Après une première réunion en septembre 2018 à Ottawa, dans les locaux de la Banque Centrale du Canada, puis une seconde édition en septembre 2019 à Bruxelles, accueillis par nos collègues de la Banque Nationale de Belgique, la Banque de France devait être l'hôte de ces rencontres en 2020. La situation sanitaire n'a pas permis l'organisation de cet événement à Paris l'année dernière. Face au risque encore bien présent, nous avons dû nous résoudre à organiser ces rencontres à distance, pour continuer d'échanger et de réfléchir aux enjeux de cybersécurité pour le système financier.
Les rencontres 2021 ont été organisées et animées par le Contrôle général (DPR-RSI).
Aux côtés de la Banque Nationale de Belgique et de la Banque du Canada, co-organisatrices de ces rencontres, 80 participants venant de la BCE, de l'IEDOM, de la BCEAO et des banques centrales du Luxembourg, du Maroc, du Cambodge, de Guinée, de Mauritanie, de Madagascar, des Comores, de l'Ile Maurice, des Seychelles et du Cap Vert se sont réunis durant deux demi-journées qui furent l'occasion d'échanges nombreux et passionnants.
Un des premiers sujets abordés, a été de tirer les enseignements de la crise sanitaire et comment travailler dans le contexte du nouveau normal.
Les banques centrales ont par nature, une grande conscience des risques et de la sécurité. Mais cette crise sanitaire qui dure depuis presque deux ans maintenant, a modifié les organisations en faisant entrer, de façon vraisemblablement durable, le travail à distance et ses déclinaisons en visioconférences multiples. Cette nouvelle norme conjuguée à l'accroissement de la cyber menace, impose de renforcer mais aussi de repenser les défenses. Cette crise a aussi permis d'accélérer la transformation numérique. Cette situation nouvelle a incité à l'ouverture en accès distant de certaines applications jugées critiques auparavant. Cela a été rendu possible en ajoutant des dispositifs techniques pertinents et des contrôles ciblés et efficaces.
En revanche, cette crise a aussi accentué le risque de cyber menace sur des outils collaboratifs et des applications Cloud mis en œuvre dans l'urgence au 1er confinement. Nous avons assisté à un véritable changement de dimension dans les cyberattaques ces dernières années, avec des équipes de cybercriminels de plus en plus organisées, et même à des attaques menées par des états. Nous sommes dorénavant dans un état de guerre larvée et permanente, avec la création d'une véritable industrie du cyber-crime. Les cyberattaques se sont multipliées, en touchant dorénavant tous les secteurs de l'économie et tout particulièrement les secteurs de la finance et de la santé, en s'affranchissant de toutes limites éthiques.
Une présentation de la Banque Centrale du Cap Vert a permis de découvrir l'impact d'une attaque par rançongiciel immobilisant le système financier de l'archipel pendant plusieurs jours. Plusieurs représentants des banques participantes ont pu exprimer, parmi les attentes de ces rencontres, un réel besoin d'assistance et de conseil de la part des banques centrales disposant de moyens techniques et humains plus importants.
Une démonstration par l'un des experts de la Banque de France de la vulnérabilité PrintNightmare a pu mettre en évidence la façon dont les groupes cybercriminels peuvent exploiter très rapidement toute vulnérabilité détectée dans un composant aussi basique que le gestionnaire d'impression de Windows.
Le deuxième sujet abordé a été la protection des données personnelles. Le Règlement Général sur la Protection des Données, impose en Europe, de mettre en place de nouveaux dispositifs. Au-delà du cadre législatif les enjeux de l'intégration de la dimension « données personnelles » dans la gestion des risques ont été abordés. La présentation de la situation au Canada a permis de découvrir la complexité législative dans ce pays où les lois fédérales doivent coexister avec des lois provinciales parfois plus restrictives.
Après une présentation sur les façons retenues en France et au Canada d'envisager comment les méthodes d'analyse de risques doivent s'adapter aux nouvelles attentes en matière de développement logiciel en mode Agile, trois ateliers ont permis d'envisager le futur proche qui commence déjà à nous solliciter en échangeant sur :
- Les enjeux de l'externalisation et du recours au Cloud ;
- le Zero Trust comme nouveau modèle de sécurité des identités ;
- la menace quantique, ou comment ces ordinateurs d'un nouveau genre permettront un jour de casser les bases cryptographiques de nos protections actuelles.
Les prochaines rencontres se dérouleront à Ottawa au printemps 2023. Ces rencontres ont permis de partager des informations et de mettre en commun des pratiques et des expériences.