Trouver des réponses à des menaces globales

La digitalisation de la finance offre la promesse de grands b&eacute;n&eacute;fices pour la soci&eacute;t&eacute;. Les services financiers pourraient devenir moins chers, plus faciles &agrave; utiliser et plus largement accessibles. Mais un syst&egrave;me financier ouvert et interconnect&eacute; est &eacute;galement expos&eacute; &agrave; des formes d&rsquo;activit&eacute;s criminelles nouvelles et en constante &eacute;volution. En effet, les cyberattaques sont devenues une menace majeure pour tous les acteurs du syst&egrave;me financier au niveau mondial, et pr&eacute;sentent un risque consid&eacute;rable pour la stabilit&eacute; financi&egrave;re. Identifier et traiter les nouvelles vuln&eacute;rabilit&eacute;s au sein du syst&egrave;me financier est au cœur du mandat du Conseil de stabilit&eacute; financi&egrave;re (FSB). Pour y parvenir, le FSB encourage la coop&eacute;ration sur les sujets de stabilit&eacute; financi&egrave;re et promeut l&rsquo;&eacute;change d&rsquo;informations entre autorit&eacute;s responsables de la stabilit&eacute; financi&egrave;re. C&rsquo;est pour cette raison que les membres du FSB se penchent sur les risques cyber depuis plusieurs ann&eacute;es, en essayant de comprendre l&rsquo;impact des incidents sur le syst&egrave;me financier et en &eacute;tudiant les r&eacute;ponses des autorit&eacute;s. Pour la coop&eacute;ration internationale Les arguments en faveur de la coop&eacute;ration internationale dans le secteur financier sont tr&egrave;s solides. En premier lieu, les cybermenaces qui p&egrave;sent sur le secteur financier sont mondiales &agrave; double titre. Les cyber-risques eux-m&ecirc;mes sont mondiaux. Ils peuvent provenir de n&rsquo;importe o&ugrave; et toucher n&rsquo;importe qui sur la plan&egrave;te. Et les cyberincidents ont lieu dans un syst&egrave;me financier qui est fortement et internationalement interconnect&eacute;, &agrave; travers les infrastructures financi&egrave;res mais aussi &agrave; travers les expositions transfrontali&egrave;res et les op&eacute;rations internationales des diff&eacute;rentes institutions financi&egrave;res. C&rsquo;est une tendance qui ne va faire que cro&icirc;tre avec l&rsquo;int&eacute;gration et la digitalisation toujours plus importantes du syst&egrave;me financier. L&rsquo;attaque de la Banque du Bengladesh en 2016 en est une illustration. L&rsquo;incident a affect&eacute; des institutions au Bengladesh, en Belgique, aux Philippines, au Vietnam et aux &Eacute;tats-Unis. Il a touch&eacute; une banque centrale, des banques commerciales et une infrastructure financi&egrave;re internationale majeure. Une autre raison pour laquelle la coop&eacute;ration est si importante est le fait que le secteur financier est une cible privil&eacute;gi&eacute;e des cyberattaques, pour des raisons &agrave; la fois financi&egrave;res et symboliques. IBM estime ainsi que 19 % de l&rsquo;ensemble des incidents et attaques cyber en 2018 ont vis&eacute; des services financiers, plus que dans tout autre secteur [1] . Les menaces &eacute;voluent rapidement, sont de plus en plus sophistiqu&eacute;es et capables d&rsquo;impacter des institutions de toute taille, en visant le maillon le plus faible de la cha&icirc;ne. Pour les institutions financi&egrave;res qui ont de larges bases de clients particuliers, qui peuvent avoir des dizaines de millions de clients, cela signifie avoir une large surface &agrave; prot&eacute;ger. Les d&eacute;fis de la coop&eacute;ration internationale En d&eacute;pit de la force des arguments en faveur d&rsquo;une coop&eacute;ration internationale face aux cybermenaces, celle-ci comporte des d&eacute;fis importants. Tout d&rsquo;abord, beaucoup de questions qui se posent concernant le partage d&rsquo;informations relatives aux risques cyber et &agrave; la cybers&eacute;curit&eacute; peuvent rendre la coop&eacute;ration plus difficile. Un des aspects &eacute;tant la