Dossier cyberrisques

Le cyberrisque est resté élevé sur le marché financier. La gestion des cyberrisques a été par conséquent un axe prioritaire dans l’activité de surveillance de la FINMA en 2023.

Les cyberrisques restent l’un des plus grands risques opérationnels pour les assujettis. À cet égard, le secteur financier suisse n’est pas épargné par les cyberattaques.

Des cyberattaques réussies visant des établissements dans tous les secteurs ont de nouveau fait les gros titres en 2022 en Suisse et dans le monde. La FINMA a aussi constaté une hausse des cyberattaques annoncées contre les établissements assujettis.

Le professionnalisme accru des acteurs et les délais toujours plus courts entre l’annonce et l’exploitation des failles de sécurité critiques occupent constamment le secteur financier.

Des cyberattaques visant des entreprises établies dans tous les secteurs ont fait les gros titres en Suisse et dans le monde. La FINMA a aussi constaté une hausse des cyberattaques annoncées. Depuis l’entrée en vigueur des précisions sur l’obligation d’annoncer les cyberattaques, publiées dans la communication sur la surveillance 05/2020 en septembre 2020, 95 actes ayant des conséquences significatives pour les assujettis concernés ont été signalés. Les banques ont été les plus touchées, suivies par les gestionnaires de fortune et les assurances.

La pandémie de coronavirus a donné un élan supplémentaire à la numérisation. Mais avec la numérisation croît aussi la dépendance vis-à-vis des technologies de l’information et de la communication, laquelle peut conduire, chez des établissements financiers suisses, à des vulnérabilités marquées. Par exemple, si des systèmes informatiques venaient à dysfonctionner, notamment suite à des cyberattaques, cela pourrait nuire à la disponibilité, à la confidentialité et à l’intégrité de services et fonctions critiques.

La dépendance envers les technologies de l’information et de la communication a continué d’augmenter en 2020. Elle a été stimulée par les stratégies de numérisation des assujettis et encore renforcée par le passage au télétravail à large échelle en raison de la pandémie. Cette dépendance a accru la vulnérabilité des établissements financiers face aux cyberattaques. La FINMA a par conséquent évalué ce risque comme étant plus élevé que l’année précédente. Elle le considère comme l’un des sept risques principaux menaçant la place financière suisse.

Les technologies de l’information et de la communication sont fortement, et toujours plus, connectées et donc interdépendantes, ce qui est synonyme pour les établissements financiers suisses de vulnérabilités aiguës. Par exemple, si des systèmes informatiques venaient à dysfonctionner notamment suite à des cyberattaques, cela pourrait nuire à la disponibilité, à la confidentialité et à l’intégrité de services et fonctions critiques. Selon la nature des cyberattaques, cela peut avoir des conséquences non seulement pour les différents établissements financiers, mais aussi sur la capacité de fonctionnement de toute la place financière suisse.

L’évolution technologique et les dernières tendances ont incité la FINMA à renforcer ses ressources affectées à la surveillance des cyberrisques, lesquels sont surveillés directement, notamment à l’aide des contrôles sur place ciblés effectués par la FINMA, ainsi qu’indirectement lors des audits prudentiels réalisés par les sociétés d’audit.

Les technologies de l’information et de la communication sont fortement, et toujours plus, connectées et donc interdé-pendantes, ce qui est synonyme pour les établissements financiers suisses de vulnérabilités aiguës. Par exemple, si des systèmes informatiques venaient à dysfonctionner notamment suite à des ­cyberattaques, cela pourrait nuire à la disponi-bilité de services et fonctions critiques.

La surveillance de la FINMA se concentre sur le traitement des risques induits par la technologie, tels que la menace de cyberattaques ou l’externalisation de parts de la chaîne de création de valeur (outsourcing).

Les attaques visant l’infrastructure informatique des banques suisses constituent un risque à plusieurs égards. En plus des attaques de type phishing, de l’utilisation de maliciels ou de l’indisponibilité des systèmes informatiques, les établissements financiers suisses sont confrontés à des menaces de plus en plus sophistiquées et complexes.