La RBI impose un nouveau cadre de cybersécurité aux banques commerciales
La banque centrale indienne, la Reserve Bank of India (RBI), a publié un nouveau cadre de cybersécurité exigeant des banques commerciales des évaluations régulières des vulnérabilités et des tests de pénétration. Ce cadre remplace les instructions existantes fragmentées par des directives unifiées.
La Reserve Bank of India (RBI) a introduit un nouveau cadre complet de cybersécurité pour les banques commerciales, qui prend effet immédiatement. Ce cadre consolide et remplace un ensemble disparate d'instructions précédentes par un ensemble unifié de directives axées sur la technologie, le risque, la résilience et l'assurance.
Les nouvelles réglementations imposent aux banques de procéder à des évaluations de vulnérabilités tous les six mois et à des tests de pénétration des systèmes critiques connectés à Internet annuellement. De plus, des exercices de reprise après sinistre pour les systèmes critiques doivent être effectués semestriellement. Ces exigences s'appliquent aux banques commerciales, à l'exclusion des petites banques de financement, des banques de paiement et des banques locales.
Le cadre détaille des exigences étendues dans plusieurs domaines clés. Ceux-ci comprennent une gestion rigoureuse des données et des actifs informationnels, des configurations sécurisées des systèmes et de l'infrastructure, des pratiques solides de sécurité réseau et applicative, ainsi que des mesures strictes de contrôle d'accès et d'authentification client. Il spécifie également des protocoles pour la gestion des e-mails, des supports amovibles et des fournisseurs tiers, ainsi que pour la résilience opérationnelle et la réponse aux incidents.
Les banques sont tenues de maintenir des inventaires à jour des actifs informationnels, de classifier les données en fonction de leur sensibilité et de les protéger tout au long de leur cycle de vie. La sécurité des systèmes nécessite des configurations sécurisées, le déploiement de logiciels anti-malware et le respect de normes cryptographiques fortes. La sécurité des réseaux et des applications se concentrera sur des pratiques de développement sécurisées et des tests approfondis.
Les mandats opérationnels clés comprennent la mise en œuvre de l'authentification multifacteur pour les utilisateurs privilégiés et les activités critiques, l'établissement de stratégies de prévention de la perte de données et la notification des incidents de cybersécurité à la plateforme DAKSH dans les six heures. Le cadre attribue également aux conseils d'administration des banques la responsabilité d'approuver et de réviser annuellement les politiques informatiques et de cybersécurité, la direction générale supervisant la mise en œuvre stratégique.