Maturitate securitate sisteme informaționale · Regulamentul COBAC securitate SI

Regulamentul COBAC privind securitatea sistemelor informaționale impune instituțiilor supravegheate din zona CEMAC un dispozitiv formalizat de gestionare a riscului informatic. Acesta acoperă guvernanța SI și responsabilitatea organului deliberativ, politica de securitate, clasificarea activelor și a datelor, gestionarea accesurilor și a drepturilor de acces, securitatea infrastructurilor și a aplicațiilor, continuitatea și reluarea activității, gestionarea incidentelor și notificarea acestora către Comisia Bancară, precum și reglementarea furnizorilor informatici. Controlul periodic și raportarea către supraveghetor completează dispozitivul.

În practică, cerința este mai ușor de enunțat decât de pilotat. Instituțiile din subregiune combină adesea un nucleu bancar vechi, o activitate monetică externalizată, canale de bancă digitală recente și agenții cu legături eterogene. Trei întrebări revin sistematic. Politica de securitate este aplicată efectiv în filiale și agenții, sau doar aprobată la sediul central? Drepturile de acces sunt revizuite la date fixe, inclusiv pentru conturile furnizorilor și conturile cu privilegii? Planul de continuitate a fost testat pe un scenariu real, cu un proces-verbal utilizabil de controlul periodic?

Două confuzii merită clarificate. Prima constă în a asimila conformitatea cu regulamentul cu existența unui buget informatic și a unui firewall: textul privește un dispozitiv de gestionare, deci roluri, proceduri, dovezi și revizuiri, nu un inventar de echipamente. A doua constă în a trata securitatea SI ca pe un subiect pur tehnic, în timp ce regulamentul angajează organul deliberativ și se articulează cu dispozitivele de control intern, de risc operațional și de externalizare deja impuse de COBAC. Cartografierea riscurilor informatice trebuie citită în cartografierea riscurilor instituției.

Un audit de conformitate se încheie cu o constatare binară: cerința este îndeplinită sau nu este. Diagnosticul de maturitate răspunde la o altă întrebare. Acesta situează fiecare practică pe o scală progresivă, de la gestul punctual la dispozitivul pilotat și revizuit, și indică acțiunea precisă care permite trecerea la nivelul superior. Această lectură este cea de care are nevoie o conducere generală care trebuie să arbitreze între mai multe șantiere pe un exercițiu și să își justifice prioritățile în fața comitetului de audit.

Cadrul de referință este gata de utilizare în Datamensio și rămâne adaptabil. IA ajustează domeniile tematice, întrebările și nivelurile la profilul dumneavoastră, bancă comercială, instituție de microfinanțare sau instituție de plată, sau construiește o variantă pornind de la politica dumneavoastră de securitate și de la rapoartele dumneavoastră de control. Decalajele constatate alimentează direct o foaie de parcurs prioritizată, care poate fi consolidată pe mai multe entități ale grupului.