Le règlement DORA impose aux acteurs financiers une surveillance continue de leurs systèmes TIC, une détection rapide des anomalies et des procédures de réponse documentées. Il ne prescrit pas un SOC (centre opérationnel de sécurité) 24/7 à chaque structure. Une surveillance limitée aux heures ouvrées cadre mal avec des attaques susceptibles de survenir à tout moment et avec des délais de notification courts.

 Ce dispositif, associé à un SIEM, relie les traces techniques à une décision humaine. L'enjeu ne réside pas dans l'accumulation d'alertes, mais dans la capacité à les hiérarchiser, isoler un actif compromis, préserver les preuves et préparer le signalement réglementaire.

Short answer

La surveillance 24/7 raccourcit le temps entre le premier signal et le confinement. Pour une entité financière, ce gain réduit le risque de propagation, améliore la traçabilité et rend la réponse compatible avec les délais fixés par DORA.

Pourquoi DORA transforme-t-il la détection des incidents TIC ?

Applicable depuis le 17 janvier 2025, le règlement DORA ne se limite pas à un dossier de conformité. Son article 10 réclame des mécanismes capables de repérer rapidement les activités anormales, des seuils d'alerte et une remontée automatique vers les équipes chargées de la réponse. Les articles 17 et 18 ajoutent l'enregistrement, la classification et le suivi de chaque incident TIC.

La chaîne reste lisible après coup. Qui a reçu l'alerte ? À quel moment l'événement est-il devenu un incident majeur ? Quelles mesures ont contenu l'attaque ? Ces données alimentent l'analyse technique et le rapport adressé à l'autorité compétente. La notification initiale intervient au plus tard quatre heures après la classification et dans les vingt-quatre heures à compter de la découverte. Le rapport intermédiaire est transmis sous soixante-douze heures, puis le rapport final dans le mois qui suit ce dernier envoi.

Que change une surveillance de sécurité active la nuit ?

 Une attaque lancée le vendredi soir bénéficie vite d'une longue fenêtre d'action. Le chiffrement progresse, les comptes administrateurs sont explorés et les journaux disparaissent avant le lundi matin. Une astreinte qui reçoit seulement un message ne remplace pas une équipe habilitée à qualifier le signal puis à exécuter un scénario de confinement.

Un samedi à 3 h du matin, les analystes de sécurité qui surveillent une société de gestion sont alertés d'un chiffrement anormal de fichiers sur un serveur. La machine est isolée du réseau en moins d'une minute, avant propagation. La restauration depuis une sauvegarde immuable a permis un redémarrage en quelques heures, sans rançon ni perte de données.

À ce stade, la première minute pèse lourd. Dès que l'EDR bloque le processus et que la machine est isolée, l'analyste élargit la recherche aux autres postes afin de vérifier que l'attaque n'a pas essaimé. Le MTTD (délai moyen de détection) renseigne le délai de détection, le MTTR (délai moyen de réponse) celui de la réaction.

Comment le SOC et le SIEM travaillent-ils ensemble ?

Le SOC réunit les analystes, les procédures et les outils consacrés à l'examen des événements cyber. De son côté, le SIEM collecte les journaux qui proviennent des postes, des serveurs, des équipements réseau, des applications et des services cloud. Il rapproche ces traces afin de faire émerger une séquence cohérente, comme une connexion inhabituelle suivie d'une élévation de privilèges, puis d'une modification massive de fichiers.

Une règle de détection fait remonter un signal. L'analyste vérifie alors le contexte métier, les actifs concernés et les indices disponibles. MITRE ATT&CK et la threat intelligence l'aident à rattacher ces traces à une technique connue, avant qu'une recherche plus large dans l'historique ne confirme l'étendue de l'activité suspecte.

