NYDFS et la gestion des risques des tiers : Comment cela vous affecte

Melissa: Bonjour et bienvenue à tous. Je suis ravie de vous voir tous vous connecter. Je vais vous laisser une minute pendant que nous attendons que tout le monde s'installe et se connecte. En attendant, je vais lancer notre premier sondage. Il apparaîtra directement sur votre écran. Je suis curieuse de savoir ce qui vous amène à participer au webinaire d'aujourd'hui. Êtes-vous dans les premières étapes de votre programme TPR ? Peut-être êtes-vous un client actuel de Prevalent. Est-ce pour des raisons éducatives ? Peut-être aimez-vous simplement participer à des webinaires, c'est votre passe-temps, faites-le-moi savoir. Commençons rapidement par quelques présentations. Je m'appelle Melissa. Je travaille ici dans le développement commercial. Aujourd'hui, nous accueillons deux invités spéciaux. Alistister Parr, vice-président senior des produits et services mondiaux chez Prevalent, et Thomas Humphre, expert en solutions et gestionnaire de contenu. Bonjour à tous.

Alistair: Bonjour. Merci de nous accueillir. Melissa: Oui, bien sûr. Nous avons également avec nous Scott Lang, notre vice-président du marketing produit. Bonjour, Scott. Scott: Bonjour Melissa, comment vas-tu ? Melissa: Bien. Aujourd'hui, Thomas et Alistair vont vous parler du NYDFS, de la gestion des risques liés aux tiers et de son impact sur vous. Pour information, ce webinaire est enregistré, vous le recevrez donc avec le diaporama peu après la fin du webinaire. Vous êtes tous en mode silencieux. Utilisez donc le chat si vous avez besoin de communiquer quelque chose qui n'est pas une question pour la boîte de questions-réponses. Sans plus attendre, je laisse la parole à Thomas et Alistair. Allez-y, les gars.

Alistair: Merci beaucoup. Et juste pour rappeler, si vous avez des questions auxquelles vous aimeriez que nous répondions et que nous intégrions à notre conversation, n'hésitez pas à nous les poser. Je préfère les questions-réponses au chat, car elles ont beaucoup plus de chances de nous parvenir et nous essaierons de les intégrer au fur et à mesure. Merci beaucoup de vous joindre à nous aujourd'hui. Pour ceux qui ne nous connaissent pas encore, je me présente : je m'appelle Alistair Parr. Je suis vice-président directeur des produits et services chez Prevalent. Pourquoi suis-je personnellement qualifié pour vous parler de ce sujet ? J'ai eu le plaisir d'effectuer des audits pendant près d'une décennie, en particulier dans le domaine des programmes de gestion des risques liés aux tiers. J'ai été exposé à des centaines de programmes de cycle de vie de tiers et je suis aujourd'hui accompagné par l'illustre Thomas Humphre Thomas. Pourquoi êtes-vous qualifié pour nous parler aujourd'hui de mon DFS ?

Thomas: Bonjour Alistair, bonjour à tous. Je suis responsable du contenu chez Prevalent, j'aide donc à concevoir et à mettre en œuvre des évaluations selon divers normes et cadres, notamment en matière d'information, de cybersécurité et de confidentialité. Il s'agit notamment des normes ISO, NIST, RGPD et bien sûr NYDFS. Avant cela, j'ai été auditeur ISO pendant près de 10 ans. Donc, oui, j'ai réalisé de nombreuses évaluations couvrant de nombreuses normes et cadres différents. Alistair: Merci beaucoup, Thomas. Aujourd'hui, nous allons tous avoir le plaisir d'interroger Thomas et d'obtenir des informations spécifiques sur le NYDFS. Mais les points que nous allons aborder plus en détail, nous allons présenter le NYDFS dans le sens du NYCR 500, ce que cela signifie. Nous verrons comment identifier et classer les prestataires de services tiers spécifiques au cadre. Nous examinerons l'application de la diligence raisonnable lors de l'évaluation des tiers, puis nous passerons à la continuité. Comment la maintenir dans le temps ? Comment se concentrer sur la résilience et la reprise, et plus particulièrement sur les exigences en matière de signalement des incidents ? Thomas, pour commencer, n'hésitez pas à nous donner quelques informations.

Thomas: Oui, tout à fait. Euh, et oui, bienvenue à tous au webinaire d'aujourd'hui. Donc, pour ceux d'entre vous qui ne connaissent pas le cadre de cybersécurité du NYDFS, j'entrerai dans les détails un peu plus tard, mais je pense qu'il vaut la peine d'aborder brièvement le sujet et peut-être de prendre un peu de recul pour examiner ce qui se passe non seulement à New York, mais aussi dans l'ensemble du secteur financier. Hum, si vous repensez aux deux ou trois dernières années, vous constaterez une augmentation continue de nombreuses menaces différentes, principalement des menaces cybernétiques. Hum, et celles-ci ne cessent de croître. Nous avons vu de nombreuses organisations, telles que le FMI, souligner leurs préoccupations quant à la nécessité de mettre davantage l'accent sur l'application des meilleures pratiques en matière de sécurité. Selon les rapports, près de 20 %, soit un peu plus de 20 % des cas de phishing, concernaient le secteur financier en 2021. Les menaces liées aux ransomwares ont augmenté d'année en année. Et si l'on regarde la période allant du début de l'année 2020 jusqu'à 2022, voire jusqu'au début de cette année, le volume d'attaques très médiatisées et notables, telles que Solar Winds, log 4J et d'autres menaces ciblées, a eu un effet domino et causé des dommages en cascade tout au long des chaînes d'approvisionnement. Et cela a notamment eu un impact sur le secteur financier. On a constaté une augmentation des attaques basées sur le web, des injections SQL, des scripts intersites, des attaques ciblées sur les sites web d'entreprises et les systèmes web, et tout ce qui permet d'implanter des codes malveillants à un niveau ciblé. Et bien sûr, nous assistons à une tendance à la hausse du volume de la chaîne d'approvisionnement, à l'augmentation de la chaîne d'approvisionnement et à la dépendance vis-à-vis des fournisseurs. Alors, qu'est-ce qui cause cette augmentation des cybermenaces ? Eh bien, il y a plusieurs domaines différents dont nous pouvons discuter. Le plus pertinent à souligner est peut-être le concept de transformation numérique. Ce n'est pas un sujet nouveau, loin de là. Il existe depuis près de 10 ans, voire un peu plus. Mais comme nous voyons les organisations financières consacrer plus de temps et d'argent à investir dans de nouvelles technologies, de nouvelles applications, de nouveaux systèmes et de nouvelles solutions, cela a accru la dépendance à l'égard de toutes ces différentes technologies et, par conséquent, la dépendance à l'égard de l'utilisation de multiples tiers. Nous constatons donc cet effet d'exposition et de plus grande vulnérabilité à des menaces telles que le phishing, les ransomwares et d'autres attaques. Et cela est de nature très cyclique, car cela augmente également la visibilité sur l'ensemble de la chaîne d'approvisionnement. Et si l'on regarde en arrière, comment sécurisons-nous notre parcours vers la transformation numérique et augmentons-nous les investissements et l'application des technologies et des services technologiques ? Il y a donc de nombreuses menaces qui augmentent de manière significative et qui justifient certainement que de nombreux régulateurs et organisations importants, notamment mon DFS, intensifient leurs efforts et mettent la cybersécurité au premier plan.

