Art. 1Objet
La présente instruction a pour objet de préciser les règles relatives aux dispositifs de sécurité des systèmes d’information des Bureaux d’Information sur le Crédit, de leurs filiales, succursales et bureaux de représentation.
Art. 2Politique de sécurité de l’information
Les Bureaux d’Information sur le Crédit sont tenus d’élaborer leur politique de sécurité de l’information.
Elle doit être conforme :
- aux exigences de sécurité les plus strictes reconnues dans l’industrie des services d’information sur le crédit, notamment les standards internationaux relatifs à la sécurité de l’information ;
- aux dispositions légales et réglementaires en vigueur dans les Etats membres de l’UMOA relatives à la protection des données personnelles.
La politique de sécurité de l’information des Bureaux d’Information sur le Crédit est approuvée par leurs dirigeants et communiquée à l’ensemble de leurs employés.
Elle est actualisée régulièrement, au moins tous les trois ans, pour tenir compte de l’évolution de l’environnement interne et externe.
Art. 3Stratégie de gestion des risques liés aux systèmes d’information
Dans le cadre de la gestion des risques inhérents aux systèmes d’information, les Bureaux d’Information sur le Crédit doivent mettre en place un dispositif permettant, de manière continue, d’identifier et d’évaluer les risques, en vue de les réduire ou de les gérer.
Ils élaborent, à cet effet, leur stratégie de gestion des risques approuvée par leurs dirigeants.
Art. 4
Protection contre les logiciels malveillants et le piratage informatique
Les Bureaux d’Information sur le Crédit mettent en place des mesures de prévention, de détection et de correction, afin de protéger leurs systèmes d’information contre des logiciels malveillants et le piratage informatique.
Art. 5Sécurisation des réseaux, des terminaux et des informations
Les Bureaux d’Information sur le Crédit prennent des mesures de sécurité appropriées pour protéger les informations qui transitent par leurs réseaux, ainsi qu’à travers leurs connexions avec les utilisateurs, les fournisseurs de données et la BCEAO.
Les Bureaux d’Information sur le Crédit s’assurent que les terminaux qui accèdent à leurs systèmes disposent des autorisations nécessaires. En outre, ils mettent en place le paramétrage adéquat, en vue de gérer les risques inhérents à la connexion d’utilisateurs externes à leurs systèmes d’information.
Art. 6
Gestion des identités et des accès logiques aux systèmes d’information
Les Bureaux d’Information sur le Crédit s’assurent que chaque utilisateur, fournisseur de données ou membre de leur personnel est identifié et authentifié avant tout accès aux systèmes d’information, et qu’il dispose des droits d’accès adéquats. Chaque action doit pouvoir être rattachée à son auteur.
Art. 7Dispositifs de sécurité physique et environnementale
Les Bureaux d’Information sur le Crédit se dotent de dispositifs de gestion des accès physiques de leur personnel et des tierces personnes à leurs locaux sécurisés.
Les locaux hébergeant les centres de données des Bureaux d’Information sur le Crédit doivent être pourvus de dispositifs appropriés de protection environnementale, notamment de détecteurs de fumée et d’eau, de systèmes d’extinction d’incendie ainsi que de sondes de température et d’humidité.
Art. 8Sauvegarde des données
Les Bureaux d’Information sur le Crédit s’assurent que leur politique de sécurité de l’information garantit l’intégrité des sauvegardes des données sur des supports appropriés, la réalisation de tests réguliers de restauration et la délocalisation des supports de sauvegarde sur un site situé dans un autre Etat membre de l’UMOA.
Art. 9Gestion des incidents de sécurité de l’information
Les Bureaux d’Information sur le Crédit mettent en place un cadre de gestion des incidents de sécurité de l’information, afin de les traiter et de contenir leur impact.
Art. 10Contrôle des systèmes d’information
Les Bureaux d’Information sur le Crédit définissent, mettent en œuvre et maintiennent un dispositif de contrôle interne approprié des opérations liées aux systèmes d’information.
Les Bureaux d’Information sur le Crédit commanditent un audit externe annuel de leur système d’information, afin de s’assurer de l’efficacité du contrôle interne.
Art. 11Information de la Banque Centrale
Les Bureaux d’Information sur le Crédit dressent, dans le rapport de conformité déposé auprès de la BCEAO à la fin de chaque année, un état des dispositifs et procédures de sécurité mis en place, des résultats des tests réalisés ainsi que des incidents enregistrés.
Art. 12Respect des obligations et sanctions
Les manquements aux obligations liées à la sécurité des systèmes d’information sont sanctionnés, conformément aux dispositions de la loi uniforme portant réglementation des Bureaux d’Information sur le Crédit dans les Etats membres de l’UMOA, sans préjudice des dispositions législatives et réglementaires en vigueur dans l’Etat membre d’implantation de l’Union.
Art. 13Entrée en vigueur
La présente instruction entre en vigueur à la date de sa signature. Elle sera publiée partout où besoin sera.
