R a p p o rt d 'a ctiv ité s 2 0 0 7 Rapport d'activités 2007 - paperJam

La surveillance des systEmes d’informations
Le règlement grand-ducal du 13 juillet 2007 précise les exigences organisationnelles et les règles de
conduite applicables aux entreprises d’investissement, en transposant la directive 2006/73/CE du 10
août 2006 portant mesures d’exécution de la directive 2004/39/CE. Ce règlement précise, notamment
aux articles 13, 14 et 15 de la section 2, la notion d’externalisation des fonctions opérationnelles
essentielles ou importantes. La CSSF souligne que la fonction informatique est à considérer a priori
comme une fonction opérationnelle essentielle. Toute externalisation d’une fonction informatique
essentielle au sens du règlement doit donc répondre aux exigences du règlement.
2. La pratique de la surveillance
La surveillance porte sur la vérification de l’application du cadre légal et réglementaire par les entités
surveillées, dans le but direct ou indirect de maintenir ou d’améliorer le professionnalisme des
activités, avec un accent particulier sur les aspects liés aux technologies mises en œuvre en matière
de systèmes d’informations et en tenant compte des particularités propres à l’externalisation de ces
services auprès de PSF de support ou auprès de tiers, hors groupe ou intra-groupe.
2.1. Mobilité et accès distant à des services informatiques
En 2007, le service chargé de la surveillance prudentielle des systèmes d’informations a été sollicité
à plusieurs reprises afin de se prononcer sur des projets en relation avec la mobilité des acteurs, qu’il
s’agisse de partenaires financiers ou d’employés du professionnel financier concerné.
Les applications mobiles actuelles se justifient de plus en plus par :
- Une disponibilité plus importante des informations et des services financiers envers les partenaires
et intermédiaires financiers qui sont délocalisés.
Certains projets concernent les accès à usage professionnel à des applications bancaires. Il s’agit
en fait de services financiers accessibles par Internet, souvent de type web, mais orientés vers
un usage professionnel et qui permettent à un intermédiaire de traiter plusieurs clients de la
banque. Typiquement, les services portent sur la consultation ou la gestion de comptes de clients
par des gestionnaires ou autre professionnels mandatés à cet effet. Ces applications requièrent un
haut niveau de protection étant donné qu’elles donnent accès à des données de plusieurs clients
et qu’elles permettent parfois d’effectuer des opérations pour leur compte. Les informations
relatives aux clients sont alors rendues anonymes.
- Une souplesse dans l’accessibilité des outils de travail aux employés, principalement dans le but
d’intervenir plus rapidement lors de problèmes techniques, mais également afin d’améliorer
l’efficacité des cadres en déplacement à l’étranger au sein du groupe.
Cette souplesse consiste à permettre à certains employés d’intervenir à distance sur certains
systèmes ou d’accéder à certaines applications. Les applications les plus couramment proposées
sont la messagerie interne et les fonctions internes de support, comme la consultation de l’intranet.
Plus spécifiquement, certains cadres disposent de la possibilité d’accéder aux applications en
rapport avec leurs responsabilités afin de pouvoir rapidement analyser une situation ou résoudre
un problème urgent.
Les accès à distance aux systèmes par des employés du département informatique ou de la
sécurité sont le plus souvent justifiés par l’augmentation du nombre d’employés frontaliers qui
résident loin de leur lieu de travail et pour lesquels le temps d’intervention lié au déplacement,
notamment durant les heures avancées de la nuit, pénalise le délai restant pour la résolution du
problème avant ouverture de l’établissement le lendemain matin.
148