Alistair: Je pense qu'il est important de noter, Thomas, avant que vous n'entriez dans les détails concernant la réglementation, que je comprends qu'elle soit très axée sur le cyberespace, mais pour l'information de tous, nous observons de nombreuses tendances intéressantes qui font l'objet d'une attention particulière. Le cyberespace est bien sûr un élément central, comme vous pouvez vous y attendre, mais l'attention accrue, comme vous l'avez peut-être constaté dans certaines de nos autres sessions de webinaires, porte sur des sujets tels que l'ESG, par exemple, qui est relativement d'actualité, la résilience de la chaîne d'approvisionnement au sens large et, bien sûr, la confidentialité dans de nombreux domaines. Ce n'est qu'un aspect parmi d'autres de la transformation numérique plus large que nous observons dans ce domaine, où les gens commencent à s'intéresser de plus près aux événements géopolitiques, par exemple, ou aux événements environnementaux qui se produisent ou qui ont un impact sur la chaîne d'approvisionnement. C'est donc très intéressant, mais pour ce qui est du thème abordé aujourd'hui par le NYDFS, Thomas, pourriez-vous nous donner un aperçu de la réglementation elle-même et de ses objectifs ?

Thomas: Absolument. Commençons par une introduction générale. J'utilise le terme NYDFS. Vous verrez un nouveau terme apparaître ici. Nous adorons les acronymes, surtout ceux d'entre nous qui ont déjà participé à un webinaire très populaire. Nous examinons actuellement la réglementation 23 NYC RR500. Le NYDFS est le département de l'État de New York chargé de gérer, de distribuer et de veiller à ce que les réglementations soient appliquées de manière appropriée et correcte. Mais le NYCRR est en réalité le code des règles et réglementations de New York, et c'est cette partie du cadre qui traite de la cybersécurité. Il s'agit donc d'une réglementation appliquée par le NYDFS, dont l'objectif est de fournir une approche assez normative, mais structurée, permettant aux organisations d'appliquer les meilleures pratiques en matière de cybersécurité. Comme vous le verrez dans les diapositives à venir, il existe de nombreux contrôles différents dans de nombreux domaines, dont certains seront peut-être très similaires à ceux des organisations, car, comme nous le verrons à travers des exemples tels que l'IDFS. Lorsque des organismes de réglementation tels que le NYDFS élaborent ces cadres, ils se concentrent toujours sur les meilleures pratiques, non seulement dans leur secteur, mais aussi dans les secteurs plus larges et dans le domaine de la cybersécurité. Il existe donc de nombreux points communs entre les ensembles de contrôles et les attentes de la réglementation NYCR 500 et celles de l'ISO, du NIST et d'autres normes non réglementaires, mais qui constituent les meilleures pratiques. Il s'agit donc à la fois de contrôles de gouvernance et de contrôles opérationnels, que nous allons détailler dans un instant. Mais l'accent est surtout mis sur la validation de ces exigences, qui constituent les meilleures pratiques que nous demandons aux entreprises d'appliquer. Et si elles sont appliquées correctement, cela devrait constituer une bonne démonstration de votre posture globale en matière de sécurité. Bien sûr, je parle ici d'un point de vue singulier en termes d'application de la réglementation par une organisation. Mais comme nous le verrons aujourd'hui, il existe également un lien très fort et des attentes quant à la manière dont vous appliquez ce cadre à vos tiers et à la chaîne d'approvisionnement au sens large. Alistair: Intéressant. Alors, Thomas, voyez-vous des facteurs particuliers qui expliquent pourquoi vous constatez cette attention accrue dans divers règlements et cadres politiques spécifiques ? Euh, envers la chaîne d'approvisionnement. Il a évidemment évoqué le fait qu'auparavant, il y avait une augmentation des cyberattaques, mais euh, y a-t-il des facteurs réels qui vous ont amené à vous concentrer sur la résilience des tiers et les risques liés à la chaîne d'approvisionnement ?

Thomas: Question intéressante. Donc oui, comme vous l'avez mentionné, l'un des moteurs sera toujours, bien sûr, l'apparition de nouvelles menaces et l'augmentation importante des menaces telles que le phishing et le volume des ransomwares. Mais c'est aussi... Nous constatons généralement que c'est là que la transformation numérique entre en jeu de manière assez claire, car en dehors de... Si vous retirez la cybersécurité de l'équation et que vous vous concentrez uniquement sur la chaîne d'approvisionnement, où il existe un besoin beaucoup plus important d'interopérabilité entre les organisations financières, par exemple, et où il est nécessaire d'avoir un environnement plus ouvert et une société plus ouverte, ce que nous avons bien sûr constaté assez rapidement. Si vous regardez les deux dernières années et l'un des effets compensatoires de la pandémie en 2020, qui a entraîné une forte augmentation des capacités des institutions financières et de leurs clients à interagir avec leurs clients de manière plus efficace et plus fluide. Et bien sûr, cela a toujours conduit et conduira toujours à une ouverture de la chaîne d'approvisionnement et à la recherche et à l'interaction avec davantage de fournisseurs. Mais comme vous l'avez indiqué, Alistair, l'une des autres conséquences de cela, en dehors de la cybersécurité, bien sûr, est de se pencher sur d'autres domaines qui deviennent beaucoup plus d'actualité, tels que l'ESG et la provenance des produits et services utilisés par les organisations financières.

Alistair: Merci Thomas. Pouvez-vous m'en dire plus sur cette réglementation ? Thomas: Oui. Comme je l'ai mentionné au début, cette réglementation concerne évidemment New York et l'État de New York, ainsi que les organismes financiers qui sont basés et opèrent dans cet État. Cependant, il est important de noter que, dès le départ, le NY DFS a prévu certaines exemptions, dont le but n'est pas de dire que vous n'avez pas à vous conformer à certains aspects de la réglementation, mais que, compte tenu du type d'organisation que vous êtes, il peut y avoir une réduction du type et du volume des contrôles. Ainsi, si nous regardons à gauche, les organisations qui comptent moins de 10 employés, moins de 5 millions de dollars de chiffre d'affaires brut et moins de 10 millions d'actifs à court terme, et en bas, les organisations qui n'ont aucun contrôle ou accès aux systèmes d'information, aux informations non publiques, en regardant à droite, n'ont pas besoin de se conformer à ces contrôles. Donc, si vous regardez au niveau supérieur, elles n'ont pas besoin d'un CESO officiel. Il y a des aspects liés à la sécurité des applications, à la traçabilité des audits, à la formation et à la surveillance qui ne sont pas officiellement applicables. Qu'est-ce que je veux dire par là ? Elles peuvent toujours les mettre en œuvre en tant que cadre de bonnes pratiques et en tant que méthodologie et approche globales de bonnes pratiques. Mais cela signifie, d'un point de vue réglementaire et lors de la validation auprès du régulateur lui-même, qu'elles n'ont pas besoin de fournir la preuve qu'elles disposent d'un CESO et qu'elles satisfont aux exigences liées à la fonction globale de gestion de la cybersécurité dans l'entreprise. Donc oui, le NIDFS a établi une série d'exemptions qui sont toujours en vigueur aujourd'hui, lorsque nous examinons les règles proposées, ce sur quoi je reviendrai dans un instant, car il y a eu récemment des propositions de mise à jour du cadre qui devraient entrer en vigueur plus tard cette année.

