La ligne directrice B-13, Gestion du risque lié aux technologies et aux cyberrisques du BSIF définit la manière dont les institutions financières fédérales (IFF) doivent gérer le risque technologique et cybernétique. Le BSIF l’a publiée en juillet 2022 et a précisé qu’elle serait en vigueur à compter du 1er janvier 2024.
Comme la ligne directrice B-10, la B-13 s’applique aux IFF, et non directement à leurs fournisseurs. Mais lorsqu’une banque ou un assureur s’appuie sur votre plateforme, vos contrôles font partie intégrante de son risque technologique. Les fintechs et les fournisseurs de technologie doivent s’attendre à ce que la B-13 oriente les questions qui leur sont posées.
Les trois domaines
La B-13 s’articule autour de trois résultats attendus.
1. Gouvernance et gestion du risque
Les IFF doivent établir une responsabilité claire en matière de risque technologique et cybernétique, une stratégie technologique et cybernétique, ainsi qu’un cadre de gestion du risque couvrant l’appétit pour le risque, les politiques et la surveillance. Pour les fournisseurs, cela se traduit par des questions sur leur propre gouvernance : qui est responsable de la sécurité, comment le risque est-il évalué et communiqué, et à quelle fréquence la direction l’examine-t-elle.
2. Opérations technologiques et résilience
Ce domaine couvre l’architecture, la gestion des actifs, le cycle de vie du développement des systèmes, la gestion des changements et des mises en production, l’application des correctifs, la gestion des incidents et des problèmes, ainsi que la reprise après sinistre. La B-13 précise que la gestion des actifs doit inclure les actifs tiers qui stockent ou traitent des renseignements des IFF, et que les tests de reprise après sinistre doivent inclure les technologies tierces critiques et les points d’intégration.
Cette précision a son importance pour les fournisseurs. Attendez-vous à des demandes de participation aux tests de reprise, à la communication de vos objectifs de reprise, et à des explications sur la manière dont les changements apportés à votre service sont contrôlés et communiqués.
3. Cybersécurité
Le domaine de la cybersécurité suit un cycle familier : identifier, défendre, détecter, réagir et rétablir. Il comprend l’évaluation des menaces et des vulnérabilités, la classification des données, des contrôles à plusieurs niveaux, la cryptographie, la gestion des identités et des accès incluant l’authentification multifactorielle, des configurations sécurisées de référence, l’analyse des applications, la journalisation centralisée et la réponse aux incidents.
Ce que les fournisseurs et fintechs doivent préparer
- Preuves de développement sécurisé. Démontrez comment la sécurité est intégrée à votre processus de développement : révision de code, gestion des dépendances, analyse des applications et tests préalables à la mise en production.
- Gestion des vulnérabilités et des correctifs. Définissez des délais selon la gravité et soyez en mesure de démontrer que vous les respectez.
- Tests indépendants. Tests d’intrusion réguliers des surfaces externes, des applications et des API, avec suivi des mesures correctives jusqu’à leur clôture. De nombreuses institutions demandent une lettre récapitulative ou un rapport de synthèse.
- Identités et accès. Authentification multifactorielle pour les accès administratifs et à distance, principe du moindre privilège, et examens périodiques des accès.
- Journalisation et détection. Journaux centralisés, alertes définies et un moyen de communiquer les événements pertinents aux clients lorsque nécessaire.
- Réponse aux incidents. Un plan testé incluant la notification rapide des institutions financières clientes concernées.
- Résilience. Objectifs de temps de reprise et de point de reprise documentés, sauvegardes testées et volonté de participer à l’exercice d’un client.
Comment la B-13 s’intègre aux autres cadres
La B-13 repose sur des principes et ne prescrit pas de cadre spécifique. Dans la pratique, un fournisseur disposant d’un système de gestion ISO/IEC 27001 mature ou d’un rapport SOC 2 Type 2 disposera déjà de la majeure partie des preuves attendues par une IFF. Lorsque des données de porteurs de carte sont en jeu, la norme PCI DSS demeure une exigence distincte.
L’écart se situe souvent dans le détail technique : configuration sécurisée, profondeur des tests et exercices de résilience. C’est là que la validation indépendante apporte une valeur ajoutée au-delà d’un simple certificat.
Les fintechs à un stade plus précoce ne devraient pas attendre d’obtenir un certificat avant d’agir. Un ensemble de contrôles documenté, un test d’intrusion récent avec suivi des mesures correctives et un plan de reprise testé répondent déjà à bon nombre des questions que posera l’équipe de gestion du risque technologique d’une institution.
Une démarche pratique
- Comparez vos contrôles actuels aux trois domaines de la B-13 et relevez les écarts.
- Priorisez les écarts que les clients demandent réellement : tests, authentification multifactorielle, correctifs, reprise.
- Mandatez un test indépendant et corrigez ce qu’il révèle.
- Regroupez les résultats avec votre certificat ou rapport dans un dossier de preuves standard destiné aux institutions financières clientes.
- Révisez-le au moins une fois par an et après tout changement majeur.
Comment nous pouvons vous aider : Ubitrak réalise des tests d’intrusion et des évaluations, KW Consulting mène des projets informatiques et des mesures correctives, et Accel GRC fait correspondre les contrôles à la B-13 et à d’autres cadres. Consultez nos pages tests de sécurité, mesures correctives, notre division Ubitrak, ou contactez-nous.
Sources
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite