Cyberattaques : ce que la BRH exige des banques avec la circulaire 126

Face à la hausse des cyberattaques, la Banque de la République d'Haïti (BRH) rappelle que les banques et autres institutions financières du pays sont soumises à des règles de sécurité informatique. Ces règles sont fixées par la circulaire 126, en vigueur depuis le 1er février 2022.

Dans un avis au public du 19 octobre, le gouverneur Ronald Gabriel a aussi rappelé qu'aucune institution financière n'est autorisée à négocier avec des cybercriminels qui réclament une rançon. En cas d'attaque, elle doit activer son plan de contingence et de continuité, puis renforcer ses systèmes selon les résultats de l'analyse de l'incident.

Une politique écrite et un responsable indépendant

La circulaire impose d'abord une organisation. Chaque institution doit avoir une politique de sécurité informatique écrite, mise à jour chaque année et approuvée par son conseil d'administration. Les banques doivent aussi avoir un comité de sécurité informatique.

Elle doit nommer un responsable de la sécurité informatique indépendant du service informatique, rattaché à la gestion des risques ou à la direction générale. Elle doit aussi former son personnel aux risques.

Protéger les données des clients

Le texte demande de garantir la disponibilité, l'intégrité, la confidentialité et la traçabilité des données. Les institutions doivent classer leurs informations selon leur niveau de confidentialité, se protéger contre les codes malveillants, sécuriser les accès à distance et contrôler l'accès physique à leurs salles informatiques.

Quand un prestataire traite des données pour le compte d'une banque, c'est la banque qui doit vérifier qu'il respecte ces règles.

Un plan de secours testé

Chaque institution doit préparer, tester et tenir à jour un plan de contingence pour continuer à fonctionner en toutes circonstances. Elle doit prévoir un site informatique de secours éloigné du site principal, et des sauvegardes vérifiées régulièrement pour ne pas perdre de données. Une alimentation électrique de secours est aussi exigée.

Un audit tous les trois ans

La sécurité du système informatique doit être auditée au moins tous les trois ans. Une institution qui ne le fait pas risque une amende de 200 000 gourdes, et la BRH peut faire réaliser l'audit à ses frais. Si elle ne corrige pas les problèmes signalés, l'amende est de 100 000 gourdes par jour.

Début octobre, Capital Bank avait fermé ses succursales pendant plusieurs jours après un incident informatique. Le groupe de pirates LockBit avait revendiqué une attaque, sans que la banque ne confirme ce lien.