Cela va se produire. Un trésorier d’entreprise d’une entreprise de taille moyenne reçoit un e-mail confidentiel marqué « urgent » du PDG avec des instructions pour transférer 750 000 USD vers un compte bancaire à l’étranger en tant qu’acompte sur une acquisition en attente.
Sachant qu’un tel accord est en cours et ne souhaitant pas remettre en question la directive d’un dirigeant senior, le trésorier se conforme rapidement et rentre chez lui pour la journée.
Le lendemain matin, le trésorier se réveille avec un appel téléphonique furieux du PDG demandant pourquoi une si grande somme d’argent est sortie sans l’approbation personnelle du PDG. Plus tard dans l’après-midi, alors qu’il devient clair que la confusion est le résultat d’une escroquerie par hameçonnage ciblé et que les fonds ont été volés, ce trésorier est licencié.
Les trésoriers n’obtiennent généralement pas beaucoup d’attention dans les entreprises. Il s’agit généralement de rayons invisibles dans les roues financières qui traitent les décaissements internes et externes et assurent le bon fonctionnement et l’efficacité de la fonction financière. Mais récemment, alors que les systèmes de gestion de trésorerie (TMS) sont passés en ligne, les transactions de trésorerie sont devenues exposées au monde et aux pirates informatiques.
Par conséquent, de nombreux trésoriers se retrouvent à porter un nouveau chapeau inattendu : un combattant de cybercriminalité.
« Le trésor de données personnelles et d’entreprise, son autorité à effectuer des paiements et à déplacer de grandes quantités d’espèces, et sa structure souvent complexe en font un choix attrayant pour les cybercriminels », selon un rapport de l’Economist Intelligence Unit et de la Deutsche Bank.
Des piratages de trésorerie d’entreprise attendent de se produire
Un grand nombre des attaques les plus médiatisées impliquant des trésoriers ont ciblé des agences gouvernementales. Mais cela ne signifie pas que les trésoriers d’entreprise sont à l’abri. Une enquête de l’Association for Financial Professionals (AFP) rapporte que 71 % des entreprises ont été victimes d’attaques ou de tentatives de fraude au paiement en 2021, et que près de 70 % ont été ciblées par la compromission des e-mails professionnels (BEC), les services des comptes fournisseurs étant les plus sensibles.
« Il y aura quelqu’un, quelque part, qui trouvera un moyen d’accéder à votre système. Les trésoriers doivent planifier ce qu’ils feront lorsque cela se produira. »Naresh Aggarwal, directeur adjoint des politiques et des aspects techniques, Association of Corporate Treasurers
Naresh Aggarwal, directeur adjoint des politiques et de la technique pour l’Association des trésoriers d’entreprise (Association of Corporate Treasurers, ACT) au Royaume-Uni, déclare que, bien que nombre de ces attaques passent souvent sous le radar du public, ce n’est qu’une question de temps avant que les trésoriers d’entreprise ne découvrent que leurs départements sont victimes des grands piratages qui ont affecté leurs collègues du secteur public.
« Il est fallacieux de penser que toute organisation peut se mettre à l’abri des attaques », déclare Aggarwal. « Dans ce jeu de sécurité chat et souris auquel nous jouons, il y aura quelqu’un, quelque part, qui trouvera un moyen d’accéder à votre système. Les trésoriers doivent planifier ce qu’ils feront lorsque cela se produira. »
Aggarwal affirme que les trésoriers, en tant que gardiens de l’argent, ont une tendance naturelle à être des gestionnaires des risques. Malheureusement, relativement peu ont des antécédents technologiques ou de sécurité.
Les trésoriers prennent conscience de la cybercriminalité
Avec la sophistication croissante des cyberattaques et le besoin pressant d’empêcher les systèmes de gestion de trésorerie de devenir des voies rapides numériques vers les cafés d’entreprise, cela change.
En effet, les trésoriers dans une 2022 ACT enquête mondiale (« Trésoriers en haute alerte ») ont cité la cybersécurité comme leur principale préoccupation, éclipsant l’inflation, la COVID-19, l’incertitude géopolitique et les défis environnementaux. Quatre-vingt pour cent des trésoriers interrogés ont déclaré que leurs organisations investissent dans les technologies de cybersécurité, contre 72 % en 2021.
Les trésoriers ne déterminent généralement pas les solutions de sécurité que leurs entreprises achètent, bien que beaucoup soient impliqués dans les décisions d’achat de cyber-assurance. Par rapport à la situation il y a environ dix ans, ils s’associent de plus en plus à la direction financière, opérationnelle et de sécurité pour de tels achats. Ils partagent également la responsabilité d’obtenir l’approbation du financement technologique auprès de la direction et du conseil d’administration.
Combattre les risques et prendre des noms
Aggarwal déclare que les trésoriers d’entreprise les plus efficaces non seulement se connectent et communiquent régulièrement avec des collègues de haut niveau au sujet de la gestion des risques, mais ils aident également à planifier et à clarifier les rôles et responsabilités pour chaque fonction en prévision des cyberattaques futures. De plus, ils tiennent la direction et le conseil d’administration informés des contrôles de sécurité qu’ils ont déployés et des tests de pénétration qu’ils ont effectués. En bref, ils sont collaboratifs et communicatifs.
