L’attaque par ransomware cause des ravages dans les systèmes informatiques du monde entier. En réponse à ces incidents, une alerte aux risques est publiée régulièrement. Elle attire l’attention sur la gravité de la cybercriminalité pour la communauté des services financiers. Puis elle a souligné les possibilités pour les gestionnaires d’investissement et les gestionnaires de patrimoine de renforcer leurs défenses.
L’alerte aux risques note que 26% des sociétés de gestion d’investissements ont procédé à des évaluations périodiques des risques liés aux conséquences commerciales des menaces sur les systèmes critiques. Elle indique également que 57 % des sociétés de gestion d’investissements n’ont pas effectué de tests de pénétration et d’analyses de vulnérabilité sur ces mêmes systèmes.
L’alerte aux risques de la SEC met en lumière un élément clé de l’arsenal de cyberdéfense du gestionnaire d’investissement : les tests de pénétration. Bien sûr, ces exercices furtifs ne devraient jamais être les seuls outils utilisés par une entreprise. Cependant, ils pourraient être le catalyseur de la formation d’une approche plus holistique que les gestionnaires d’actifs pourraient développer pour protéger leurs actifs ainsi que pour détecter et répondre aux attaques.
Ces exercices de simulation de cyber-attaque obligent les cabinets à réfléchir aux réponses vitales aux questions suivantes
Quels sont les actifs qu’il est le plus important de protéger ? Quelle a été l’efficacité de notre réponse à l’attaque simulée ? Quels sont les leviers disponibles pour assurer une protection holistique ? Existe-t-il des opportunités dans des technologies émergentes plus sécurisées ?
Des actifs de toutes sortes et des chemins à protéger
L’activité de gestion des investissements est une cible particulièrement juteuse pour les cybercriminels internes et externes. Une surabondance de trésors se trouve dans la propriété intellectuelle d’une entreprise et même dans ses données de négociation. Pour les sociétés qui gèrent leurs propres agences de transfert, les données individuelles des investisseurs constituent un butin précieux. Les gestionnaires d’actifs sont confrontés à un cyberdéfi secondaire, car de nombreuses fonctions clés peuvent être confiées à des prestataires de services tiers. L’identification et la hiérarchisation des actifs à protéger peuvent constituer une première étape clé.
Efficacité de la réponse
Une simulation d’attaque pourrait être le meilleur moyen de tester l’efficacité des contrôles. Idéalement, l’attaque simulée serait détectée par l’équipe de sécurité de l’entreprise. Dans ce cas, il faudrait laisser le processus d’enquête et de réponse à l’incident suivre son cours (jusqu’à un certain point) pour évaluer l’efficacité des procédures d’escalade et de réponse. Le suivi de l’efficacité de la réponse ferait partie d’une évaluation globale des cyber-risques, y compris la mise en place d’une équipe de réponse rapide, comme le recommande la SEC.
Des leviers pour plus de mesures
Les résultats des tests de pénétration peuvent aider à produire des recommandations, qui pourraient servir de fenêtres pour des mesures de sécurité supplémentaires. Les conclusions techniques, architecturales et programmatiques de l’attaque simulée peuvent aider à stimuler l’action. Les entreprises pourraient lancer des initiatives sur la segmentation du réseau, la gestion des identités, l’analyse avancée, le test des applications et la remédiation des vulnérabilités à la suite de ces résultats.
Technologies émergentes
À la lumière des graves conséquences des cyberattaques, les entreprises pourraient également profiter de l’occasion pour donner un coup de pied dans le cloud computing et une sécurité mobile supplémentaire. Se sentir à l’aise avec la sécurité et l’économie du cloud pourrait être un processus délibéré et approfondi pour de nombreuses entreprises dans l’espace de gestion des investissements. À mesure que les gestionnaires d’investissement deviennent plus enclins au numérique, il est essentiel de disposer d’une plateforme pour engager rapidement les clients de manière sécurisée.
Les gestionnaires d’investissement ont déjà leur assiette pleine avec la compression des frais, les charges réglementaires et la gestion des données. Cependant, la destruction potentielle résultant d’une cyber-attaque complète peut bouleverser cet agenda. En d’autres termes : les entreprises doivent prendre des mesures pour renforcer les cyberdéfenses.
