Risque technologique et cyberhygiène
Les contrôles LBC/FT d’un titulaire de licence DPT reposent sur la technologie, et la MAS (Monetary Authority of Singapore, l’autorité monétaire et de surveillance financière) encadre cette technologie par deux notices et un ensemble de lignes directrices qui sont en pratique indissociables du programme LBC.
La MAS Notice PSN05 on Technology Risk Management impose aux prestataires de services de paiement des exigences juridiquement contraignantes. L’établissement doit disposer d’un cadre permettant d’identifier ses systèmes critiques. Chaque système critique ne peut subir plus de quatre heures d’indisponibilité non planifiée sur toute période glissante de douze mois et doit avoir un objectif de délai de rétablissement de quatre heures. La MAS doit être informée dans l’heure suivant la découverte d’un incident pertinent, un rapport sur la cause première devant suivre dans les quatorze jours.1 La MAS Notice PSN06 on Cyber Hygiene impose six mesures de base. Il s’agit de sécuriser les comptes d’administration, d’appliquer rapidement les correctifs de sécurité, d’établir un ensemble écrit de normes de sécurité, de mettre en place des défenses du périmètre réseau, de déployer une protection contre les logiciels malveillants et d’utiliser l’authentification multifacteur pour l’accès administratif et l’accès aux informations des clients.2 Les Technology Risk Management Guidelines de janvier 2021 fixent pour tout le reste un standard non contraignant mais contrôlé lors des inspections. Elles couvrent la gouvernance, le développement logiciel, la gestion des tiers, la réponse aux incidents, le contrôle des accès, la gestion des clés cryptographiques et les tests d’intrusion.3
Pour un établissement DPT, la section des TRM Guidelines consacrée à la gestion des clés revêt un poids particulier, car les clés privées de l’établissement sont les actifs de ses clients. La MAS attend des cérémonies de génération de clés documentées et des modules matériels de sécurité (HSM) ou un équivalent. Elle attend une séparation des tâches telle qu’aucune personne ne puisse à elle seule déplacer les fonds des clients, une conservation à froid pour l’essentiel des actifs et des procédures de récupération testées. Ce sont aussi des exigences de conservation au titre de la partie K, chapitre II, et la MAS les inspecte comme un seul et même sujet. Un piratage est aussi un événement LBC. Les jetons volés sortent par les portefeuilles de l’établissement. Celui-ci doit pouvoir les tracer, les déclarer au titre de la PSN03 et de la section 45 du CDSA, et coopérer avec la police et avec d’autres plateformes d’échange pour les faire geler. Un plan de réponse aux incidents qui ne couvre que la reprise technique, sans la déclaration réglementaire ni le traçage on-chain, est incomplet. La partie Q, chapitre II contient une liste de contrôle pour les soixante-douze premières heures suivant un piratage.
Notes
- MAS Notice PSN05, Technology Risk Management, émise en vertu du Payment Services Act 2019, paragraphes relatifs à l’identification des systèmes critiques, à l’indisponibilité non planifiée maximale de 4 heures, à la notification des incidents dans un délai d’une heure et au rapport sur la cause première dans les 14 jours. ↩
- MAS Notice PSN06, Cyber Hygiene, émise en vertu du Payment Services Act 2019, paras 4–9, sur les six exigences de cyberhygiène. ↩
- MAS, Technology Risk Management Guidelines, 18 janvier 2021, en particulier la section 10 sur la gestion des clés cryptographiques et la section 12 sur le contrôle des accès. ↩
À titre d’information générale uniquement. Cet article ne constitue pas un conseil juridique ou fiscal, ne remplace pas un conseil adapté à votre situation et ne crée aucune relation avocat-client. Il reflète l’état du droit en octobre 2026.