Cyberrisques 2022
Des cyberattaques réussies visant des entreprises établies en Suisse et dans le monde font régulièrement les gros titres. Les cyberattaques sont toujours plus sophistiquées et les pirates développent constamment de nouvelles méthodes. De plus, de nouvelles failles de sécurité apparaissent constamment et les entreprises doivent les combler ou les corriger très rapidement. Un exemple récent est la vulnérabilité «Log4j», une faille dans une bibliothèque de journalisation largement utilisée pour les applications Java, qui est apparue fin 2021 et a pu être exploitée très facilement par le biais d’Internet. De nombreux assujettis ont réagi rapidement afin de maîtriser la faille dès que possible. Les entreprises qui avaient préparé des instructions et des procédures pour de tels scénarios et les avaient testées dans le cadre de leurs activités normales ont en particulier été en mesure de gérer l’incident de manière efficace et rapidement.
Entre septembre 2020 et septembre 2022, les établissements assujettis à la surveillance de la FINMA ont signalé 145 cyberattaques au total, dont 65 depuis la publication du dernier monitorage des risques. L’analyse des attaques signalées au cours des douze derniers mois révèle que le centre de gravité des attaques s’est déplacé du type distributed denial of service (DDoS) vers les logiciels malveillants (dans un premier temps par le biais de prestataires de services externes). La méthode d’attaque la plus courante était l’attaque via un prestataire de services externe dans le cadre d’une externalisation.
Sur la base de son activité de surveillance, la FINMA considère actuellement que les facteurs de risque suivants sont au premier plan:
- Certains assujettis n’ont aucun plan de réaction ou des plans de réaction incomplets en cas de cyberincidents ou ne vérifient pas l’efficacité de ces plans.
- Les assujettis n’intègrent pas explicitement les cyberrisques dans leurs systèmes de gestion qualitative des risques opérationnels. Ils ne sont donc pas en mesure de garantir une gestion systématique et complète des cyberrisques.
- Les assujettis ne définissent pas suffisamment les cyberrisques et leur tolérance au risque en la matière, voire ils n’ont aucun concept de cyberprotection.
- Certains assujettis n’ont pas défini d’exigences claires en matière de cybersécurité à l’égard de leurs prestataires ou ne vérifient pas régulièrement le respect de celles-ci.
(Extraits du Monitorage des risques 2022)
