La réglementation DORA impose aux acteurs financiers, dont les mutuelles, des exigences renforcées en matière de cybersécurité et de résilience opérationnelle. Pour Intériale, cette nouvelle réglementation constitue avant tout une opportunité d’améliorer en continu la sécurité du SI et la maîtrise de ses fournisseurs. Grâce à LockPass, la mutuelle déploie une solution souveraine et certifiée, facilitant la traçabilité, le contrôle et la gestion sécurisée des accès.
Richard Dhieux, Directeur sûreté et cybersécurité de l’enseigne revient sur les leviers activés par Intériale pour répondre efficacement aux exigences DORA.
1. Bonjour Richard, pouvez-vous nous présenter votre métier et l'organisation dans laquelle vous travaillez ?
Intériale c’est la mutuelle de référence pour les agents de la fonction publique et les étudiants1. Depuis peu, nous avons été retenus par le Ministère de la Justice dans le cadre d’un appel d'offres concernant la protection sociale complémentaire PSC. Nous sommes reconnues pour notre expertise dans la protection sociale complémentaire de ces publics.
Au sein de l’organisation, j’occupe le poste de directeur sûreté et cybersécurité. Mon rôle consiste à piloter la stratégie de sécurité de l’information et à garantir la protection des données sensibles de nos adhérents et collaborateurs, dans un contexte où les enjeux cyber sont de plus en plus prégnants pour le secteur mutualiste.
2. Vous avez fait le choix de mettre en place LockPass pour la gestion des accès. Qu'est-ce qui a orienté votre choix ? Quels étaient vos besoins ?
J’étais déjà client LockPass depuis 5 ans avant de rejoindre l’entreprise; ayant déployé LockPass dans mon précédent poste. En intégrant Intériale j’ai fait le choix de la continuité.
Le déploiement s’est déroulé en trois phases :
Aujourd’hui ce sont plus de 70 collaborateurs équipés. Nous entamons un déploiement progressif sur l’ensemble des équipes dès ce mois d’avril 2025, afin de généraliser cette solution sécurisée à toute l’organisation.
____
La mise en place d’un gestionnaire de mots de passe comme LockPass répondait à plusieurs besoins structurants pour Intériale. D’abord, il s’agissait de s’aligner avec les exigences de notre feuille de route cybersécurité et de notre gouvernance, mais aussi avec les principaux référentiels d’hygiène informatique, tels que l’ISO 27001 (et son annexe A/ISO 27002) ou encore le guide d’hygiène informatique de l’ANSSI, qui recommandent explicitement l’utilisation d’un coffre-fort numérique pour la gestion des accès et des identifiants.
Au-delà de la conformité, notre objectif était double :
En effet, les coffres-forts des navigateurs présentent des limites importantes : en cas de vol ou de compromission du poste de travail, l’accès aux mots de passe est direct et non sécurisé. LockPass permet d’éliminer ce risque en offrant une authentification renforcée, un chiffrement avancé des données et une gestion centralisée des accès à l’échelle de l’organisation.
En résumé, LockPass a été choisi pour répondre à nos impératifs de conformité, de sécurité et de simplicité, tout en garantissant une gestion professionnelle et maîtrisée des accès.
3. Pourquoi avoir fait le choix de déployer LockPass à l'ensemble de vos utilisateurs ? Qu'avez-vous mis en place pour assurer la réussite de ce déploiement à grande échelle ?
Sans outil dédié, nos collaborateurs étaient confrontés à des défis récurrents : difficulté à créer des mots de passe robustes, à mémoriser les identifiants multiples et absence de traçabilité. LockPass agit comme un « coffre-fort unique » : les utilisateurs retiennent un seul mot de passe principal, tandis que l’outil génère et stocke automatiquement des mots de passe complexes pour chaque application.
____
Pour faciliter l’adoption de LockPass nous avons opté pour une approche en trois temps : sensibiliser, équiper, adapter.
4. Pourquoi avoir choisi LockPass ? Quels sont, selon-vous, ses avantages ?
LockPass permet un vrai renforcement de notre posture de sécurité et s’est imposé pour plusieurs raisons :
5. DORA va impacter de nombreuses structures du secteur financier et notamment les mutuelles. Comment cela vous impacte concrètement ?
DORA2, c’est une obligation légale, une couche réglementaire supplémentaire, à laquelle les assureurs mais plus largement tout le tissu des acteurs financiers européen doit se conformer. Mais c’est aussi une opportunité de renforcer notre sécurité qui a été prise en compte à l’échelle de toute l’entreprise.
