En tant que vice-président principal de la sécurité de l’information chez Wells Fargo, Tim Morris a fait le lien avec les simulations de cyberattaques de 48 heures que la banque a organisées dans des auditoriums locaux pour ses équipes de sécurité massives.
« Nous aurions environ 100 personnes, de toutes les divisions de sécurité », déclare Morris lors des sessions de marathon où il a supervisé des attaques offensives simulées de l’équipe rouge allant de simples campagnes d’hameçonnage par e-mail à des attaques sophistiquées par ransomware. « Nous avons fait tous les types d’incidents et d’attaques de sécurité que vous pouvez imaginer, du déni de service distribué aux tentatives d’exfiltration de données à grande échelle. » Il rit : « Après deux jours, les gens seraient assez fatigués. »
Depuis des décennies, voire des siècles, les banques et les assureurs sont les gardiens des informations financières sensibles des clients. Aujourd’hui, à l’ère de la technologie financière (appelée « technologie financière »), ces données sont presque exclusivement numérisées, des dépôts de chèques de paie et des paiements hypothécaires aux plateformes de négociation mobiles et aux avoirs en Bitcoin. Les enjeux commerciaux sont également beaucoup plus élevés.
« Avec les fintechs », déclare Morris, « les données sont le produit. C’est la subsistance de leurs clients. Si des dépôts ou des portefeuilles sont volés, cela nuit énormément à la réputation. »
Grâce à la technologie et au travail à distance induit par la pandémie, les réseaux fintech sont désormais intégrés à presque toutes les transactions des consommateurs, du commerce électronique et des investisseurs. Que vous soyez un fan ou un sceptique de la fintech, elle est prête à devenir de plus en plus grande. Selon le rapport Money20/20 d’Ascential, le volume mondial du commerce électronique du secteur s’élèvera à 3,61 billions USD cette année, contre 348,7 milliards USD en 2010, et on estime qu’il atteindra 6,07 billions USD en seulement cinq ans.
« Avec les technologies financières, les données sont le produit. Si des portefeuilles sont volés, cela nuit énormément à la réputation. »Tim Morris, ancien vice-président principal de la sécurité de l’information, Wells Fargo
La menace de cybersécurité augmentera également. De manière constante, parmi tous les secteurs, les banques ont supporté les coûts de cybercriminalité les plus élevés. En 2019, elle a été classée n° 1 dans la neuvième étude annuelle sur le coût de la cybercriminalité d’Accenture. Les choses n’ont fait que s’aggraver depuis, car le coût mondial de toutes les cybercriminalités a explosé pour atteindre près de 1 billion USD en 2020, grâce à la pandémie et au travail à distance. La cyberattaque de l’année dernière sur l’application de banque numérique Dave, dans laquelle les pirates informatiques ont volé les données personnelles d’ environ 7,5 millions d’utilisateurs de dave.com, montre les vulnérabilités auxquelles le secteur de la fintech est confronté.
Pour de nombreux critiques, les algorithmes qui prennent en charge les plateformes de paiement, d’assurance et de prêt en ligne constituent un problème clé dans leur stabilité et leur fiabilité. Ce n’est pas le cas en fait, déclare Morris. Ce qui est vraiment essentiel, c’est la manière dont ces entreprises gèrent les données et la robustesse des systèmes qui les sécurisent.
Bijoux de couronne
Moshe Katri est directeur général de la recherche sur les actions chez Wedbush Securities, une société de gestion de patrimoine et d’investissement comptant quelque 6 000 clients et 4,2 milliards USD sous gestion. Katri dit que ce n’est pas parce que les fintechs sont innovantes qu’elles prennent des risques plus élevés.
En fait, les entreprises en contact avec les consommateurs, telles que les fintechs qui opèrent dans des domaines plus volatils, qu’il s’agisse d’échanges cryptographiques ou de plateformes de négociation de partage, ont tendance à ajouter des couches de sécurité. « La dernière chose qu’ils veulent, c’est d’avoir confiance en elle avec une brèche », déclare Katri.
Sans surprise, Morris, qui travaille désormais en tant que stratège technologique chez Tanium en Caroline du Nord, déclare que la visibilité sur l’ensemble du réseau est essentielle à la sécurité des données. Pour y parvenir, les acteurs de la fintech doivent savoir combien d’endpoints se trouvent sur leur réseau, comment ces endpoints sont configurés, quel logiciel ils exécutent et si ce logiciel est corrigé et à jour. Ce n’est qu’alors qu’ils peuvent définir leur surface d’attaque et sécuriser leurs joyaux de couronne. Prendre un peu de recul, dit-il, les entreprises de technologie financière devraient également avoir une idée de ce à quoi elles ressemblent elles-mêmes pour un pirate informatique.
Appartenez-en
Les cybercriminels ciblent le secteur des technologies financières pour la même raison qu’ils ciblent les autres, pour un paiement rapide (souvent via des rançongiciels). Cela donne aux entreprises de sécurité quelque chose avec quoi travailler et anticiper. De plus, selon Morris, bien que les attaques paraissent souvent de plus en plus sophistiquées, elles sont généralement opportunistes et bien planifiées. Les rançongiciels, dit-il, deviennent « banalisés ».
