Services financiers : Une sécurité à haut risque

Selon ce rapport, une très large majorité (88%) des attaques de cybersécurité à l’encontre des sociétés de services financiers parviennent à leurs fins en moins d’une journée. D’autre part, seulement 21% des attaques sont détectées dans la journée et seules 40 % des entreprises mises en causes sont capables de reprendre leurs activités en une journée.

Le rapport Deloitte indique que les pertes résultant directement d’attaques de sécurité ne sont parfois pas aussi préjudiciables que l’impact qu’elles peuvent avoir sur la confiance des clients et des investisseurs, le risque pour la réputation de l’entreprise et les conséquences possible en matière de respect de la réglementation.L’ensemble de ces dommages peut représenter des risques considérables pour ces entreprises.

Comme l’a fait remarquer le rapport 2014 Data Breach Investigations Reportde Verizon , qui s’est intéressé aux menaces de sécurité dans 20 secteurs différents, « les attaquants motivés par l’appât du gain ciblent principalement les secteurs de la finance et du commerce, où les données rapportant facilement de l’argent sont nombreuses et, bien trop souvent, accessibles. »

Toujours selon ce rapport, les attaquants tentent, dans les entreprises du secteur financier, d’accéder à l’interface utilisateur de l’application Web (bancaire) plutôt que d’exploiter l’application Web elle-même« car l’application fournit un accès logique à l’argent. Cela signifie qu’ils ciblent les identifiants des utilisateurs et utilisent les applications Web protégées par un facteur unique [le mot de passe par exemple] comme moyen d’atteindre leurs objectifs. »

Un quart des entreprises de services financiers interrogées dans le cadre de l’étude “The Global State of Information Security Survey 2015”, réalisée par le cabinet de conseil PwC et les magazines CIO et CSO ont déclaré avoir détecté 50 incidents de sécurité ou plus au cours des 12 derniers mois. Cela était légèrement plus élevé que le pourcentage généralement constaté pour l’ensemble des secteurs.

Selon cette étude, qui a interrogé 9 700 cadres commerciaux et techniques dans le monde entre mars et mai 2014, la majorité des entreprises (74%) a déclaré avoir détecté au moins un incident de sécurité au cours de cette période.

Lorsqu’on leur a demandé d’identifier l’origine probable des incidents de sécurité, 44% des personnes interrogées travaillant dans des services financiers ont désigné les employés actuels comme les potentiels coupables dans la majorité des cas. En comparaison, tous secteurs confondus, les employés actuels n’ont été cités que dans 35% des cas. D’autres sources d’incidents potentiels mentionnées par les entreprises financières comprennent les anciens employés (28%), les hackers (26%) et les concurrents (20%).

Les entreprises de services financiers interrogées ont déclaré avoir été affectées par des incidents de sécurité de différents types dont le piratage de dossiers de clients (34%), d’employés (26%), le vol de soft intellectual property comme les processus et connaissances institutionnelles (21%) et d’informations nominatives relatives à des clients ou partenaires (18%).

Les entreprises de services financiers sont également confrontées à de nombreuses normes de sécurité, exigences de la réglementation et du secteur. Citons, par exemple, le Payment Card Industry Data Security Standard (PCI DSS 3.0), une norme de sécurité propriétaire pour les entreprises disposant des données de détenteurs de cartes de paiement pour les principales cartes de débit, crédit et autres. La norme est destinée à augmenter les contrôles concernant les données de détenteurs de carte afin de limiter la fraude à la carte de crédit.

Et la Safeguards Rule de la loi Gramm–Leach–Bliley exige que les institutions financières conçoivent un plan de sécurité des informations écrit, détaillant comment ils sont préparés et protègeront les informations personnelles des clients. La Safeguards Rule s’applique aux informations de tous les clients antérieurs ou actuels des services ou produits des institutions financières.

Étant donné la complexité de la sécurité des informations au sein du secteur des services financiers, et la menace évidente pesant sur les systèmes et les données de ces entreprises, les fournisseurs de services infogérés et les revendeurs à valeur ajoutée ont l’opportunité de proposer des solutions aidant les entreprises à mieux se protéger contre les attaques.

Pour découvrir comment Bitdefender peut aider, consultez notre guide PCI DSS v3.0 Compliance.

Cet article a été écrit par Robert Krauss.