Renforcer la résilience opérationnelle des services financiers : votre navire est-il navigable ?

Shelby Flora a récemment posé une question simple à plusieurs administrateurs non exécutifs des conseils d’administration des services financiers américains et britanniques.

Est-ce que l’une de leurs institutions était venue au conseil d’administration pour demander des fonds afin de tester plus souvent les environnements de récupération ou d’améliorer la visibilité sur leurs réseaux ?

Chacun d’eux a dit non.

Flora, directrice générale et responsable de la sécurité des services financiers UKIA chez Accenture sécurité, a partagé l’échange vers la fin d’un récent webinaire du sécurité Awareness Special Interest Group (SASIG) destiné aux leaders en sécurité des services financiers. Elle avait aussi demandé aux directeurs s’ils s’inquiétaient de la rapidité avec laquelle le paysage des menaces évoluait. Chacun a dit oui. Quand elle a demandé s’ils soutiendraient une initiative de résilience menée par le directeur des opérations, ils ont de nouveau répondu oui.

Cette bourse capture l’emplacement actuel d’une grande partie du secteur financier. Les banques et les assureurs ont passé des années à construire des cadres de résilience opérationnelle, et au moins certains de leurs conseils semblent prêts à financer la prochaine étape. Ce qui manque, c’est la demande, étayée par la preuve que ces plans tiendront une fois qu’un attaquant sera à l’intérieur. Cette preuve vient de trois habitudes : cartographier suffisamment bien les dépendances pour contenir une attaque, effectuer des tests de cyber-résilience comme exercice de routine, et présenter au conseil un plan clair avec le directeur des opérations (COO) derrière lui.

Une bonne documentation ne permet pas aux banques de tenir à flot

La documentation compte. C’est la base de chaque cadre auquel les banques répondent, des tests menacés par la menace aux attentes de la Prudential Regulation Authority (PRA) concernant les services importants pour les entreprises.

Le problème, c’est que les documents décrivent l’environnement que quelqu’un a conçu, tandis que les attaquants se déplacent dans l’environnement existant aujourd’hui.

Ces deux photos s’éloignent avec le temps. La plupart des environnements bancaires se sont développés au fil de décennies de projets, d’acquisitions et de solutions de contournement, et chaque changement ajoute de la complexité.

La complexité crée des coutures, et les coutures sont celles où les attaquants trouvent des moyens de monter ou de traverser les environnements. Les résultats thématiques du CBEST de la Banque d’Angleterre ont mis en lumière les mêmes points faibles année après année, un schéma qu’Illumio a mis en lumière dans son analyse du rapport CBEST 2025.

La complexité façonne aussi ce qui se passe lors du pire jour. Lors d’un incident en direct, les équipes travaillent dans un « brouillard de guerre » où les dépendances ne sont pas entièrement comprises, la visibilité est partielle, et le runbook peut ne pas correspondre à ce qui est diffusé sur le réseau. Cette incertitude engendre de l’hésitation lorsque les intervenants craignent qu’une action de confinement ne cause plus de perturbations que l’attaque elle-même.

Avec le recul, la bonne décision semble souvent évidente. Sur le moment, un délai peut donner à un attaquant le temps nécessaire pour se propager.

Un cadre solide en mer pour la cyberrésilience des services financiers

Lorsque le modérateur a demandé quels investissements devaient passer en premier, Flora a repensé à son enfance dans le Missouri, où les week-ends signifiaient faire de la navigation en bateau sur le lac. Apprendre à conduire un bateau, a-t-elle dit, commence par des contrôles de sécurité et ne s’arrête jamais vraiment, car un bon capitaine continue d’inspecter, réparer et moderniser le navire.

Son analogie sert aussi de liste de contrôle pour les DSI.

Faites les contrôles de sécurité avant de quitter le quai

Chaque voyage commence par une recherche de fuites évidentes. En termes de sécurité, cela signifie des contrôles core solides et des correctifs réguliers, sans vulnérabilités majeures ou critiques ouvertes. Cela signifie aussi tenir une position ferme sur la technologie de fin de vie.

Flora a noté que les attaquants s’appuient encore fortement sur les anciennes failles des logiciels hérités, car les anciennes failles non corrigées sont plus faciles à exploiter que les nouvelles. Tout système non soutenu devrait disposer d’un plan financé pour la retraite.

Inspectez la coque pour détecter des fuites cachées

Un bon entretien commence par savoir où se trouvent les points faibles. Cela signifie cartographier quels systèmes communiquent entre eux et lesquels dépendent de quoi. Les systèmes critiques sont généralement bien connus, mais des dépendances surprenantes les sous-tendent souvent.

Les tiers méritent la même surveillance. Lorsque vous savez quel accès a un fournisseur, où cet accès se situe et ce qui dépend de ces systèmes, vous pouvez modéliser le rayon de déflagration d’un fournisseur compromis avant qu’il ne se produise. Cette même carte montre à quoi ressemble le trafic normal, afin que les équipes puissent repérer les mouvements latéraux tôt.