Le déploiement de bonnes pratiques de cyberhygiène est essentiel pour rendre plus difficile l’intrusion des criminels, ce qui est souvent suffisant pour les envoyer à la recherche d’une victime plus vulnérable. Parmi les meilleurs : trouver et faire l’inventaire de tous les endpoints et appareils connectés à un réseau ; gérer le nombre croissant d’applications et d’autres logiciels qui se sont proliférés pendant l’ère du travail à distance ; automatiser l’ application de correctifs aux logiciels sanctionnés (tout en éliminant les applications indésirables) ; et créer un plan de réponse rapide aux menaces de sécurité.
Morris déclare que les entreprises de fintech doivent intégrer la sécurité dès le début dans leur technologie opérationnelle, une pratique connue sous le nom de test logiciel « shift left ». Cela donne la priorité aux tests plus tôt dans le cycle de développement, plutôt que de les consolider après coup. Il encourage également, si ce n’est requis, une plus grande collaboration entre les équipes de sécurité et les développeurs.
« J’utilise souvent une maison comme analogie », déclare Morris. « Vous déterminez les limites et les verrous lorsque vous configurez les fenêtres et les portes. »
Un défi pour le secteur de la fintech, peuplé comme c’est le cas pour de nombreuses petites entreprises, est la tentation pour les entreprises d’externaliser toutes les responsabilités pour leur informatique et leur sécurité. Les Fintechs ne peuvent pas simplement compter sur un fournisseur pour chaque besoin. (Des attaques récentes de la chaîne d’approvisionnement leur ont certainement appris cela.) Ils ne peuvent pas le définir et l’oublier. Ils doivent s’approprier leur stratégie de sécurité. Le mettre dans des conditions de pleine concurrence crée un risque tiers pour l’entreprise en plus du risque lié aux données, explique Morris.
« Les entreprises doivent avoir une idée de ce à quoi elles ressemblent elles-mêmes pour un attaquant. »
Elle est également éprouvante pour les régulateurs. Le système d’information d’une fintech doit non seulement répondre à ses propres exigences commerciales, mais également à celles des régulateurs financiers et de sécurité. Ils doivent également respecter les protocoles des partenaires ou sponsors de services financiers. Et ils ne peuvent pas être prêts à l’emploi.
« Vous avez besoin de très bonnes règles, de règles non prédéfinies ou modélisées », déclare Chuck Pine, qui dirige la pratique de conformité du cabinet de comptabilité et de conseil BDO, et dont l’équipe se concentre sur les stratégies de lutte contre la fraude et le blanchiment d’argent. « Ils doivent être conçus pour vos clients. »
L’évolution des menaces
Dans un environnement où la transformation numérique continue de s’accélérer, les menaces numériques évoluent également rapidement. Cela fait des fintechs l’un des gardiens les plus importants des données clients les plus précieuses et souligne l’importance du secteur pour maintenir des pratiques de cyberhygiène rigoureuses.
Selon M. Pine, les entreprises qui commencent dans le domaine des technologies financières et qui se lancent dans la conformité ne comprennent souvent pas que leur profil de risque est intrinsèquement élevé en raison de la nature des entreprises dans lesquelles elles opèrent.
[Lire également : les lourdes amendes réglementaires européennes retentissent]
La Fintech elle-même est également un paysage changeant. Crypto, qui semble faire la une des journaux, est une innovation qui offre aux investisseurs un produit, des pièces numériques et une nouvelle technologie, la blockchain, qui, en théorie, a le potentiel de changer l’ensemble de la plomberie du secteur des services financiers. Les partisans de la plateforme affirment que ses transactions chiffrées font passer la sécurité des services financiers à un niveau supérieur, tandis que les critiques affirment qu’elle est ouverte aux abus en raison de l’anonymat des règlements.
Katri chez Wedbush déclare qu’une grande quantité d’énergie dans les crypto-entreprises va anticiper l’introduction potentielle de réglementations, ou du moins une plus grande supervision.
« Crypto sera réglementée d’une manière ou d’une autre », déclare Katri. « Ce sera un événement positif pour l’industrie et fournira une certaine légitimité. »
Retour aux bases
Les données ne sont pas seulement un atout précieux pour les entreprises de technologie financière. Elle peut stimuler l’innovation technologique et ouvrir de nouveaux marchés. Faites les choses correctement et les fintechs ont de fortes chances de prospérer. Mais s’il y a des trébuchements, des défaillances de système ou des failles, il y aura une pression sur les chiens de garde américains pour qu’ils s’effondrent et imposent des paramètres qui peuvent menacer la croissance qui a conduit le secteur là où il est aujourd’hui.
Pour Morris, une grande partie repose sur de bonnes pratiques de cybersécurité obsolètes. Lorsque vous effectuez une évaluation des menaces et que vous voyez une voie potentielle pour qu’un attaquant pénètre dans le système, « vous ressentez un fossé dans votre estomac », dit-il. « Mais vous vous sentez également bien parce que vous avez trouvé quelque chose avant tout le monde. »