Un SOC interne conserve une connaissance fine du système d'information, mais suppose des effectifs suffisants pour assurer les rotations. Le managed detection and response, ou MDR, repose au contraire sur une équipe externe chargée de la surveillance et de l'exploitation. Dans les deux cas, les habilitations et les procédures d'escalade restent fixées à l'avance.

Pourquoi la supervision technique ne suffit-elle pas ?

La supervision informatique suit le fonctionnement courant du service, depuis la disponibilité des serveurs jusqu'au bon déroulement des sauvegardes. Une saturation mémoire, une hausse de latence ou un système indisponible signale avant tout un incident technique, sans révéler à lui seul une activité malveillante.

La surveillance de sécurité ne s'arrête pas au constat d'un service disponible. Elle interprète des actions anodines prises isolément, qu'il s'agisse d'une connexion réussie, de l'ajout d'une règle de messagerie, voire d'un téléchargement inhabituel de fichiers. Aucun de ces gestes ne provoque de panne. Leur enchaînement suffit toutefois à révéler une compromission. Avec DORA, disponibilité et menace ne relèvent donc plus de deux lectures séparées, puisqu'elles se rejoignent dès qu'un incident prend de l'ampleur.

Comment le full cloud déplace-t-il le périmètre de surveillance ?

L'environnement Microsoft 365 déplace la surveillance bien au-delà du réseau interne. Le risque se concentre autour des identités et des usages, car une session détournée suffit à ouvrir l'accès à la messagerie, aux documents partagés et aux espaces de travail. Dans ce contexte, le pare-feu ne voit ni le consentement accordé à une application malveillante ni une extraction discrète de données depuis OneDrive.

Les journaux d'audit Microsoft 365 deviennent alors une source centrale pour l'enquête. Rapprochés des signaux remontés par Entra ID et Defender, ils aident le SOC à reconstituer le scénario d'attaque. Leur conservation, associée à une approche Zero Trust et à un contrôle strict des accès privilégiés, donne une lecture plus fidèle de ce qui s'est réellement passé.

Quand l'externalisation de la surveillance 24/7 se justifie-t-elle ?

L'externalisation répond surtout à un manque de couverture horaire, de compétences spécialisées et de capacité d'investigation. Pour couvrir cette veille en continu, certaines sociétés de gestion externalisent auprès de prestataires spécialisés comme ITAIA, qui opère un SOC 24 h/24 doublé d'un support humain 7 j/7, de 8 h à 20 h, et documente le socle technique exigé par DORA.

Même lorsque la surveillance est confiée à un prestataire, la responsabilité réglementaire reste entre les mains de l'acteur financier, qui conserve la maîtrise des seuils d'alerte et du signalement. Le contrat encadre alors la localisation des données, les droits d'audit, les conditions d'escalade, la réversibilité ainsi que l'accès aux preuves, avant qu'un exercice mené hors horaires ouvrés ne vérifie la solidité réelle du dispositif.

FAQ

DORA impose-t-il une surveillance de sécurité 24/7 ?

Non, pas sous cette formulation. Le texte exige une surveillance continue, proportionnée au risque et à la criticité des fonctions

Quelle est la différence entre un SOC et un SIEM ?

Le SIEM corrèle les événements. Le SOC qualifie les alertes et coordonne la réponse.

La supervision informatique suffit-elle ?

Non. Elle suit le fonctionnement. La surveillance de sécurité recherche les anomalies et les traces d'attaque.

Microsoft 365 entre-t-il dans le périmètre ?

Oui. Identités, messagerie, fichiers partagés et actions d'administration livrent des signaux de détection.

Pourquoi agir vite face à un ransomware ?

Un isolement rapide freine le chiffrement, le déplacement latéral et l'atteinte aux sauvegardes.

Pour conclure, DORA déplace la conformité vers l'exploitation quotidienne. Les procédures et rapports n'ont de valeur que si une alerte déclenche une action maîtrisée, y compris à 3 h du matin. La surveillance 24/7 devient alors un choix d'organisation directement lié à la continuité des activités financières.