« L’équipe de trésorerie ne doit jamais fonctionner en silo », souligne Aggarwal. « Il est important qu’ils mènent des conversations dans cet espace de gestion des risques financiers. Et cela signifie qu’ils devront comprendre pleinement les cyber-risques, même s’ils ne comprennent pas tous les détails techniques qui les sous-tendent. »
Pour aider les organisations à se prémunir contre un piratage et à minimiser les dommages dans le cas où l’un d’eux se produit, les trésoriers parlant avec Endpoint recommandent les étapes suivantes.
1. Aidez à établir des politiques de sécurité globales. Selon l’ACT, le trésorier doit travailler avec les dirigeants de la cybersécurité pour créer et appliquer des politiques de sécurité cohérentes, en particulier celles liées aux paiements. Les politiques doivent inclure une série de contrôles numériques et de soldes pour éviter les scénarios de spear phishing, dans lesquels les employés sont trompés pour transférer de l’argent vers des comptes tiers. Aggarwal déclare que les politiques pourraient également impliquer la création d’un « champion des paiements » pour examiner les décaissements importants avant de les finaliser.
2. Assurez-vous que le service informatique hiérarchise la fonction de trésorerie. Les responsables informatiques accordent souvent la plus grande attention aux services qui ont le plus grand nombre d’utilisateurs accédant à ses systèmes. Mais Royston Da Costa, trésorier adjoint de groupe chez Ferguson, une société de plomberie et de chauffage de 23 milliards USD, déclare que les leaders de la cybersécurité devraient être tout aussi préoccupés par la protection des actifs critiques que par la trésorerie d’une entreprise, car ils concernent ses endpoints.
Lorsqu’il a rejoint son entreprise il y a 20 ans, Da Costa a demandé une assistance de sécurité de premier ordre pour son service, qui ne comptait que quatre employés à l’époque. L’équipe informatique a initialement rejeté la demande. « Nous avons été relégués à la terre ferme », se souvient-il. « Il m’a fallu beaucoup de temps pour changer d’avis. »
Finalement, Da Costa a réussi à convaincre le service informatique que le principal problème était le risque que la trésorerie gérait, et non le nombre de personnes qui utilisaient les systèmes. « Cela leur a ouvert les yeux », dit-il. « À cette époque, nous gérions environ 2,1 milliards USD de fonds. Dès qu’ils ont obtenu cela, les cloches ont retenti et nous ont placés en tête de leur liste de priorités. »
3. Établir un programme de cybersécurité spécifique à la trésorerie. Dans son rapport, Deutsche Bank a noté que si la cybersécurité est un objectif, la trésorerie devrait avoir sa propre initiative de gestion de la cybersécurité, idéalement alignée sur une stratégie d’entreprise, et cette stratégie devrait s’étendre à toutes les personnes et processus susceptibles d’interagir avec la trésorerie, y compris tous les membres de la trésorerie d’entreprise, les banques qui traitent les transactions d’une entreprise, les bureaux SWIFT qui fournissent des solutions de connectivité bancaire, les chambres de compensation automatisées qui fournissent des solutions de paiement et les fournisseurs de traitement des cartes de crédit.
4. Adoptez les technologies actuelles. Les systèmes de gestion de trésorerie sont essentiels pour gérer les flux de trésorerie et les risques d’une entreprise. Mais les systèmes conçus il y a des années peuvent manquer des fonctionnalités de sécurité nécessaires pour lutter contre les cybermenaces modernes. Même s’ils sont plus récents, les systèmes peuvent toujours être vulnérables s’ils ne sont pas régulièrement mis à jour ou corrigés.
« Nous avons géré environ 2,1 milliards USD de fonds. Dès que [l’équipe informatique] a obtenu cela, les cloches ont retenti et nous ont placés en tête de leur liste de priorités. »Royston Da Costa, trésorier adjoint du groupe, Ferguson
ACT recommande que les services de trésorerie évaluent régulièrement s’ils exécutent les versions TMS actuelles et s’ils disposent de suffisamment de ressources informatiques internes pour exploiter et sécuriser le système. Si un service de trésorerie décide de concevoir ou de déployer sa propre technologie exclusive, Da Costa recommande en outre de confirmer que le RSSI de l’entreprise a signé, afin d’éviter des problèmes potentiels de compatibilité ou d’assistance.
5. Train, train, train. Cependant, même avec la meilleure et la plus récente technologie, les vulnérabilités s’infiltrent toujours. « La principale faiblesse de la cybersécurité est l’homme et l’a toujours été », déclare Chris van Dijl, trésorier, formateur et fondateur international du cabinet de conseil en gestion d’entreprise Cugavadi. « Les fraudeurs sont de plus en plus intelligents pour tirer parti des gens, et ils peuvent dépasser n’importe quel service de trésorerie qui n’est pas correctement préparé. »
[Lire également : Pourquoi les travailleurs violent les politiques de cybersécurité]
Les professionnels de la sécurité affirment qu’il est essentiel, en particulier avec de nombreux employés travaillant à domicile, d’informer les travailleurs sur les processus de paiement sécurisés ainsi que sur les menaces actuelles d’hameçonnage, d’ ingénierie sociale et de logiciels malveillants . While 69% of employees in a 2021 TalentLMS and Kenna Security survey said they had completed cybersecurity training, 61% failed follow-up quizzes.
En fin de compte, les trésoriers d’entreprise doivent jouer un rôle plus actif dans la cybersécurité de leurs organisations. Cela signifie s’engager, faire en sorte que leur présence se fasse sentir et montrer l’exemple pour sécuriser l’argent de leur entreprise.
Parce que s’ils ne le font pas, il n’y a aucune garantie que quelqu’un d’autre le fera. Après tout, le buck s’arrête avec eux.