Melissa: Salut Thomas, j'ai une petite question rapide. Peux-tu confirmer que ces exceptions concernent l'entité et non nos fournisseurs tiers ? Thomas: Elles concernent les entités répertoriées par le NYDFS comme entités couvertes. C'est exact. Oui. J'aurais dû le mentionner. Toutes mes excuses. Comme toutes les bonnes réglementations et tous les bons cadres réglementaires, le NYDFS définit clairement certains termes. L'un d'entre eux est celui d'« entité couverte ». Ce sont ces organisations qui bénéficient de ces exemptions.

Thomas: Euh, oui. Melissa: C'est tout. Merci. Alistair: Merci, Thomas. Et pour compléter cela, sachez qu'il y a quelques changements proposés, notamment en ce qui concerne les obligations de déclaration élargies, etc. Nous y reviendrons plus en détail un peu plus tard. Merci. N'hésitez pas à continuer à poser des questions. Thomas, pourriez-vous expliquer les différences entre les contrôles de gouvernance et les contrôles opérationnels ? Thomas: Absolument. Nous allons maintenant entrer dans les détails de la structure du NYDFS en tant que cadre. Comme vous pouvez le voir à l'écran, il y a 17 points différents. Chacun de ces points représente un ensemble de contrôles différent. Cela va des programmes et politiques de cybersécurité aux contrôles couvrant la gestion des actifs, la continuité des activités, un domaine que nous aborderons plus tard dans la journée, ainsi que les contrôles opérationnels ou techniques, si vous voulez, autour de la gestion des vulnérabilités et des tests de pénétration, l'utilisation des applications, la gestion de l'accès aux systèmes, le cryptage et bien d'autres choses encore. Il est important de noter que je les ai spécifiquement regroupés de cette manière car, étant donné que le NYDFS met fortement l'accent sur la création d'une approche structurée ou d'un système de gestion structuré, si vous voulez, lors de l'élaboration ou de la mise en œuvre des exigences du NYDFS, en adoptant une approche globale de gouvernance. Je pense donc qu'une approche raisonnable consiste à élaborer des politiques et des processus, à mettre en place des évaluations de la gestion des risques, puis à examiner les contrôles techniques et opérationnels qui peuvent compléter ces contrôles de gouvernance. Vous avez peut-être remarqué que quatre domaines particuliers sont mis en évidence en gras, et c'est là que les propositions interviennent. Il s'agit de quatre domaines dans lesquels la formulation du sujet des domaines de contrôle a effectivement changé. Par exemple, dans le cas présent, sous 500.04, nous examinons le poste de responsable de la sécurité des systèmes d'information. Cela a maintenant changé pour devenir la gouvernance de la cybersécurité et, encore une fois, je souligne certaines des modifications proposées qui expliquent que oui, les responsables de la sécurité des systèmes d'information sont importants et qu'ils assurent la supervision générale et la ligne hiérarchique au sein d'une organisation, mais l'accent est davantage mis sur le recours à la haute direction et à la direction du conseil d'administration si cela est approprié pour l'organisation. Nous constatons donc que l'accent est beaucoup plus mis sur l'extension de bon nombre de ces contrôles. Et dans le même ordre d'idées, la réponse aux incidents et la continuité des activités. Ce n'est pas que ces sujets n'étaient pas présents dans la version actuelle, mais ils ont simplement été élargis. Si vous voulez bien cliquer une fois de plus, je crois qu'une petite animation devrait apparaître. Oui. Il convient également de noter ce point. J'ai expliqué dans la diapositive précédente qu'il existe certaines exemptions en fonction du type d'organisation. Si vous ne détenez pas d'informations non publiques, par exemple, ou de systèmes d'information, il existe une autre règle concernant le concept des entreprises dites de classe A et, comme vous pouvez le constater, elle va presque à l'autre extrême. Ainsi, les organisations dont le chiffre d'affaires dépasse 20 millions de dollars américains et qui comptent plus de 2 000 employés sont soumises à des règles et contrôles supplémentaires. Pour vous donner un exemple, elles doivent faire appel à un auditeur indépendant chaque année pour évaluer leur application du NYDFS. Encore une fois, il est intéressant de voir où elles maintiennent ces exceptions pour dire que nous comprenons les entreprises de cinq employés ou moins qui ont très peu ou pas d'interaction avec des systèmes d'information sensibles. Certaines de ces règles peuvent être trop contraignantes pour elles. Nous avons donc besoin d'un ensemble de contrôles plus consolidé. À l'autre extrême, pour les grandes organisations, il s'agit de contrôles supplémentaires que nous devons leur imposer. Il y a donc beaucoup de changements, beaucoup de similitudes avec la structure et l'objectif du NYDFS, mais il y a des moments passionnants en termes de type de contrôles qu'ils mettent en place et qu'ils développent.

Alistair: Thomas, l'une des choses que j'ai trouvées particulièrement intéressantes, c'est que lorsque les gens ont soulevé certaines de ces propositions de changements, notamment en ce qui concerne l'élargissement des obligations de déclaration, ils se sont inquiétés de la manière dont les gens allaient pouvoir déclarer efficacement, par exemple, imaginons qu'une obligation de 72 heures soit proposée en cas d'accès à un compte privilégié par un utilisateur non autorisé ou d'événements ayant entraîné un ransomware, voire, dans certains cas, une extorsion et des paiements, les gens s'inquiètent de la manière dont ils vont pouvoir respecter ces obligations. Ce que j'ai trouvé assez intéressant, c'est qu'il y a un certain parallèle avec ce que nous avons observé dans le domaine de la protection de la vie privée, où des obligations de déclaration ont été imposées, par exemple dans le cadre du RGPD. Au départ, cela a suscité une certaine controverse et des inquiétudes quant à la manière dont cela serait appliqué, mais très rapidement, nous avons vu le secteur et les mécanismes réagir en conséquence pour s'assurer que les gens soient en mesure d'identifier ces incidents et événements en temps utile. Nous avons ensuite commencé à intégrer cela dans les contrats des fournisseurs en aval respectifs, de sorte que si, par exemple, un tiers était victime d'un incident et qu'une entité couverte devait réagir en conséquence, les mécanismes soient en place tant sur le plan contractuel que technologique afin de pouvoir prendre en charge cette situation. Il y a donc eu des discussions intéressantes liées aux modifications proposées. Je suis sûr que vous avez constaté la même chose.