confidentialit&eacute; et la sensibilit&eacute; des informations. Certaines d&rsquo;entre elles, concernant par exemple la cyberd&eacute;fense ou des vuln&eacute;rabilit&eacute;s identifi&eacute;es, peuvent relever de questions de s&eacute;curit&eacute; nationale. Un autre sujet, voisin, est la confiance n&eacute;cessaire &agrave; ces &eacute;changes, qui peut prendre du temps &agrave; construire. Plus globalement, l&rsquo;&eacute;volution rapide des cybermenaces soul&egrave;ve la question de savoir si les processus de coop&eacute;ration r&eacute;glementaire sont suffisamment agiles pour &ecirc;tre totalement efficaces, &agrave; la fois en termes de vitesse et d&rsquo;implication des parties prenantes. Ce sont des d&eacute;fis difficiles &agrave; relever. Mais ils ne sont pas fondamentalement diff&eacute;rents de ceux auxquels la r&eacute;glementation et la supervision internationales ont eu &agrave; faire jusque-l&agrave;. La coop&eacute;ration en mati&egrave;re de cybers&eacute;curit&eacute; impose une responsabilit&eacute; particuli&egrave;re sur trois sujets : am&eacute;liorer la compr&eacute;hension mutuelle des enjeux, s&rsquo;assurer qu&rsquo;il y a un langage commun qui facilite la communication effective entre les autorit&eacute;s et le secteur priv&eacute;, et chercher &agrave; identifier des solutions possibles et progresser dans des domaines o&ugrave; la confidentialit&eacute; de l&rsquo;information est moins sensible. Le travail du FSB L&rsquo;agenda du FSB concernant la cybers&eacute;curit&eacute; a &eacute;volu&eacute; dans trois directions, chacune renfor&ccedil;ant les autres, alors que nos membres ont appris les uns des autres et partag&eacute; leurs exp&eacute;riences. Tout d&rsquo;abord, les membres du FSB ont am&eacute;lior&eacute; leur compr&eacute;hension mutuelle des approches de la cybers&eacute;curit&eacute;. En 2017, le FSB a dress&eacute; le bilan des r&eacute;glementations du secteur financier en mati&egrave;re de cybers&eacute;curit&eacute;, des lignes directrices et des pratiques des superviseurs [2] . Cet inventaire r&eacute;v&egrave;le que toutes les juridictions membres du FSB ont publi&eacute; des r&eacute;glementations ou des lignes directrices concernant la cybers&eacute;curit&eacute; du secteur financier, et que ces travaux s&rsquo;inspirent du m&ecirc;me petit corpus de standards ou de lignes directrices nationaux ou internationaux d&eacute;velopp&eacute;s pr&eacute;alablement. Dans le m&ecirc;me temps, les contacts avec les entreprises soulignent l&rsquo;importance d&rsquo;une approche globale coh&eacute;rente qui &eacute;vite les syst&egrave;mes de r&eacute;glementation multiples et potentiellement contradictoires. Ce travail a catalys&eacute; des discussions autour de la cybers&eacute;curit&eacute; au sein du FSB, et il a &eacute;galement nourri le d&eacute;bat public sous la forme de ce rapport de 2017. Deuxi&egrave;mement, pour contribuer &agrave; l&rsquo;&eacute;laboration d&rsquo;un langage commun, le FSB a publi&eacute; en novembre 2018 un lexique cyber pour faciliter son propre travail et celui des corpus d&rsquo;&eacute;laboration de normes, et des autorit&eacute;s et participants du secteur priv&eacute; [3] . Le cyberlexique comprend un jeu d&rsquo;environ 50 termes essentiels relatifs &agrave; la cybers&eacute;curit&eacute; et &agrave; la cyber-r&eacute;silience du secteur financier. Ces termes doivent favoriser la compr&eacute;hension commune d&rsquo;une terminologie pertinente en mati&egrave;re de cybers&eacute;curit&eacute; et de cyber-r&eacute;silience au sein du secteur financier dans son ensemble, incluant les banques, les march&eacute;s financiers, les infrastructures, l&rsquo;assurance et les march&eacute;s de capitaux, et avec les autres secteurs industriels. Une compr&eacute;hension commune au sein du secteur financier, incluant autorit&eacute;s et acteurs priv&eacute;s, peut non seulement aider &agrave; am&eacute;liorer la cybers&eacute;curit&eacute; et