Pourquoi la loi DORA pose-t-elle un problème d'architecture pour les systèmes hérités ?
La loi DORA (Digital Operational Resilience Act) exige des capacités pour lesquelles les architectures existantes n'ont jamais été conçues.
La loi DORA n'est plus un exercice de conformité à anticiper. Elle est en vigueur, activement appliquée et axée sur la résilience opérationnelle, l'observabilité et le contrôle. De nombreux environnements existants peuvent répondre aux exigences documentaires, mais rencontrent des difficultés à satisfaire les exigences d’architecture.
Le traitement par lots, les dépendances non documentées et les platesformes reposant sur un fournisseur unique créent des écarts qui ne peuvent pas être comblés uniquement par des améliorations de processus.
DORA n'est pas seulement un enjeu de conformité. C'est un déclencheur de modernisation.
Pourquoi l'inventaire des actifs TIC est-il si difficile dans les environnements existants ?
Dans la plupart des environnements existants, les dépendances critiques sont intégrées dans le code et non dans la documentation.
La loi DORA exige un inventaire des actifs TIC et de leurs interdépendances, à jour en continu, traçable et auditable. Dans de nombreux parcs d'ordinateurs centraux, ces relations n'existent que dans les chaînes de lots, les planificateurs de tâches et les connaissances informelles détenues par les ingénieurs présents depuis de nombreuses années.
La cartographie automatisée des dépendances devient de plus en plus la seule approche crédible pour répondre à cette exigence et devient également le socle de toute feuille de route de modernisation réaliste.
Pourquoi les systèmes hérités ne peuvent-ils pas répondre aux exigences en matière de rapports d'incidents en temps réel ?
Les architectures existantes détectent les incidents trop tard, souvent seulement après la fin des cycles de traitement par lots.
La loi DORA impose la détection et la notification des incidents TIC majeurs dans des délais de quelques heures. Les systèmes basés sur le traitement par lots retardent la visibilité jusqu’à la fin des traitements planifiés, rendant une réaction rapide difficile, voire impossible.
L'observabilité moderne, la surveillance en temps réel, le traçage et les mécanismes d'alerte ne peuvent pas être ajoutés de manière réellement efficace à des architectures qui n'ont jamais été conçues pour les prendre en charge. Il ne s'agit pas d'un problème de gouvernance, mais d'une limitation de conception.
Cela explique également pourquoi de nombreuses initiatives d'IA échouent dans des environnements hérités dépourvus de données en temps réel et de systèmes d'observabilité, ce qui renforce la nécessité d'une modernisation de l'IA.
Comment DORA modifie-t-elle le profil de risque des dépendances mainframe ?
La loi transforme des dépendances longtemps considérées comme acceptables en risques de concentration clairement identifiés.
La loi DORA impose aux établissements d’identifier et de gérer les risques de concentration liés aux prestataires tiers TIC. Les systèmes centraux dépendant de :
- un seul fournisseur de matériel ;
- une pile d'intergiciels ;
- un vivier de compétences en diminution ;
entrent désormais directement dans le périmètre de supervision.
Si la loi DORA n'impose pas l'abandon immédiat des ordinateurs centraux, elle exige toutefois que les établissements démontrent une démarche active de gestion et de réduction des risques dans le temps.
Les efforts de modernisation passent donc d’un objectif de réduction des coûts à une nécessité réglementaire.
