Les établissements financiers sont indubitablement des cibles de choix pour les cybercriminels. Face à cela, ils doivent mettre en œuvre des mesures de protection efficaces qui se prêtent aussi bien au niveau de risques auquel ils font face qu’à leurs besoins spécifiques. Ces institutions doivent de surcroît veiller à respecter les réglementations en vigueur sur la protection des données personnelles de leurs clients. Ces dernières sont souvent convoitées par les pirates informatiques. Comment savoir si votre établissement financier est suffisamment protégé contre les cyberattaques ?

Comprenez les risques de cyberattaques sur les institutions financières

Les cyberattaques n’ont jamais été aussi nombreuses et poussées. Elles représentent un risque qui n’épargne aucune institution financière. La plupart des cybercriminels ont recours à l’ingénierie sociale. Autrement dit, ils ciblent la vulnérabilité des maillons humains pour arriver à leurs fins.

Le phishing, ou hameçonnage, figure parmi leurs méthodes préférées. Dans ce cadre, les pirates se font passer pour un organisme en qui la structure victime a confiance en utilisant son nom et son logo. Ils lui font parvenir un message qui lui demande en général de confirmer ou d’actualiser ses informations à la suite d’un incident technique. Ces malfaiteurs agissent par SMS, via les réseaux sociaux ou par appel téléphonique. Leur objectif est d’amener la société victime à divulguer des informations sensibles.

Les attaques par rançongiciel, dont le but est de verrouiller le système informatique cible en vue de prendre en otage les données qui s’y trouvent, sont également fréquentes. Le DDoS (Distributed Denial of Service) est quant à lui une attaque visant à saturer le réseau ou le serveur de l’institution cible. Cette attaque se sert d’une quantité incommensurable de requêtes malveillantes pour le rendre indisponible ou hors service.

On recense aussi l’attaque par injection qui consiste en l’introduction d’un code malveillant dans une application web ou une base de données. Le but est de modifier, de voler ou de détruire des données.

Quoi qu’il en soit, les attaques informatiques peuvent induire un impact financier lourd (paiement d’une rançon, vol d’argent…). Elles provoquent également de pertes indirectes (coût de restauration, amendes réglementaires, perte de clients ou de partenaires…).

Que faut-il rechercher dans les mesures de cybersécurité d’une institution financière ?

Il est recommandé de soumettre votre institution financière à un audit de conformité SWIFT CSP pour vérifier si elle est bien protégée contre les cyberattaques. Il s’agit d’un processus visant à vérifier son respect des normes de sécurité établies par le Customer Security Program (CSP).

Ce dernier comprend un ensemble de contrôles de sécurité obligatoires et conseillés. Ces contrôles couvrent un panel élargi d’aspects tels que la surveillance des activités, la protection du réseau, la gestion des incidents, etc. L’audit doit se faire annuellement et le niveau de conformité constaté doit faire l’objet d’une déclaration avant le 31 décembre.

Il vous permet de renforcer votre sécurité, de prévenir les risques d’attaques informatiques et d’améliorer votre cyber-résilience. Cet audit a aussi pour but d’assurer le maintien de la confiance au sein de la communauté financière.

Qui plus est, il offre aux auditeurs et aux régulateurs externes une vision claire de votre niveau de sécurité. L’audit leur permet de vérifier votre conformité aux réglementations en vigueur. Le même processus permet à SWIFT de s’assurer que vous respectez ses exigences minimales de sécurité. Parmi les éléments à rechercher dans les mesures de cybersécurité d’un établissement financier, on peut citer :

• le cryptage des données,
• l’authentification renforcée,
• les mises à jour et les correctifs,
• la surveillance en temps réel,
• la formation du personnel,
• la stratégie de cyber-résilience.

Hormis la protection, cette dernière s’articule autour de la détection, de la réponse et de la reprise. L’ensemble de ces mesures doit être régulièrement évalué et mis à jour en fonction de l’évolution des technologies et des menaces.

Assurez-vous de la sécurité des données personnelles

La sécurité des données personnelles est un aspect particulièrement important de la sécurité des établissements financiers. Ces précieux actifs sont très convoités par les cybercriminels. Votre institution est donc contrainte de vous conformer constamment au RGPD (règlement général sur la protection des données). Il s’agit plus exactement du cadre juridique qui encadre rigoureusement le traitement et la circulation des données personnelles sur tout le territoire de l’Union européenne. Comme l’exige ce règlement européen, vous êtes tenu :

• de désigner un DPO (délégué à la protection des données),
• de vous constituer un registre de traitement de données à jour,
• d’éliminer les données inutiles,
• de respecter les droits des personnes,
• d’encadrer la sous-traitance des traitements.

Il vous revient aussi de mettre de l’accent sur la sécurisation des données personnelles. Cela inclut l’utilisation de logiciels et d’antivirus à jour, le chiffrement des données, l’utilisation de mots de passe forts, la surveillance des comptes, la vérification des politiques de confidentialité… On note en plus la restriction de l’accès aux données, l’authentification des utilisateurs, la protection du réseau informatique, la sécurisation des serveurs et des locaux, etc.