la cyber r&eacute;silience dans l&rsquo;ensemble du secteur, mais aussi fournir les bases pour mesurer et contr&ocirc;ler les risques associ&eacute;s pour la stabilit&eacute; financi&egrave;re. Troisi&egrave;mement, le FSB d&eacute;veloppe actuellement des pratiques efficaces destin&eacute;es &agrave; aider &agrave; r&eacute;soudre les incidents et faciliter la reprise ou la poursuite d&rsquo;activit&eacute;. La capacit&eacute; des institutions financi&egrave;res &agrave; r&eacute;pondre aux cyberincidents et &agrave; se r&eacute;tablir de mani&egrave;re saine et rapide est un &eacute;l&eacute;ment cl&eacute; de la cyber-r&eacute;silience. L&rsquo;objectif de l&rsquo;initiative actuelle du FSB est de cr&eacute;er une bo&icirc;te &agrave; outils que le secteur priv&eacute; et les autorit&eacute;s peuvent utiliser pour renforcer leurs capacit&eacute;s &agrave; se d&eacute;fendre. Cette bo&icirc;te &agrave; outils va se concentrer sur les fonctions de r&eacute;ponse aux attaques et de reprise d&rsquo;activit&eacute;. La fonction R&eacute;ponse implique la mise en œuvre de mesures et l&rsquo;impl&eacute;mentation de processus appropri&eacute;s apr&egrave;s la d&eacute;tection d&rsquo;un &eacute;v&eacute;nement cyber. La fonction Reprise implique le d&eacute;veloppement et l&rsquo;impl&eacute;mentation de mesures appropri&eacute;es pour entretenir les plans de cyber-r&eacute;silience et restaurer les activit&eacute;s et services perturb&eacute;s du fait de la cyberattaque. En juillet 2019, le FSB a lanc&eacute; une enqu&ecirc;te aupr&egrave;s des institutions financi&egrave;res pour rassembler des informations sur leurs pratiques concernant les actions mises en œuvre face &agrave; un cyberincident et pour organiser la reprise de leurs activit&eacute;s [4] . Le FSB m&egrave;nera une consultation &agrave; partir du rapport qui &eacute;manera de cette enqu&ecirc;te sur les pratiques efficaces en d&eacute;but d&rsquo;ann&eacute;e prochaine et invite toutes les parties prenantes &agrave; r&eacute;pondre &agrave; cette consultation car nous sommes tr&egrave;s d&eacute;sireux de conna&icirc;tre les pratiques les plus efficaces d&eacute;j&agrave; en cours. Enfin, le FSB va &eacute;galement continuer &agrave; discuter de questions relatives aux risques cyber dans le cadre de ses travaux r&eacute;guliers d&rsquo;&eacute;valuation des vuln&eacute;rabilit&eacute;s du syst&egrave;me financier. Ses travaux ant&eacute;rieurs dans ce domaine ont d&eacute;j&agrave; aid&eacute; les autorit&eacute;s &agrave; r&eacute;fl&eacute;chir aux r&eacute;ponses qu&rsquo;elles doivent apporter aux incidents cyber. Le prix &agrave; payer pour une coop&eacute;ration r&eacute;ussie en mati&egrave;re de cybers&eacute;curit&eacute; est &eacute;lev&eacute;, &agrave; la fois en termes de meilleure r&eacute;silience et dans la pr&eacute;vention de la fragmentation des r&eacute;glementations. Mais ainsi sont les d&eacute;fis. Il faut une combinaison de volont&eacute; et de reconnaissance claire de l&rsquo;importance des d&eacute;fis sp&eacute;cifiques autour des sujets de confidentialit&eacute;, de confiance et de vitesse de r&eacute;action. Si on garde cela &agrave; l&rsquo;esprit, une coop&eacute;ration r&eacute;ussie est possible. Le FSB l&rsquo;a d&eacute;j&agrave; d&eacute;montr&eacute; dans d&rsquo;autres domaines. Traduit de l'anglais par L.B. 1 IBM (2019), X-Fore Threat Intelligence Index : https://www.ibm.com/downloads/cas/ZGB3ERYD. 2 FSB, Stocktake of Publicly Released Cybersecurity Regulations, Guidance and Supervisory Practices, octobre 2017 : https://www.fsb.org/2017/10/summary-report-on-financial-sector-cybersecurity-regulations-guidance-and-supervisory-practices/. 3 FSB, Cyber Lexicon, novembre 2018 : https://www.fsb.org/2018/11/cyber-lexicon/. 4 FSB, Cyber Incident Response and Recovery: Survey of Industry Practice, 11 juillet 2019 : https://www.fsb.org/2019/07/cyber-incident-response-and-recovery-survey-of-industry-practices/.

