Cybersécurité en Haïti : que prévoit la circulaire 126 de la BRH ? 

Protection des données, audits informatiques et préparation aux incidents : la circulaire 126 fixe des exigences de sécurité pour les institutions financières visées par le texte. Face aux rançongiciels, ces mesures doivent aider les établissements à limiter les dégâts et à rétablir leurs services.

Par Gael Beauboeuf, CISA, PDG de Pacivra
Contact : [email protected]

Un rançongiciel peut bloquer l’accès à des fichiers ou à des systèmes informatiques. Les auteurs de l’attaque réclament alors une rançon pour rétablir l’accès. Dans certains cas, ils volent aussi des données et menacent de les publier. Pour une institution financière, une telle attaque peut interrompre des services et exposer des renseignements confidentiels sur ses clients.

Ce que prévoit la circulaire 126

La Banque de la République d’Haïti (BRH) demande aux institutions financières visées par sa circulaire 126 de protéger la confidentialité, la disponibilité et l’intégrité des données traitées par leurs systèmes informatiques, et d’assurer la traçabilité des opérations. Le texte prévoit aussi des audits informatiques internes et externes ainsi qu’un plan de contingence.

Un audit permet de vérifier si les mesures de protection fonctionnent et de repérer celles qui doivent être corrigées. La sécurité repose à la fois sur des procédures claires, sur la protection des locaux et des équipements et sur des mesures techniques adaptées aux risques de chaque établissement.

Le plan de contingence, lui, se prépare avant l’incident. Il précise qui doit intervenir, comment limiter les conséquences de l’attaque et dans quel ordre rétablir les services. Dans son avis du 19 octobre sur les cyberattaques, la BRH a rappelé aux institutions financières de ne pas négocier avec les cybercriminels et d’activer leur plan de contingence.

Trois priorités pour réduire le risque

Protéger les accès. L’authentification à deux facteurs est particulièrement utile pour la messagerie, les accès à distance et les comptes administrateurs. Chaque utilisateur devrait disposer des seuls droits nécessaires à son travail. Les correctifs de sécurité doivent être appliqués régulièrement, et les accès accordés aux prestataires, réexaminés.

Tester les sauvegardes. La règle dite « 3-2-1 » consiste à conserver trois copies des données sur deux types de supports, dont une hors site. Une copie hors ligne ou protégée contre la modification offre une protection supplémentaire. Un test de restauration permet de vérifier que les données sont récupérables et de mesurer le temps nécessaire à la reprise.

Former les équipes. Un courriel, un SMS ou un message WhatsApp peut servir à usurper l’identité d’un collègue ou d’un prestataire. Des exercices réguliers aident les employés à repérer ces tentatives et à les signaler. Une demande inhabituelle de paiement, de mot de passe ou de code doit être vérifiée par un autre canal, à partir de coordonnées déjà connues.

Développer l’expertise locale en audit informatique aiderait les institutions financières haïtiennes à vérifier que ces mesures fonctionnent dans la pratique. Un test de restauration, par exemple, répond à une question qu’un plan écrit ne suffit pas à trancher : combien de temps faudra-t-il pour que les clients retrouvent l’accès à leurs services après une attaque ?