu des enjeux, imposer un certain niveau de surveillance réglementaire aux fournisseurs de services informatiques constitue un objectif politique clé dans de nombreuses régions. L'Union européenne a joué un rôle de premier plan à cet égard. Elle a voté le règlement sur la résilience opérationnelle numérique (DORA), qui vise à renforcer la résilience opérationnelle des entités financières en améliorant leur capacité à gérer les risques informatiques.
Renforcer la résilience opérationnelle par une identité organisationnelle normalisée
L'identification des fournisseurs de services informatiques par les entités financières est essentielle pour gérer ces risques. Elle souligne l'importance d'identifiants organisationnels normalisés et vérifiables comme l'Identifiant d'entité légale (LEI).
Bien public mondial, le LEI est un identifiant normalisé qui s'applique à tous les fournisseurs de services informatiques tiers partout dans le monde entier. En garantissant l'identification cohérente et claire des entités au-delà des frontières, le LEI tient compte de la fragmentation et :
Améliore la détection de la structure de l'entreprise : le LEI permet l'identification des liens d'entreprise entre les fournisseurs de services informatiques tiers, tant au sein de l'UE qu'à l'étranger. Les institutions et les superviseurs sont mieux à même de déceler les interconnexions et les risques opérationnels potentiels, lesquels sont dissimulés par des structures d'entreprise complexes.
Comble les vides : Le LEI agit comme un connecteur de données, ce qui permet une intégration automatisée avec d'autres sources de données essentielles comme les autorités d'enregistrement locales (par exemple, le registre des entreprises local, la chambre de commerce, etc.), les prestataires de services financiers et les marchés de capitaux. Cela dresse un tableau plus complète des dépendances vis-à-vis des fournisseurs informatiques.
Permet l'intégration et l'automatisation numériques : l'écosystème entièrement numérique du LEI permet le rapprochement clair des données par le biais d'une API gratuite et de téléchargements de fichiers complets. Ce cadre numérique élimine les interventions manuelles et permet une collecte et une analyse rapides des données. Il dote les institutions et les superviseurs des outils dont ils ont besoin pour surveiller les dépendances aux services informatiques et prendre des décisions plus éclairées.
Rationalise la diligence raisonnable, la conformité et le signalement des incidents : une identification précise fondée sur le LEI minimise les erreurs de signalement, améliore la qualité des données et prend en charge des soumissions de conformité plus fiables. En cas d'incidents d'origine informatique, les LEI constituent une référence claire et normalisée pour toutes les parties prenantes. Le signalement des incidents gagne en simplicité en assurant la cohérence et en facilitant les efforts de résolution rapides.
Création d'une économie numérique résiliente
La rapidité et la sophistication croissantes des cyberattaques ont des implications qui vont bien au-delà des services financiers. La complexité du monde numérique moderne signifie que toutes les infrastructures critiques dépendent fortement des fournisseurs de services informatiques. Par conséquent, les chaînes d'approvisionnement mondiales, les secteur de la santé, de l'énergie et les services collectifs, les télécommunications et les transports sont exposés aux mêmes vulnérabilités importantes.
Le règlement DORA met en place le cadre nécessaire pour relever ce défi. La reconnaissance de l'importance de l'identification organisationnelle normalisée et vérifiable dans la cyber-résilience et la confiance dans les écosystèmes numériques constitue un précédent réglementaire important à étendre à tous les secteurs économiques mondiaux.
Si vous souhaitez commenter une publication sur le blog, veuillez vous identifier à l'aide de votre prénom et de votre nom. Votre nom apparaîtra à côté de votre commentaire. Aucune adresse e-mail ne sera publiée. Veuillez noter qu'en accédant ou en contribuant au forum de discussion, vous acceptez de respecter les conditions de la Politique de la GLEIF en matière de blog ; veuillez donc les lire attentivement.
Alexandre Kech est PDG de la Global Legal Entity Identifier Foundation (GLEIF).
Avant de rejoindre la GLEIF, Alexandre Kech était responsable des titres numériques chez SIX Digital Exchange. Membre du comité de direction, Alex assumait pleinement sa responsabilité exécutive du secteur des titres numériques, y compris la gestion des ventes et des relations, le développement de produits, la conception d'entreprises et l'expansion de l'écosystème.
Au cours des 25 dernières années, Alex a tracé une carrière unique alliant la finance chez BNY Mellon, l'infrastructure et les normes de paiement/titres chez SWIFT, ainsi que la blockchain et les actifs numériques chez Onchain Custodian (ONC) et, plus récemment Citi, Ventures. Cofondateur et PDG d'ONC, Alex a dirigé l'équipe implantée à Singapour et à Shanghai, laquelle a créé de toutes pièces un service de garde et de courtage principal pour les cryptomonnaies et autres actifs numériques. Directeur Blockchain et Digital Asset chez Citi Ventures, il a constitué une équipe pour impliquer l'écosystème européen aux applications émergentes des technologies blockchain et des actifs numériques.
Alex participe aussi à des projets industriels et de normalisation. En tant que coordinateur de l'ISO TC 68 / SC8 / WG3, qui a produit le Digital Token Identifier (DTI) ISO 24165, il est membre du comité consultatif des produits de la Fondation DTI. Récemment, il a aussi été coprésident du groupe de travail sur la garde de Global Digital Finance (gdf.io).
Alex a obtenu une licence en traduction et un Executive MBA de la Quantic School of Business and Technology tout en créant Onchain Custodian, pour appliquer la théorie en temps réel.