Thomas: Absolument. Et c'est vrai, c'est toujours l'un des domaines clés auxquels nous sommes confrontés. Je sais que ce n'est pas seulement pour cela, mais aussi pour d'autres choses que vous avez mentionnées. Si vous considérez la confidentialité dans son ensemble, comme le RGPD et même la récente CPA en Californie avec la nouvelle loi sur les droits à la vie privée, etest évidemment important pour les régulateurs eux-mêmes et je pense que, dans l'ensemble, ils en tiennent compte en termes de notifications pour répondre au régulateur, en particulier lorsqu'il s'agit de violations de données et de la diversité des types d'organisations avec lesquelles ils traitent. Donc, beaucoup de ces éléments sont pris en compte et il est important de le noter. Donc oui,

Alistair: fantastique. Thomas: Pour l'avenir, j'ai mentionné qu'il y avait eu quelques changements. Je vais aborder brièvement certains des domaines les plus pertinents. J'ai identifié trois changements clés. Le premier, que j'ai intitulé « élaboration de politiques et de processus », le deuxième, « renforcement du contrôle opérationnel », et le troisième, « incidents et continuité des activités ». Tous ont pour objectif global d'améliorer et de renforcer les concepts de bonnes pratiques en matière de sécurité. Commençons donc par le premier volet, qui concerne l'élaboration de politiques et de processus. Il a toujours été nécessaire de disposer d'une politique de sécurité au sein du NYDFS, qui a souvent répertorié toute une série de politiques, allant du contrôle d'accès à la gestion des actifs, par exemple, en passant par la politique en matière d'incidents, etc. Et nous avons constaté une nouvelle augmentation, ou ce qui semble être une augmentation, grâce à la modification proposée, non pas en termes de volume de politiques et de procédures ou de documentation procédurale, mais en termes d'améliorations apportées à ces documents. Pour vous donner un exemple, la gestion instantanée et la continuité des activités sont restées dans la réglementation actuelle. Elles ont été élargies pour inclure leur propre ensemble de contrôles prescriptifs, la manière dont un plan de continuité est réellement élaboré et les aspects clés qui doivent être couverts. De même, pour la gestion des actifs, par exemple, une amélioration de la politique et la nécessité pour celle-ci d'inclure les produits en fin de vie, par exemple ce qu'il advient d'un actif en fin de vie et comment il est éliminé de manière appropriée. Il y a donc eu une augmentation de la gouvernance à partir du concept de politique et de processus, euh, avant d'examiner les contrôles techniques, les contrôles opérationnels améliorés, et j'ai mentionné trois aspects clés ici : l'authentification des actifs et la surveillance des menaces. Encore une fois, ce sont des domaines qui existaient déjà dans le cadre actuel, mais qui ont été élargis etont été apportés des ajustements à certains d'entre eux, dans certains cas de manière assez significative. Prenons l'exemple de l'authentification. Au cours des deux ou trois dernières années, le NYDFS a constaté qu'un contrôle qu'il avait remarqué n'était pas suffisant et n'était pas suffisamment mis en œuvre par de nombreuses entreprises, à savoir l'authentification multifactorielle. Il existe désormais un contrôle distinct axé uniquement sur l'authentification multifactorielle, et cet aspect est inclus et élargi dans les composants de contrôle d'accès du NYDFS. Il a donc été jugé nécessaire de renforcer les exigences relatives à la manière dont l'authentification multifactorielle est développée ou aux moments du processus ou du système où elle est utilisée. Dans le même ordre d'idées, la surveillance des menaces et la fréquence à laquelle les évaluations de vulnérabilité et les tests de pénétration sont effectués. Enfin, comme nous le verrons dans quelques instants, il y a eu une expansion, et une expansion assez importante, autour de la réponse aux incidents, de la gestion des incidents et du cycle de vie complet de la continuité des activités et de la reprise après sinistre, du processus de planification et des tests. Ce qui est intéressant dans ces trois aspects, c'est que chacun d'entre eux a été amélioré dans une certaine mesure du point de vue des tiers. Par exemple, la manière dont la politique des tiers est requise et ce qui est requis dans le cadre de cette politique, la relation entre vos tiers et certains contrôles techniques, ainsi que le niveau de réponse qu'un tiers doit vous fournir s'il subit un incident ou un événement qui l'obligerait à mettre en œuvre un plan de continuité, par exemple. Il existe donc un lien étroit avec la gestion des tiers dans chacun de ces trois changements.

Alistair: Je comprends qu'il y ait quelques changements importants qui vont vraiment avoir un impact sur la façon dont les gens réagissent. Thomas, d'après ce que vous avez vu avec MIDFS dans le passé. Je comprends que le processus de consultation visant à recueillir des commentaires se poursuive jusqu'en janvier. Avez-vous une idée, non pas que nous allons vous demander des comptes ici, mais avez-vous une intuition quant à la date à laquelle les gens s'attendent à ce que cela soit mis en œuvre ? Thomas: Oui. En général, lorsqu'ils passent par ces processus, ils donnent une indication, ils le font toujours en jours. Je pense que c'est 180 jours ou 6 mois à compter de la date de modification. Et la date de modification était vers octobre 2022. Je pense donc que nous nous situons entre les prévisions actuelles, car la consultation s'est terminée fin janvier, et si ce calendrier est correct, nous nous situons entre avril et mai de cette année. Ce n'est donc pas trop loin, deux mois environ. Mais oui, la phase de consultation est désormais terminée depuis fin janvier. Ce qui signifie également que nous ne devrions pas nous attendre à des changements significatifs autres que ceux qui figurent déjà dans la proposition.

Alistair: Donc, Thomas, votre recommandation générale serait-elle de commencer par nous assurer que nous disposons des mécanismes de contrôle appropriés pour pouvoir intégrer le projet actuel tel qu'il se présente actuellement, sous une forme ou une autre ? Thomas: Absolument. Oui. Je veux dire qu'une fois que l'on en est à ce stade, il y a, comme on dit, une fois qu'il y a eu, euh, l'amendement, le processus de révision est maintenant clos, c'est donné que nous savons que nous sommes à deux ou trois mois, c'est le moment idéal pour commencer à examiner ces changements, à évaluer leur importance, à examiner l'écart entre ce que vous avez actuellement et ce qui doit être modifié, et à examiner les domaines les plus importants qui ont changé, tels que la continuité des activités. Donc oui, je pense que c'est le moment opportun pour commencer à apporter ces ajustements ou, au moins, pour mener ces examens afin de comprendre l'importance de ces écarts par rapport à ce que vous faites actuellement.

