Dossier cyberrisques

Le professionnalisme accru des acteurs et les délais toujours plus courts entre l’annonce et l’exploitation des failles de sécurité critiques occupent constamment le secteur financier.

Des cyberattaques visant des entreprises établies dans tous les secteurs ont fait les gros titres en Suisse et dans le monde. La FINMA a aussi constaté une hausse des cyberattaques annoncées. Depuis l’entrée en vigueur des précisions sur l’obligation d’annoncer les cyberattaques, publiées dans la communication sur la surveillance 05/2020 en septembre 2020, 95 actes ayant des conséquences significatives pour les assujettis concernés ont été signalés. Les banques ont été les plus touchées, suivies par les gestionnaires de fortune et les assurances.

La pandémie de coronavirus a donné un élan supplémentaire à la numérisation. Mais avec la numérisation croît aussi la dépendance vis-à-vis des technologies de l’information et de la communication, laquelle peut conduire, chez des établissements financiers suisses, à des vulnérabilités marquées. Par exemple, si des systèmes informatiques venaient à dysfonctionner, notamment suite à des cyberattaques, cela pourrait nuire à la disponibilité, à la confidentialité et à l’intégrité de services et fonctions critiques. Selon la nature des cyberattaques, cela peut avoir des conséquences non seulement pour les différents établissements financiers, mais aussi sur le bon fonctionnement de l’ensemble de la place financière suisse. La pandémie de coronavirus a renforcé ces vulnérabilités, par exemple parce que l’augmentation du télétravail crée de nouvelles vulnérabilités potentielles pour les pirates. Le risque demeure donc élevé.

La dépendance envers les technologies de l’information et de la communication a continué d’augmenter en 2020. Elle a été stimulée par les stratégies de numérisation des assujettis et encore renforcée par le passage au télétravail à large échelle en raison de la pandémie. Cette dépendance a accru la vulnérabilité des établissements financiers face aux cyberattaques. La FINMA a par conséquent évalué ce risque comme étant plus élevé que l’année précédente. Elle le considère comme l’un des sept risques principaux menaçant la place financière suisse.

Les technologies de l’information et de la communication sont fortement, et toujours plus, connectées et donc interdépendantes, ce qui est synonyme pour les établissements financiers suisses de vulnérabilités aiguës. Par exemple, si des systèmes informatiques venaient à dysfonctionner notamment suite à des cyberattaques, cela pourrait nuire à la disponibilité, à la confidentialité et à l’intégrité de services et fonctions critiques. Selon la nature des cyberattaques, cela peut avoir des conséquences non seulement pour les différents établissements financiers, mais aussi sur la capacité de fonctionnement de toute la place financière suisse. La pandémie de COVID-19 a encore accentué ces fragilités, car de nombreux collaborateurs d’établissements financiers travaillent en dehors des bureaux et créent ainsi de nouvelles vulnérabilités potentielles pour les pirates.

L’évolution technologique et les dernières tendances ont incité la FINMA à renforcer ses ressources affectées à la surveillance des cyberrisques, lesquels sont surveillés directement, notamment à l’aide des contrôles sur place ciblés effectués par la FINMA, ainsi qu’indirectement lors des audits prudentiels réalisés par les sociétés d’audit.

Les technologies de l’information et de la communication sont fortement, et toujours plus, connectées et donc interdé-pendantes, ce qui est synonyme pour les établissements financiers suisses de vulnérabilités aiguës. Par exemple, si des systèmes informatiques venaient à dysfonctionner notamment suite à des ­cyberattaques, cela pourrait nuire à la disponi-bilité de services et fonctions critiques.

La surveillance de la FINMA se concentre sur le traitement des risques induits par la technologie, tels que la menace de cyberattaques ou l’externalisation de parts de la chaîne de création de valeur (outsourcing).

Les attaques visant l’infrastructure informatique des banques suisses constituent un risque à plusieurs égards. En plus des attaques de type phishing, de l’utilisation de maliciels ou de l’indisponibilité des systèmes informatiques, les établissements financiers suisses sont confrontés à des menaces de plus en plus sophistiquées et complexes.