Cyber-risques 2022

La professionnalisation croissante des criminels et les délais toujours plus courts entre l'annonce et l'exploitation de failles de sécurité critiques maintiennent le secteur financier sur ses gardes. Une attaque réussie peut entraîner des pannes et des interruptions des systèmes de technologies de l’information et de la communication et mettre en péril les objectifs de protection en matière de disponibilité, de confidentialité et d’intégrité. Les facteurs de risque spécifiques incluent le manque de sensibilisation à la manière de gérer les cyber-risques – que ce soit parmi les employés ou en raison d'une gouvernance inadéquate. En outre, les processus cyber de nombreuses institutions sont trop fragmentés pour leur permettre de procéder à une évaluation complète de leur propre situation en matière de cyberrisques. Le risque reste donc élevé dans ce domaine.

Les cyberattaques réussies contre des entreprises établies en Suisse et ailleurs font régulièrement la une des journaux. Les cyberattaques sont de plus en plus sophistiquées et les attaquants développent constamment de nouvelles méthodes. En outre, des failles de sécurité apparaissent constamment, que les entreprises doivent combler ou atténuer très rapidement. Un exemple récent est la vulnérabilité « Log4j », une faille dans un outil de journalisation largement utilisé pour les applications Java, découverte fin 2021 et qui pourrait être exploitée très facilement sur Internet. De nombreuses entreprises surveillées ont réagi rapidement afin de combler rapidement l'écart. En particulier, les entreprises qui avaient préparé des instructions et des procédures pour de tels scénarios et les avaient testées dans le cadre de leurs opérations commerciales régulières ont pu réagir efficacement et rapidement à l'incident.

Les institutions surveillées ont signalé un total de 145 cyberattaques à la SFMA entre septembre 2020 et septembre 2022. Depuis la publication du dernier Risk Monitor, 65 attaques ont été ajoutées. Une évaluation des attaques signalées au cours des douze derniers mois montre que les attaques se sont déplacées du type « déni de service distribué » (DDoS) vers les logiciels malveillants (notamment via des prestataires de services externes). La méthode d'attaque la plus fréquente a été le recours à un prestataire de services externe dans le cadre d'un accord d'externalisation.

La SFMA identifie actuellement les principaux facteurs de risque suivants dans son travail de surveillance:

• Certaines des entreprises surveillées n'ont pas mis en place de plans de réponse aux cyberincidents, ou seulement de manière incomplète, ou n'évaluent pas l'efficacité de ces plans.
• Les établissements surveillés n'intègrent pas explicitement les cyber-risques dans leur gestion qualitative des risques opérationnels. Cela signifie qu'une gestion systématique et complète des cyber-risques ne peut pas être garantie.
• Les institutions surveillées ne définissent pas de manière adéquate leurs cyber-risques et leur tolérance au risque associée ou il n'existe aucun concept de cyberprotection.
• Dans certains cas, les entreprises surveillées n'imposent pas d'exigences claires en matière de cybersécurité aux prestataires de services ou ne vérifient pas régulièrement si celles-ci sont respectées.

(Tiré du Risk Monitor 2022)

Documents

Graphiques et informations visuelles