RECHERCHEZ UN ARTICLE, UNE CHRONIQUE, PARMI L'ENSEMBLE DES PUBLICATIONS

RECHERCHEZ UN AUTEUR

Archive

FSB

Trouver des réponses à des menaces globales

Le Conseil de stabilité financière (FSB) mène des travaux depuis quelques années pour améliorer la résilience du système financier face aux cybermenaces. Il participe aussi à favoriser davantage de coopération internationale entre parties prenantes en matière de cybersécurité.

À retrouver dans la revue

Banque de détail

[Web Only] Tarifs bancaires : les banques amortissent l’inflation

Blockchain/Cryptoactifs

Les garanties bancaires
sont d’excellents cas d’usage

Banque de financement et d'investissement (BFI)

« Paris est le centre de gravité
pour tous les instruments financiers traités en euros »

Paiements

Le droit de la responsabilité civile appliqué à des virements frauduleux en devises

Archive

Panorama réglementaire des actifs numériques

Archive

Sberbank : une valeur anéantie à zéro en fonds de portefeuille

Archive

La transformation repose sur des directions responsables et des équipes pluridisciplinaires

Suivez-nous

RECHERCHEZ UN ARTICLE, UNE CHRONIQUE, PARMI L'ENSEMBLE DES PUBLICATIONS

RECHERCHEZ UN AUTEUR

FSB

Trouver des réponses à des menaces globales

Le Conseil de stabilité financière (FSB) mène des travaux depuis quelques années pour améliorer la résilience du système financier face aux cybermenaces. Il participe aussi à favoriser davantage de coopération internationale entre parties prenantes en matière de cybersécurité.

À retrouver dans la revue

[Web Only] Tarifs bancaires : les banques amortissent l’inflation

Les garanties bancaires sont d’excellents cas d’usage

« Paris est le centre de gravité pour tous les instruments financiers traités en euros »

Le droit de la responsabilité civile appliqué à des virements frauduleux en devises

Panorama réglementaire des actifs numériques

Sberbank : une valeur anéantie à zéro en fonds de portefeuille

La transformation repose sur des directions responsables et des équipes pluridisciplinaires

Les garanties bancaires
sont d’excellents cas d’usage

« Paris est le centre de gravité
pour tous les instruments financiers traités en euros »