Les banques et les assureurs font partie des cibles privilégiées des hackers depuis des années. L'étude "De la cyber-sécurité à la cyber-résilience - Stratégies pour faire face à une situation de menace croissante" donne un aperçu de l'état de la cyber-résilience des entreprises en Allemagne. Bien que les prestataires de services financiers soient souvent mieux positionnés en matière de cybersécurité, il reste encore beaucoup à faire pour parvenir à une solide cyber-résilience.
Le magazine spécialisé "CSO Online" a recensé plus de 30 cyberattaques sur des entreprises de secteurs variés depuis le début de l'année. Cependant, le nombre de cas non déclarés est susceptible d'être plus élevé. La nouvelle étude "De la cybersécurité à la cyber-résilience - stratégies pour faire face à une situation de menace croissante" de KPMG et Lünendonk & Hossenfelder fournit des informations actuelles sur les risques et le degré de maturité des banques, des assureurs et d'autres secteurs.
Presque tout le monde perçoit une situation de menace accrue
84 % des personnes interrogées perçoivent une augmentation de la menace de cyberattaques par rapport à l'année précédente. 3 % des fournisseurs de services financiers ont désigné les attaques par déni de service distribué (DDoS) comme les 71 principaux facteurs influençant l'augmentation de la menace. Viennent ensuite les attaques par hameçonnage/ransomware et l'utilisation d'appareils non autorisés tels que les clés USB sur les réseaux d'entreprise, chacun avec 64 %.
Plus qu'un exercice obligatoire
Neuf participants interrogés sur dix évaluent leur capacité à détecter et à parer les cyberattaques à un stade précoce comme élevée. Cela pourrait être dû au fait que de nombreuses cyberattaques ne sont pas détectées et que les répondants peuvent avoir un faux sentiment de sécurité. Si l'on examine les secteurs individuels, on constate que les prestataires de services financiers atteignent un niveau de protection plus élevé.
Ce n'est pas surprenant. Parce que les réglementations actuelles telles que BAIT/VAIT/KAIT, les nouvelles exigences de l'Autorité fédérale de surveillance financière (BaFin) et les derniers actes juridiques européens - tels que la loi sur la résilience opérationnelle numérique (DORA) et la directive sur la cybersécurité Network and Information Security 2 (NIS2) – contient des directives claires pour le secteur financier.
La cybersécurité doit être une priorité absolue
Cependant, il ne suffit pas de répondre aux exigences légales. La cybersécurité doit être une priorité. Concrètement, cela signifie que le conseil d'administration ou la direction doivent être impliqués dans l'élaboration de la stratégie de cybersécurité. Mais cela n'arrive que 14% du temps. À l'avenir, la cybersécurité doit recevoir la même attention de la part de la haute direction que les personnalités économiques clés - et ne doit pas seulement entrer en ligne de compte une fois qu'une attaque s'est produite.
🔎 Selon vous, quelle est la probabilité que votre entreprise soit victime d'une attaque majeure au cours des deux prochaines années ? (Image : KPMG).
Les identités numériques comme passerelle
Les identités et les données sont les « joyaux de la couronne » des entreprises. Afin de rendre la tâche aussi difficile que possible pour les pirates, les entreprises doivent se concentrer sur les identités numériques. Ils sont actuellement la porte d'entrée la plus courante pour les criminels. La gestion d'accès à privilèges (PAM), qui est prescrite par BaFin via le BAIT/VAIT/KAIT, peut ici fournir de bons services. Dans le cadre de la gestion des identités et des accès (IAM), il est utilisé pour organiser et gérer en toute sécurité les comptes d'utilisateurs hautement privilégiés tels que les administrateurs système et les autorisations associées dans les systèmes informatiques. Mais actuellement, seuls 25 % des prestataires de services financiers utilisent un PAM. 33 % supplémentaires en introduisent actuellement un. Pour 80 % de toutes les entreprises interrogées, un PAM est au centre des préoccupations au cours des deux prochaines années, et même 89 % ont un IAM à leur ordre du jour.
La transformation du cloud stimule la cybersécurité
Des défis supplémentaires surviennent lorsque plusieurs solutions cloud sont déployées. Après tout, 69 % des entreprises s'appuient sur des environnements cloud hybrides ou multiples, c'est-à-dire qu'elles combinent des clouds de différents fournisseurs entre eux. Chacun d'entre eux doit être intégré dans la stratégie globale de cybersécurité. C'est en vain que l'on cherche : plus d'un participant à l'étude sur deux (54 %) a déclaré que l'intégration d'environnements hybrides multi-cloud et de fournisseurs multi-cloud dans les processus de sécurité informatique internes était médiocre. Seul un tiers (34 %) a qualifié l'intégration de élevée. Un pilier important est la mise en place d'un Security Incident and Event Management (SIEM). Le SIEM permet de contrôler les différents prestataires et d'intégrer les différents environnements cloud dans les processus de sécurité propres à l'entreprise.
Les capacités de détection et de réponse peuvent être améliorées
Il est très préoccupant que la surveillance de la sécurité soit souvent encore organisée de manière décentralisée. La surveillance de l'ensemble du paysage informatique est beaucoup plus difficile dans de tels cas. Dans le secteur financier, seulement 38 % utilisent une surveillance de sécurité centrale. Cette tâche peut être centralisée par un SIEM par exemple. Il capture, surveille et analyse en temps réel les événements provenant de diverses sources sur le réseau de l'entreprise. Cela permet d'identifier et d'éliminer les dangers avant que des dommages ne surviennent. Au vu de la menace croissante, il est bon que 80% des entreprises souhaitent faire de la mise en place et de l'extension d'un SIEM une priorité dans les deux prochaines années.
Conclusion de l'étude
Les résultats de l'étude montrent que les prestataires de services financiers sont conscients de la menace croissante. Et bien qu'ils aient déjà un niveau de protection élevé par rapport à d'autres secteurs, il existe encore de graves lacunes dans la maturité de la sécurité. Un aspect positif est que la majorité des participants l'ont reconnu et souhaitent développer leurs propres compétences pour se défendre contre les cyberattaques. Mais des investissements plus importants ne suffisent pas à eux seuls. Les banques et les assureurs devraient s'appuyer plus qu'auparavant sur des solutions de sécurité automatisées et des concepts de bout en bout bien pensés et vécus par tout le monde.
Plus sur KPMG.de
À propos de KPMG
En Allemagne également, KPMG est l'une des principales sociétés d'audit et de conseil et compte environ 12.200 27 employés sur XNUMX sites. Nos services sont répartis dans les domaines d'activité Audit, Fiscalité et Conseil. Audit se concentre sur l'examen des comptes consolidés et annuels, tandis que Tax désigne le travail de conseil fiscal de KPMG. Les domaines Consulting et Deal Advisory combinent notre haut niveau de savoir-faire spécialisé sur des sujets commerciaux, réglementaires et transactionnels.