La journalisation et la traçabilité des actions sont des exigences vraiment marquées dans DORA. On doit pouvoir documenter précisément qui accède à quoi, quand, et comment. LockPass nous permet de journaliser toutes les actions liées aux mots de passe et de pouvoir faire des contrôles et des revues périodiques des accès pour vérifier que les droits sont toujours adaptés, ce qui facilite la conformité.
Cette réglementation fait aussi un vrai focus sur tout ce qui touche à la résilience, au PCA, et à la maîtrise des fournisseurs. Là encore, la mise en place de LockPass nous permet d’être sereins dans la gestion des accès partenaires et la sécurisation du SI.
Nous devons fournir un certain nombre de documents spécifiques (avenant DORA dans nos contrats) avec des clauses d’auditabilité. Aujourd’hui, en cas d’audit, on peut fournir toutes les données nécessaires, les logs, et prouver que tout est bien sous contrôle.
6. De votre point de vue, les structures du secteur mutuelles ont-elles anticipé cette réglementation ? Sont-elles pleinement investies dans ce processus de mise en conformité ou est-ce que cela prend vraiment beaucoup plus de temps avec mise en conformité encore en cours pour la plupart des acteurs ?
DORA, c’est comme le RGPD en 2018 : un enjeu de cybersécurité qui demande du temps. Aujourd’hui, je dirais que nous sommes dans la moyenne haute en termes de maîtrise de DORA, mais je ne pense pas qu’une entreprise puisse prétendre dès la mi-année 2025 « tout contrôler à 100% ».
Pour 2025, il est peu probable que les autorités comme l’ACPR imposent des amendes – elles savent que le règlement vient de sortir et que les organisations ont besoin d’un certain temps pour adresser tous les pans de leur mise en conformité. En revanche, dès le 15 avril, nous devions fournir une cartographie de nos prestataires critiques via un template très exigeant.
Chez Intériale, nous avons anticipé notre mise en conformité DORA dès 2024 avec un plan d’action structuré :
En parallèle, nous avançons vers la certification ISO 27001. L’annexe A de cette norme, plus généraliste que DORA, couvre un spectre plus large, ce qui nous permet de renforcer encore davantage la cybersécurité de notre organisation.
7. Quels sont les leviers prioritaires pour assurer la mise en conformité avec DORA pour une entreprise comme Intériale ?
La maîtrise des fournisseurs est vraiment le point central. DORA a profondément changé la donne : là où, auparavant, externaliser une prestation pouvait donner l’illusion de transférer le risque, la réglementation impose désormais une responsabilité pleine et entière sur l’ensemble de la chaîne, fournisseurs compris. Aujourd’hui, nous devons garantir que chaque prestataire respecte des exigences de sécurité et de résilience strictes.
Cela passe d’abord par une cartographie précise de nos fournisseurs, une évaluation régulière de leurs garanties en matière de cybersécurité, et l’intégration de clauses contractuelles spécifiques : auditabilité, reporting d’incidents, continuité d’activité, réversibilité des services… DORA nous oblige à documenter et à surveiller en continu la conformité de nos partenaires, et à pouvoir démontrer à tout moment que la sécurité est assurée, même en cas d’incident ou de crise.
LockPass contribue d’ailleurs à assurer la maîtrise des accès fournisseurs :
L’outil nous permet d’accorder à un prestataire externe un accès temporaire, sans jamais exposer les identifiants en clair. Cela répond directement aux exigences de DORA sur le chiffrement, la traçabilité et la gestion « just-in-time » des accès critiques.
Nous avons également fait le choix d’un hébergement en cloud privé souverain pour notre instance LockSelf, afin de garantir la disponibilité de nos accès sensibles même en cas de crise majeure sur notre SI.
La certification CSPN de l’ANSSI3 et l’hébergement souverain sont pour nous des critères essentiels : ils apportent une garantie supplémentaire de conformité et de confiance, notamment face aux exigences croissantes en matière de souveraineté et de sécurité des données.
Je pense aussi que demain, la certification SECNUMCLOUD sera de plus en plus importante. Avec LockSelf, nous avons la possibilité d’opter pour un hébergement cloud privé certifié SecNumCloud, ce qui constitue un véritable atout, que nous allons déployer très prochainement.
Dans le contexte géopolitique et réglementaire actuel, la souveraineté numérique est une priorité stratégique pour les entreprises comme la nôtre. S’appuyer sur des solutions souveraines, notamment pour des enjeux critiques comme la gestion des mots de passe, n’est plus une option.
_____
Merci Richard !
Sources :