Alistair: C'est logique. Dans cette optique, comment pouvons-nous commencer à identifier et à classer les prestataires de services tiers ? Une question qui nous a été posée à plusieurs reprises est la suivante : comment prendre en compte les grandes entreprises SAS, qui sont généralement moins réticentes à partager et à autoriser des activités telles que les tests d'intrusion sur site ? Thomas: Oui, c'est toujours un casse-tête. C'est toujours un scénario qui provoque un peu de consternation lorsqu'il s'agit de ces très grandes organisations. Euh, euh, et les fournisseurs de cloud sont toujours un bon exemple de cela. J'y reviendrai dans un instant. Donc oui, si vous y réfléchissez dès le début du processus, il est évident que nous devons comprendre nos tiers. Nous devons être en mesure d'identifier qui sont nos tiers, ce qu'ils font, où ils se trouvent géographiquement, leur taille, leur complexité, leur degré d'implication. Donc, évidemment, du point de vue des MIDFS, nous nous demandons peut-être s'ils ont accès à des informations ou à des systèmes d'information non publics. Quel type de services offrent-ils qui pourraient être considérés comme essentiels à la réalisation de notre objectif final en tant qu'entreprise ? Il s'agit donc d'identifier chaque tiers individuellement et de commencer à établir leur profil. Comprendre les volumes de données qu'ils traitent, leur emplacement géographique, la taille de leur organisation. S'agit-il de fournisseurs uniques ? C'est souvent un aspect assez critique à souligner et à prendre en compte. Toutes ces informations permettent de dresser un tableau de la situation de vos tiers et commencent à nous aider à définir notre approche pour les évaluer ou pour interagir avec eux afin de comprendre les contrôles que nous devons leur imposer ou les évaluer par rapport au cadre NYDFS. L'un des aspects clés de cette démarche est bien sûr les relations. Il faut commencer à réfléchir à la chaîne d'approvisionnement, à établir des liens entre tous ces différents fournisseurs et à prendre conscience de la complexité de la chaîne d'approvisionnement. Et bien sûr, pour ce faire, il faut utiliser certaines des informations basées sur les profils. Une fois que nous en sommes arrivés au stade où nous savons qui sont nos fournisseurs, nous connaissons leur taille, leur nombre, nous savons où ils se trouvent et le type de produits et de services qu'ils nous fournissent, nous pouvons alors, espérons-le, commencer à examiner comment classer ces organisations. Ainsi, les organisations qui détiennent des informations ou des données très sensibles, par exemple, détiennent peut-être de grands volumes de documents financiers qui nous aident à les traiter. Nous souhaitons naturellement les classer comme des tiers critiques de niveau 1, priorité 1, par opposition à d'autres organisations qui nous fournissent des services de conseil, peut-être sur place, dans nos locaux. Mais en fonction de la complexité de l'activité, elles pourraient se retrouver plus bas dans la chaîne des fournisseurs classés par niveau. Donc, niveaux 3, 4, 5 si nécessaire. Alistair: Excusez-moi. Excusez-moi. Une petite question. Je comprends donc que la gestion pragmatique et proportionnée des risques basée sur le profilage et le tarage est pratiquement la norme dans le secteur à cet égard. Quelle marge de manœuvre et quelle flexibilité le NYDFS accorde-t-il pour comprendre comment les contrôles compensatoires peuvent répondre à d'autres exigences ? Par exemple, ils peuvent répondre à la plupart des exigences fondamentales, mais disons qu'il y a une ou deux lacunes qui pourraient ne pas être applicables sur la base du profilage et du tarage. Les contrôles compensatoires peuvent-ils pallier cela ?

Thomas: Euh, dans une certaine mesure, oui. Cela dépend du type de contrôle. Euh, le NYDFS précise clairement, dans de nombreux cas, quand il peut considérer qu'un contrôle compensatoire est une couverture adéquate pour quelque chose qui aurait été plus idéal. Il existe toujours une exigence de reconnaissance formelle et de signature du point de vue de la gouvernance. Avant la proposition, l'accent était mis sur le PDG et sur la nécessité de s'assurer qu'il avait fait preuve de la diligence requise et exercé une surveillance adéquate pour garantir que ces contrôles étaient suffisants et correctement appliqués. Et oui, je ne vois pas cela changer dans la proposition.

Alistair: Intéressant. Merci. Donc, lorsqu'il s'agit de mettre en place des mesures correctives proportionnées basées sur une efficacité contrôlée, est-ce que nous partons du principe que nous avons un ensemble d'obligations à respecter de ce point de vue et que nous devons commencer à suivre tous les commentaires ou observations que nous faisons ? Comment voyez-vous l'application de la diligence raisonnable ? Thomas: Oui, je pense qu'il y a ici quelques points clés, et c'est là que la réglementation du NYDFS et certains contrôles réglementaires deviennent très pertinents et essentiels. Donc, lorsque vous réfléchissez au niveau supérieur à l'application du journal et à l'évaluation par tiers, par où commencer et par quoi commencer ? Il faut toujours commencer par comprendre quel est votre risque tiers. Nous avons maintenant abordé le concept de la constitution d'un tableau de nos tiers et, encore une fois, nous avons souligné la nécessité de développer un cadre clair de gestion des risques, comme le suggère le NYDFS. Cela fournit une structure claire en termes de risques liés aux tiers qui doivent être gérés, identifiés, enregistrés et continuellement revus. C'est vraiment la première étape pour identifier ce sur quoi nous devons nous concentrer lorsque nous examinons nos tiers, car une fois que nous avons identifié ces risques, une fois que nous avons mis en place un programme pour les saisir, nous pouvons alors commencer à examiner quels sont les contrôles les plus appropriés, non seulement du point de vue de la gouvernance, mais aussi du point de vue de la surveillance, que nous devons imposer à nos tiers. Quand je parle d'imposer à nos tiers, cela signifie à la fois d'un point de vue contractuel et en leur disant que ce sont des attentes que nous voulons qu'ils mettent en œuvre en fonction de ce qu'ils nous fournissent, mais aussi que la diligence raisonnable continue, l'examen continu, l'audit et la surveillance des performances permettent de s'assurer que les contrôles exigés par le NYDFS et nécessaires pour aider à traiter ces risques sont bien mis en œuvre de manière appropriée. Et bien sûr, la nature cyclique de ce processus contribue évidemment à créer des opportunités d'amélioration et à reconnaître les faiblesses potentielles, qu'il s'agisse de faiblesses plus générales du programme d'une partie d'un point de vue organisationnel ou de l'amélioration de la posture de sécurité de ces tiers.

