Une informatique où chaque changement est traçable
Dans la banque et l’assurance, un auditeur peut demander après coup qui a fait quoi, et quand. Nous travaillons avec des fenêtres de changement, une double validation en production et une journalisation qui tient devant un audit, pour qu’une mise à jour de sécurité ne devienne pas un constat.
Ici la trace compte autant que le résultat
Bien faire, c’est la moitié. L’autre moitié, c’est pouvoir montrer ensuite que cela s’est passé ainsi.
Dans un environnement financier, un changement est rarement un simple geste technique. Il s’accompagne d’une demande, d’une validation par quelqu’un d’autre que l’exécutant, d’une fenêtre autorisée et d’un enregistrement encore suivable des mois plus tard. Cela paraît lent quand on vient d’un autre secteur, mais c’est exactement ce qu’attend une autorité de contrôle et ce qui rend un incident explicable.
Nous organisons la gestion en ce sens dès le départ. Non pas en ajoutant un formulaire par-dessus, mais en laissant la preuve naître du travail lui-même : qui a demandé le changement, qui l’a validé, quand il a été exécuté, quel était le retour arrière et s’il a servi. Ce n’est pas une charge supplémentaire ; c’est l’administration dont vous avez de toute façon besoin, sans que quelqu’un la tienne à part.
Ce que DORA vous demande
Le règlement sur la résilience opérationnelle numérique s’applique aux institutions financières de l’UE depuis janvier 2025 et déplace la discussion de la sécurité vers la résilience démontrable. Il faut savoir quels services informatiques sont critiques, qui les fournit, ce qui se passe si l’un tombe et si la reprise a déjà été testée. Vos prestataires en relèvent aussi : externaliser ne transfère pas la responsabilité.
Ce que nous faisons est concret. Nous fixons le délai de reprise par service, le testons et montrons le résultat ; nous tenons un registre de ce que nous exploitons pour vous et de son emplacement ; et nous veillons à ce que vous disposiez d’une sortie qui existe autrement que sur le papier. À côté de DORA il y a NIS2 et le RGPD, qui demandent en partie la même chose autrement. Nos propres processus sont couverts par ISO 9001, ISO/IEC 27001, ISO 14001 et Kiwa NEN 4400-1.
Les accès sont ici au plus strict
Qui peut atteindre quelles données n’est pas un réglage dans ce secteur, c’est une décision. Les droits suivent la fonction et non la personne, les droits élevés sont temporaires et non permanents, et chaque usage reste traçable. À l’arrivée et au départ, la rapidité compte : un compte encore actif après un départ est le constat qui revient le plus souvent, et le plus simple à éviter.
Ce que nous prenons en charge dans la finance
Vous choisissez ce dont vous avez besoin. Le tout sous un contrat, un rapport et un interlocuteur.
- Gestion des changements à double validationChaque changement en production a un demandeur et une seconde validation, une fenêtre consignée et un retour arrière prévu à l’avance.
- Une journalisation qui tient devant un auditTrace de qui a pu accéder à quoi, quand, et quels droits élevés ont servi, conservée et consultable sans recherche.
- Accès par rôle, temporaires quand c’est possibleLes droits suivent la fonction, les droits élevés valent pour une durée bornée, et les comptes ferment dès le départ d’un salarié ou d’un externe.
- Une reprise démontrableDes délais de reprise convenus par système, testés chaque année et dont le résultat est écrit, pour montrer sous DORA que cela fonctionne et pas seulement que cela existe.
- Vue sur votre chaîne informatiqueUn inventaire à jour de ce que nous exploitons pour vous, de son emplacement et de ce qui arrive si un élément tombe, dans une forme qui entre dans votre propre registre.
- Une sortie sans dépendanceDocumentation, mots de passe, licences et configuration vous appartiennent et vous suivent. Sous DORA, un plan de sortie qui fonctionne est une exigence, pas un souhait.
Comment nous reprenons un environnement financier
Prudemment et dans cet ordre, car ici une surprise pendant la transition devient un constat.
D’abord regarder, ne rien toucher
Nous observons, lisons les procédures existantes et les derniers constats d’audit, et recensons les changements en cours. Rien n’est touché tant que ce tableau n’est pas juste.
Consigner la chaîne et les cadres
Quels services informatiques sont critiques, qui les fournit, quel maillon est fragile et ce que demandent concrètement DORA, NIS2 et le RGPD. Cela fixe l’ordre du reste.
Convenir fenêtres, validations et délais
Quand un changement est permis, qui donne la seconde validation et quel délai correspond à quel service. Cela va dans un SLA en langage clair, avec une couverture 24h/24 si nécessaire.
Montrer plutôt qu’affirmer
Le rapport donne volumes, délais et causes récurrentes, et le test de reprise laisse un résultat écrit. Les deux servent à votre propre reddition de comptes.
Les services les plus sollicités ici
Ces briques reviennent le plus souvent dans un environnement financier.
Aller plus loin
Vous reconnaissez le tableau mais travaillez dans un autre secteur ? Regardez les autres.
Dites-nous quel constat vous ne voulez plus revoir
Nommez les systèmes critiques et les exigences auxquelles vous devez répondre. C’est autour de cela que nous construisons le processus de changement, la traçabilité et le test de reprise.