Règlement CIMA n° 010/2024 : où en êtes-vous ?

art. 3 et 4

Le conseil d'administration a-t-il approuvé une stratégie écrite en matière de TIC et de sécurité, avec les moyens et compétences nécessaires ?

À montrer : Un document de stratégie et le procès-verbal du CA qui l'approuve, un budget alloué.

art. 7

Une politique de sécurité de l'information, approuvée par le CA, est-elle en vigueur, diffusée au personnel et déclinée en procédures ?

À montrer : La politique, son approbation par le CA et la preuve de sa diffusion.

art. 8

La sécurité de l'information est-elle confiée à une personne désignée, indépendante de la DSI, qui rend compte au CA ?

À montrer : Une nomination écrite et des rapports de cette fonction au CA.

art. 14

Tout le personnel suit-il une formation à la sécurité, et les membres du CA une sensibilisation régulière ?

À montrer : Un programme de formation et des attestations de suivi, y compris pour le CA.

art. 5 et 16

Disposez-vous d'une cartographie à jour de vos processus, actifs et dépendances, avec une classification en confidentialité, intégrité et disponibilité ?

À montrer : Une cartographie, un inventaire des actifs avec leur propriétaire et leur classification.

art. 5

Les risques TIC sont-ils évalués régulièrement et avant chaque changement majeur, avec des résultats approuvés par le CA ?

À montrer : Une méthode d'analyse, des évaluations datées, un plan de traitement et son approbation par le CA.

art. 9 d et i

La double authentification est-elle imposée pour les accès à distance et les comptes administrateurs des systèmes critiques ?

À montrer : La configuration de l'accès distant et la liste des comptes protégés.

art. 9

Les droits d'accès suivent-ils le moindre privilège, sont-ils revus périodiquement et retirés rapidement au départ d'une personne ?

À montrer : Une procédure d'habilitation, les comptes rendus de revue d'accès, des retraits datés.

art. 9 e

Les activités des utilisateurs à privilèges sont-elles journalisées, protégées contre la modification et conservées au moins dix ans ?

À montrer : La politique de journalisation, la preuve d'inaltérabilité et la durée de conservation.

art. 10

Vos salles informatiques et locaux sensibles sont-ils protégés (accès, incendie, électricité, inondation), avec une revue régulière des accès ?

À montrer : Les procédures de sécurité physique et le registre des accès.

art. 11 et 16

Les correctifs de sécurité sont-ils appliqués selon un processus suivi, avec des configurations de référence et le remplacement des systèmes obsolètes ?

À montrer : Le suivi des correctifs, les référentiels de durcissement, le suivi des fins de support.

art. 11

Les données sensibles sont-elles chiffrées au repos et en transit, le réseau segmenté et les terminaux protégés ?

À montrer : La politique de chiffrement, le schéma de segmentation, la console de protection des postes.

art. 12 et 16

Une surveillance continue détecte-t-elle les activités anormales, avec une exploitation et une gestion des capacités documentées ?

À montrer : Les outils de détection, la procédure de traitement des alertes, les procédures d'exploitation.

art. 16

Vos sauvegardes sont-elles testées par des restaurations régulières, avec une copie hors du site principal et une copie dans l'espace CIMA ?

À montrer : La politique de sauvegarde, les tests de restauration datés, la localisation des copies.

art. 17

Un processus classe-t-il les incidents par gravité et informe-t-il la direction, le CA et, si nécessaire, les autorités ?

À montrer : La procédure de gestion des incidents, le registre, les rapports présentés au CA.

art. 13

Vos systèmes critiques font-ils l'objet d'un test d'intrusion chaque année par des testeurs indépendants, et d'analyses d'écarts régulières ?

À montrer : Les rapports de tests d'intrusion annuels et le cadre de test.

art. 6

Un audit externe de votre gouvernance et de votre sécurité TIC est-il inscrit au plan d'audit, avec transmission du rapport à la DNA et au Secrétariat général de la CIMA ?

À montrer : Le plan d'audit, la lettre de mission, les accusés de transmission.

art. 22 et 23

Une analyse d'impact sur les activités fixe-t-elle, par processus, les durées d'interruption et de perte de données admissibles ?

À montrer : L'analyse d'impact et les objectifs de reprise par processus.

art. 21 et 23 à 26

Votre plan de continuité, approuvé par le CA, couvre-t-il un scénario de cyberattaque et a-t-il été testé, avec les lacunes remontées au CA ?

À montrer : La politique et le plan de continuité, les comptes rendus de tests, le plan de communication de crise.

art. 18 à 20

Les projets, acquisitions et changements informatiques suivent-ils un processus qui évalue la sécurité, avec une production séparée du développement et des tests ?

À montrer : La méthodologie de projet, le processus de changement, le schéma des environnements.

art. 15

Votre système de gestion de l'activité d'assurance couvre-t-il les fonctionnalités minimales exigées (comptabilité, provisions, sinistres, états réglementaires, pistes d'audit…) ?

À montrer : La matrice de couverture fonctionnelle de votre logiciel métier.

art. 27

Les contrats de vos prestataires informatiques critiques prévoient-ils sécurité, droits d'audit, localisation des données, niveaux de service et notification d'incident, et surveillez-vous leur niveau de sécurité ?

À montrer : Les clauses de sécurité des contrats, les évaluations périodiques des prestataires.