Thomas: Plus précisément. Thomas: Oui. Donc, en dehors de cela, une fois que nous avons passé en revue le processus d'évaluation des risques et que nous connaissons le type de contrôles que nous devons aborder avec le tiers, il y a d'autres questions que nous devrions nous poser. Et là encore, comme vous pouvez le voir, j'ai mis en évidence cinq domaines de contrôle individuels. Ces cinq domaines de contrôle représentent des avis avec des tiers. C'est-à-dire qu'il existe des exigences qui impliquent une interaction avec le tiers à un certain niveau. Il est donc toujours important de se demander ce que nous recherchons et ce que nous devons demander au tiers avant de nous engager avec lui et lorsque nous commençons à formaliser ces contrats et accords. Tout d'abord, dans quelle mesure les tiers vont-ils être impliqués dans nos produits et services ? Est-ce que nous externalisons une composante ou une fonction importante à un tiers ? Transférons-nous des ensembles de données et d'autres informations à cette organisation pour qu'elle les gère ? Existe-t-il une dépendance vis-à-vis du tiers en matière de pratiques de cybersécurité ? Le concept d'externalisation n'est pas nouveau au NYDFS. Et en particulier pour les petites organisations, nous considérons qu'il est très courant de faire appel à des professionnels de la cybersécurité, à des organisations professionnelles et à des cabinets de conseil, voire d'externaliser le rôle de directeur informatique pour les entreprises. C'est quelque chose qui était tout à fait pertinent dans le cadre actuel. Et bien sûr, cela soulève toute une série de nouvelles questions pour s'assurer que, encore une fois, le MIDFS insiste clairement sur le fait que lorsqu'il y a un certain niveau d'externalisation ou de dépendance, en particulier en matière de meilleures pratiques de sécurité ou de conseil, vis-à-vis d'un fournisseur tiers ou d'un tiers, ils continuent à respecter les exigences du MIDFS. Il ne s'agit pas tant de dire que nous leur transmettons toutes ces informations ou que nous laissons un tiers gérer cela pour nous afin de ne rien avoir à faire. La norme insiste donc fortement sur le fait que, s'il y a beaucoup d'externalisation et de dépendance vis-à-vis de tiers, vous devez toujours faire preuve de diligence raisonnable à leur égard et vous assurer qu'ils respectent le MIDFS. Et enfin, bien sûr, le tiers interagit-il avec des systèmes et des informations critiques ? Il y a donc quelques questions cruciales à poser lorsque vous vous lancez dans cette aventure, mais aussi régulièrement lorsque vous collaborez avec le tiers, afin de vous assurer que les meilleures pratiques prescrites par le NYDFS sont respectées de manière suffisante et correcte. Vous avez peut-être remarqué, dans la dernière diapositive, qu'il existait un contrôle particulier, le 500.11, axé sur la politique de sécurité des informations des tiers. C'est là que le cadre décompose réellement les différents éléments de la mise en place d'une diligence raisonnable vis-à-vis des tiers. Passons à la diapositive suivante, qui aborde quatre domaines clés. Identification et évaluation des risques pour chaque tiers. Pratiques de cybersécurité ou meilleures pratiques minimales. Diligence raisonnable pour évaluer l'adéquation de ces pratiques de cybersécurité et évaluations périodiques à effectuer pour chaque tiers. Excusez-moi.

Alistair: Oh, Thomas, Thomas: comme vous pouvez le voir, il y a euh oui, ce sont quatre domaines clés de la politique de sécurité qui euh ont été euh ils existent actuellement dans la version actuelle de mon DFS. Ils ont été considérablement développés dans la version proposée, mais celaCela souligne vraiment l'ensemble du processus par étapes que j'ai identifié en termes de risques compréhensibles pour l'organisation, euh, euh, lorsque vous examinez le NYDFS à partir de, euh, chaque clause de contrôle, qui sont les pratiques de sécurité les plus pertinentes qui doivent être mises en œuvre chez un tiers, puis les types de diligence raisonnable, qu'il s'agisse d'audits, d'évaluations proactives, d'examens de performance, et tout cela souligne alors les programmes plus larges de gestion des risques liés aux tiers.

Alistair: J'ai donc une question, Thomas, qui est Thomas: Oui Alistair: liée à ces questions liées à la politique de sécurité. Je comprends qu'il s'agit davantage d'un document normatif qui décrit ce que nous allons faire à un niveau élevé et qui tend à être complété par le processus, puis par la démonstration que le processus est suivi. Donc, si nous cherchions à nous auto-évaluer dans cette perspective, quel type de preuve serait acceptable pour démontrer la conformité aux déclarations générales de la politique ? Thomas: Oui. Donc, euh, si l'on se réfère uniquement à la politique de sécurité des tiers, euh, il y a quelques points clés à retenir ici. Comme vous l'avez dit, oui, cela semble très axé sur la question de savoir si vous disposez d'une politique qui définit toutes ces pratiques, mais au-delà de cela, nous examinons également les accords et les déclarations contractuelles. Comment intégrez-vous ces pratiques dans les accords conclus avec des tiers en termes de réunions d'évaluation des performances et de compréhension du processus étape par étape de la diligence raisonnable que vous effectuez, dont les conséquences sont également essentielles. Donc, si vous réfléchissez au concept d'audit régulier de nos tiers, quelles preuves pouvons-nous vous montrer pour dire que nous avons fait preuve de diligence raisonnable et qu'ils sont performants ? S'ils ne sont pas performants, voici où. Il suffit de chercher à établir un cadre, un processus ou une fonction qui nous permette de saisir les risques et les problèmes qui découlent de cette diligence raisonnable et des processus continus pour corriger ces problèmes et prendre des mesures correctives. Si vous examinez les politiques dans un sens plus large, il est important de noter que je n'ai pas fait le compte, mais je pense que les politiques sont mentionnées entre 12 et 13 fois dans le cadre. Dans certaines organisations, si vous pensez aux entreprises de classe A, il se peut que si vous avez un tiers de classe A, celui-ci dispose de 13 politiques distinctes et souligne ces politiques dans des documents de procédure individuels et d'autres preuves qu'il peut présenter. Mais si vous êtes une autre organisation qui compte cinq ou six employés, comment appliquez-vous cela ? Vous ne pouvez pas développer autant de parties, de politiques et de documents complexes. Mais c'est important. Il y a donc beaucoup de flexibilité pour dire, euh, tant que cela convient à l'organisation. Il existe donc quelques bonnes pratiques que nous pouvons appliquer en termes de recherche de preuves ou de demande de preuves, qu'il s'agisse de documentation, de réunions, de procès-verbaux de réunions ou d'enregistrements sur la manière dont les risques sont gérés. Mais tout cela doit être pris en compte en fonction du type d'activité, du type de tiers ou de la complexité, pardon, du tiers.

Alistair: Oui, c'est un bon point. Je pense qu'il est certainement rassurant de savoir qu'il y a une certaine dose de pragmatisme dans cette approche, dans le sens où les ressources sont allouées de manière proportionnée. Je comprends donc que certaines entreprises auront l'avantage de disposer d'équipes complètes chargées de l'audit et de la conformité pour travailler avec Infosc afin de piloter ce processus, tandis que d'autres, comme vous l'avez dit, n'auront certainement pas cette opportunité. Le pragmatisme semble donc être la clé dans ce domaine. Thomas: Oui, tout à fait. Alistair: Excellent. J'aimerais en savoir un peu plus, si possible, sur le processus de réponse aux incidents. Du point de vue de la continuité, de la reprise et du signalement des incidents. Pourriez-vous nous en dire un peu plus à ce sujet, Thomas ?

