La SEBI inflige une amende d'un crore de roupies à CDSL pour une cyberattaque en 2022

Le Securities and Exchange Board of India (SEBI) a infligé une amende d'un crore de roupies (environ 110 000 euros) à Central Depository Services (India) Limited (CDSL). Cette sanction fait suite à de multiples manquements en matière de cybersécurité et de réglementation relevés après une attaque par logiciel malveillant sur les systèmes de l'entreprise en novembre 2022, qui a entraîné des retards dans le règlement des transactions de titres.

Dans une décision datée du 20 juillet, le SEBI a déclaré que CDSL n'avait pas classifié un serveur critique exposé à Internet comme un actif critique, ni mis en œuvre les contrôles de cybersécurité obligatoires, ni surveillé adéquatement ses systèmes. Ces omissions ont permis à l'attaque par logiciel malveillant de compromettre des opérations clés du dépositaire. Cependant, le SEBI a abandonné les poursuites de sanctions monétaires contre l'ancien responsable de la sécurité des systèmes d'information et le directeur de la technologie de l'entreprise.

L'incident, signalé par CDSL le 18 novembre 2022, a affecté plusieurs machines internes et a entraîné un retard dans le règlement des transactions de titres. Bien que CDSL ait déclaré qu'aucune information confidentielle ni donnée d'investisseur n'avait été compromise et que les opérations normales avaient repris en deux jours, le SEBI a souligné que les mesures correctives post-incident n'excusaient pas les défaillances réglementaires antérieures.

L'enquête du SEBI a révélé que CDSL n'avait pas classifié un serveur Active Directory Federation Services (ADFS) exposé à Internet comme un actif critique et l'avait exclu des tests de vulnérabilité. De plus, l'infrastructure de reprise après sinistre de l'entreprise avait été compromise par le logiciel malveillant, violant ainsi les exigences du SEBI en matière de continuité des activités et de délais de récupération.