Thomas: Absolument. Comme je l'ai mentionné au début, il s'agit d'un domaine qui a connu de nombreux bouleversements en termes d'extension du contrôle et de la description du contrôle. Il est intéressant de noter qu'ils regroupent tout cela. La reprise instantanée de la continuité ou la reprise instantanée de la continuité des activités après sinistre. C'est un peu long à dire. Mais tout est regroupé sous un seul contrôle. Ce qu'ils ont fait, c'est qu'ils ont élargi ou vont élargir ce concept de développement d'un plan instantané, d'une politique instantanée et d'un ensemble de politiques BCDR. J'ai une citation en haut de cette page qui sera exigée par le nouveau Nydfs et qui stipule que lorsqu'elles élaborent des plans d'intervention, les entreprises doivent chercher à traiter les événements liés à la cybersécurité, y compris les événements perturbateurs tels que les incidents liés aux ransomwares. Il est intéressant de noter qu'il s'agit d'une citation spécifique tirée directement du cadre. Je pense que cela permet simplement de souligner que le cadre ou le régulateur reconnaît que certaines de ces menaces deviennent de plus en plus pertinentes, de plus en plus fréquentes. Ils demandent donc aux entreprises d'être attentives à la manière dont elles abordent ce type d'événements perturbateurs. Cela élargit donc de manière graphique l'exigence relative à la définition de la gestion instantanée. Il est nécessaire de mettre en place des processus pour une réponse instantanée, une maîtrise instantanée, une réponse instantanée et une escalade en termes de voies de communication. Le rapport sur l'événement de cybersécurité et les activités de réponse connexes a également subi un changement et une expansion. C'est bien sûr là que l'aspect tiers peut également intervenir de manière assez claire. Vous examinez donc bien sûr nos propres méthodes de réponse à un incident, à un événement de cybersécurité. En ce qui concerne les tiers, il est important de souligner, d'un point de vue contractuel, que si vous vous occupez vous-même de ces systèmes, par exemple des données financières, et que vous subissez une violation ou un événement, nous vous demandons de nous en informer par un canal de communication approprié. L'accent est donc mis sur le concept de rôles et de responsabilités, la prise de décision dans l'entreprise en termes d'actions à mener et à quel moment nous devons escalader, que ce soit du tiers vers nous en tant qu'organisation ou dans l'autre sens. Donc, de vous-mêmes en tant qu'organisation, puis vers vos clients et vers les régulateurs eux-mêmes. Du point de vue de la gestion instantanée, oui, il y a eu une expansion considérable en termes de développement du plan d'intervention, des rôles, des responsabilités et des objectifs qui l'entourent. Et encore une fois, cela se reflète assez bien lorsque vous regardez le texte, lorsque vous regardez les exigences, ce que d'autres cadres ont déjà dit depuis de nombreuses années, comme les ISO et les NIST du monde entier. Je trouve donc assez encourageant que le NYDFS ait également adopté bon nombre de ces meilleures pratiques.

Alistair: Oui, je pense que cela transparaît également dans les changements récents. Donc, votre commentaire et votre citation sur les événements perturbateurs tels que les ransomwares, le fait qu'ils aient spécifiquement mentionné dans certaines des modifications proposées la notification dans un délai de 24 heures, je crois, pour le paiement d'une rançon. Thomas: Oui. Alistair: Avec une notification ultérieure expliquant pourquoi cela était nécessaire. Personnellement, j'apprécie beaucoup l'accent mis sur le fait que les gens doivent justifier pourquoi ils n'ont pas mis en place les mesures proportionnées pour y réagir grâce à leur résilience et leur capacité à se remettre d'un événement de type ransomware. C'est donc assez révélateur et cela montre l'intention et l'orientation, je pense, du document en question.

Thomas: Absolument. Je pense qu'elles obtiennent beaucoup plus de responsabilité et d'ouverture de la part de ces entreprises. Euh, oui, je pense que ce sera intéressant de voir certaines de ces justifications. Alistair: Si, si et si, et quand elles se produisent. Thomas: Espérons qu'il n'y ait pas trop de gens qui effectuent des paiements et qu'ils disposent généralement d'un moyen solide et résilient de récupérer les données compromises. Thomas: Et bien sûr, cela nous amène au sujet suivant, qui concerne à nouveau le BCDR. J'ai mentionné dès le début que le BCDR n'est pas un terme nouveau au NYDFS. Ce qui est intéressant, cependant, c'est que lorsque l'on examine les anciennes versions, on constate qu'elles étaient très légères. Ce qui peut convenir si vous connaissez bien le sujet. La difficulté de traiter des sujets tels que le BCDR de manière légère réside dans le fait qu'il s'agit d'un sujet assez complexe en soi. Donc, encore une fois, je pense qu'il est encourageant de voir qu'ils ont repris cette idée de ce qui est attendu dans l'élaboration d'un plan ou d'un ensemble de plans de continuité des activités, avec de nombreuses recommandations et attentes en matière de bonnes pratiques, dont beaucoup reflètent d'autres normes et cadres de bonnes pratiques qui existent déjà. Quels sont donc les principaux domaines couverts ? Tout d'abord, l'attente selon laquelle vous devez identifier tous vos actifs, toutes vos infrastructures, vos infrastructures critiques qui sont essentielles à la continuité des opérations. C'est toujours le point de départ que nous examinons lorsque nous discutons de plans de continuité et de mise en place de scénarios, à partir d'évaluations d'impact sur les activités et en identifiant, sur la base de ce que nous faisons en tant qu'organisation, les actifs qui sont essentiels pour nous. Devrions-nous subir un événement ? Que devrions-nous récupérer dans les plus brefs délais ? Deuxièmement, la communication. Il s'agit donc de faire appel à des coordinateurs de la continuité des activités, de communiquer en interne si un plan doit être activé, mais aussi de communiquer avec toutes les personnes essentielles. Ce texte est également tiré du cadre réglementaire. Toutes les personnes essentielles en cas d'urgence. Qu'entendons-nous par « personne essentielle » ? Nous considérons à la fois les personnes internes et externes. En externe, nous considérons les principales parties prenantes, les parties intéressées, des clients aux régulateurs eux-mêmes, bien sûr. Mais aussi, à l'inverse, les tiers, les entreprises sur lesquelles vous pouvez compter pour vous aider à soutenir un élément critique particulier, qu'il s'agisse d'un actif, d'une infrastructure ou d'un processus. Il est donc important de disposer de canaux de communication clairs lorsque vous élaborez un plan de continuité et de reprise. Que ce soit dans le cadre de tests de ces plans ou de leur mise en œuvre, il convient d'identifier les tiers nécessaires à la poursuite des opérations en cas d'événement. Cela fait suite à la communication avec les personnes essentielles, qui ne consiste pas seulement à les informer en cas d'événement, par exemple en cas de catastrophe qui vous obligerait à transférer vos opérations vers un site de secours ou vers des environnements différents. Mais il faut s'assurer que si nous dépendons d'un tiers essentiel à nos actifs et infrastructures de premier plan, et que celui-ci venait à faire faillite ou à cesser ses activités, nous pourrions nous retrouver dans une situation très difficile vis-à-vis de notre organisation, de nos clients et de nos principales parties prenantes. Nous devons les impliquer dans notre processus de continuité. Devons-nous les impliquer dans le cadre des tests ? Et si nous avons un plan de reprise, cela implique une reprise vers des sites ou des emplacements de secours. Devons-nous également impliquer ces tiers afin de nous assurer qu'ils peuvent également fournir des services de haute qualité dans les délais que nous nous fixons ? Il y a donc beaucoup d'attentes et beaucoup d'expansion. Je pense personnellement qu'il est tout à fait justifié de s'assurer que vous disposez d'une couverture complète pour la reprise de tout actif, infrastructure ou système nécessaire et important pour l'entreprise.

Alistair: L'une des choses que je retiens vraiment de cette discussion et que je trouve intéressante, c'est que les clauses contractuelles relatives à la communication et à l'interaction avec la chaîne d'approvisionnement sont essentielles pour pouvoir appliquer efficacement toute résolution significative à ce sujet. C'est donc très intéressant. Thomas, si je me trouvais dans un ascenseur avec vous pendant 30 secondes, comment résumeriez-vous ce que nous devons faire concrètement pour nous conformer à la réglementation ? Thomas: Oui. Tout d'abord, il faut identifier les tiers. C'est toujours un point de départ essentiel. Il faut savoir qui sont vos tiers, quel type de données ils traitent, quel type d'actifs ils gèrent, ce qu'ils font pour nous dans le cadre de nos opérations critiques, et cela devrait s'inscrire dans le cadre plus large du programme TPRM qui définit la manière dont nous gérons ces tiers et identifie le type de contrôles que nous devons leur imposer afin de les évaluer, notamment dans les domaines dontvenons d'évoquer concernant les incidents et la continuité. Une fois que nous avons identifié ces tiers, il faut commencer à comprendre et à développer régulièrement ces évaluations des risques, et c'est là le plus important. Il ne s'agit jamais d'une opération ponctuelle que l'on oublie ensuite en la rangeant dans un tiroir. Il s'agit d'un processus régulier d'examen des risques dans votre environnement. Par exemple, ceux liés au phishing et aux ransomwares dont nous avons parlé au début de la journée. Examiner cette réglementation, s'assurer que vous connaissez les contrôles, que vous connaissez les contrôles auxquels les tiers doivent se conformer. S'ils accèdent à des systèmes sensibles, les contrôles d'accès sont-ils appropriés ? Avez-vous envisagé l'authentification multifactorielle ? S'ils traitent des données sensibles, disposez-vous d'un arbre de communication sur la manière dont ils doivent réagir à un incident ou à un événement de continuité ? Et troisièmement, utilisez le contrôle 500.11 pour aider à élaborer une politique relative aux tiers, un programme de gestion des risques. Commencez à nouveau à mettre en place ce cycle de révision continue : nos tiers ont-ils une bonne posture de sécurité et, plus important encore, est-elle conforme aux attentes du NYDFS ?

Melissa: Super. Merci beaucoup Thomas. Je vais maintenant passer la parole à notre cher Scott Lang, qui va vous expliquer en détail comment Prevalent peut vous aider à vous conformer à certaines de ces réglementations. Mais avant cela, nous allons lancer un dernier sondage. À toi, Scott. Scott: Merci beaucoup Alistister. Je veux juste m'assurer que vous m'entendez bien. OK, Melissa: tout à fait. Bonjour, Scott. Scott: Super. Génial. Très bien, super. Euh, très rapidement, les amis, euh, une ou deux diapositives sur, vous savez, comment Prevalent peut vous aider à simplifier le processus de mise en conformité avec des exigences telles que celles du NYDFS. Écoutez, en fin de compte, je pense que vous souhaitez atteindre trois objectifs avec votre programme de gestion des risques tiers, que vous visiez un régime de conformité de type NYDFS, de meilleures pratiques ou simplement vous défendre contre d'éventuelles cybermenaces ou d'autres problèmes de conformité qui pourraient survenir. Et c'est le numéro un : obtenir les données dont vous avez besoin pour prendre de bonnes décisions. Augmenter l'efficacité de votre équipe et éliminer les cloisonnements entre les groupes qui se disputent un peu au sujet des risques liés aux tiers. Et enfin, donner à votre programme la possibilité de s'adapter et d'évoluer au fil du temps et de répondre à des exigences en constante évolution. Écoutez, si vous utilisez des tableurs pour cela, je pense que vous savez, et je sais que vous savez que ce n'est pas la bonne approche. Vous devez disposer d'un certain niveau d'automatisation pour collecter les informations de contrôle appropriées auprès de vos sous-traitants, fournisseurs et prestataires tiers. Placez ces données dans un endroit où vous pouvez les manipuler, les noter, comprendre qui présente le niveau de risque le plus élevé pour vous, puis recommander des mesures correctives pour les ramener à un niveau de risque résiduel acceptable au fil du temps. Vous ne pouvez pas vous passer de données, et vous ne pouvez pas le faire si tout le monde est occupé à autre chose. En fin de compte, notre approche pour résoudre le problème de la gestion des risques liés aux tiers consiste à simplifier et à accélérer l'intégration des fournisseurs. Nous vous offrons une source unique d'informations fiables et un processus unique pour gérer les fournisseurs tout au long du cycle de vie. Rationalisez ce processus, comblez les lacunes et couvrez les risques, puis unifiez toutes les différentes équipes internes qui pourraient être impliquées dans les risques liés aux tiers, depuis le moment où vous recherchez et sélectionnez un nouveau fournisseur jusqu'au moment où vous le licenciez et mettez fin à cette relation. Pour ce faire, nous combinons l'expertise de nos spécialistes, le niveau sans précédent de données que nous intégrons à la plateforme pour vous aider à prendre de bonnes décisions en matière de cybersécurité, et une plateforme qui automatise le flux de travail et le reporting afin de boucler la boucle sur tous les risques auxquels vous êtes confrontés. Encore une fois, notre objectif est de vous aider, vous et votre organisation, à être plus intelligents, à unifier vos processus et à vous offrir une approche beaucoup plus perspicace pour boucler la boucle sur les risques liés aux tiers. Ce que j'ai préparé pour vous, c'est une liste de contrôle de conformité spécialement rédigée pour le NYDFS, euh, 23 NYCRR 500, vous savez, da da, peu importe, euh, c'est, vous savez, 13 pages, euh, qui passent en revue le règlement chapitre par chapitre, puis cartographient les meilleures pratiques et, enfin, expliquent comment Premley peut aider chacun de ces domaines de contrôle que Thomas a passés en revue, euh, dans ce webinaire aujourd'hui. Vous la recevrez dans le cadre du suivi, avec l'enregistrement et d'autres informations. Sur ce, je vais m'arrêter là et vous redonner la parole pour les questions. Désolé.

Melissa: Vous savez, nous sommes à la fin de l'heure, donc je vais remercier Alice et Thomas, et bien sûr vous, Scott. Merci à tous d'avoir posé toutes ces questions. Nous avons essayé d'en intégrer autant que possible, mais n'hésitez pas à envoyer un e-mail à [email protected] si vous avez encore une question urgente. Nous la transmettrons à la personne compétente. Enfin, je suis ravie que vous ayez tous pu vous joindre à nous aujourd'hui et j'espère vous retrouver nombreux dans vos boîtes de réception et lors d'un prochain webinaire. Prenez soin de vous. Merci.

Alistair: Merci.