Bouchez les trous avec des matériaux modernes

Le ruban adhésif ne maintient une coque ensemble que temporairement. De nombreuses banques ont construit une segmentation autour de la topologie réseau, forçant le trafic à passer par des pare-feux placés entre les zones. Les pare-feux jouent toujours un rôle précieux aux frontières clés, mais leur étirement vers une segmentation interne large fait rapidement augmenter les coûts de capital et d’exploitation.

La microsegmentation applique une politique là où elle est nécessaire, près des charges de travail elles-mêmes, ce qui rend pratique la limitation de la distance qu’un attaquant peut parcourir. Il convient également au développement moderne. Les équipes peuvent écrire la politique de segmentation en code et la déployer via leurs pipelines CI/CD, afin que de nouvelles applications soient lancées avec la sécurité intégrée dès le premier jour.

Remplacez le bois pourri par de l’acier

Certaines réparations nécessitent une reconstruction. La Banque d’Angleterre a passé plusieurs années à renouveler son service de règlement brut en temps réel, qui règle les paiements sterling de grande valeur. Cela montre à quoi ressemble une mise à niveau délibérée de l’infrastructure centrale.

Des projets comme celui-ci prennent du temps et de l’argent, et ils renforcent l’ensemble du système. Chaque institution doit décider quelles plateformes vieillissantes derrière ses transactions principales sont prêtes à recevoir le même traitement.

Entraînez-vous à utiliser le canot de sauvetage jusqu’à ce que cela devienne naturel

Même un bateau bien entretenu peut prendre de l’eau, donc le canot de sauvetage doit fonctionner. Pour les berges, les canots de sauvetage sont des environnements de récupération, et ils ne servent que s’ils démarrent rapidement après être restés en dormance.

C’est là que les tests de cyber-résilience méritent leur valeur. Flora a décrit avoir conseillé à une grande institution multinationale de tester le confinement et la récupération toutes les deux semaines, alors que l’institution avait demandé s’il s’agissait de tests tous les deux mois.

Son raisonnement était simple : le domaine technologique change chaque jour, et le paysage des menaces évolue avec lui. Elle a également estimé que le temps entre la détection d’une nouvelle vulnérabilité et sa première faille confirmée est passé de plus de deux ans en 2018 à quelques jours.

Des tests cela semblent souvent lourds, mais une grande partie peut être automatisée. Les vérifications qui confirment que les commandes s’activent quand elles devraient peuvent fonctionner seules, ce qui libère les joueurs pour répéter les décisions.

Ces répétitions devraient aller au-delà de l’équipe sécurité, jusqu’aux dirigeants et, de plus en plus, aux membres du conseil qui souhaitent s’engager lors des exercices de scénarios. L’objectif est la mémoire musculaire, pour que personne ne lise le plan d’incident de réponse pour la première fois le pire jour de l’année.

Décidez qui dirige quand l’eau monte

Le confinement automatisé, où un système isole des actifs critiques sans attendre d’approbation, est un objectif attrayant.

Les recommandations pilotées par l’IA continuent de s’améliorer, et les scores de confiance aident les intervenants à faire des choix plus rapides et mieux informés. Mais pour l’instant, une personne au courant compte toujours, surtout dans un secteur où une mauvaise journée peut se répercuter sur l’économie.

Passer à l’automatisation demande du travail sur deux fronts :

• Le travail technique. Le confinement ne peut se produire que lorsque vous avez le contrôle politique. Les environnements assemblés par acquisitions manquent souvent de points d’application aux bons endroits.
• Le travail de gouvernance. Le directeur des opérations, le directeur des risques, les comités des risques et les régulateurs doivent s’accorder à l’avance sur la réponse appropriée et sur qui prend la décision.

Il est aussi utile de partir d’un état d’esprit de présume-violation. Comme l’a dit Russell Goodwin, architecte de solutions éminent chez Illumio, même un système critique peut être compromis, donc chaque plan doit prendre en compte la direction que pourrait prendre un attaquant ensuite.

D’après l’expérience de Flora, les institutions qui se préparent le plus rapidement aux attaques accélérées par l’IA sont celles où le COO mène l’effort. Les COO supervisent ensemble le risque, la technologie et la sécurité, afin de pouvoir ouvrir la voie aux DSI, CTO, CISO et responsables de la communication pour travailler en équipe.

Flora a ajouté qu’il n’existe pas de surcommunication lors d’un incident. Les pires conséquences remontent généralement à la confusion sur les décisions à prendre et à qui les possèdre.

Le pragmatisme fait avancer cette équipe. Commencez par vos services commerciaux importants, puis ajoutez une vision fondée sur la menace de la manière dont les groupes criminels et les acteurs des États-nations sont les plus susceptibles de frapper.

Les équipes d’architecture peuvent être prudentes face à une nouvelle approche, donc un projet pilote dans un environnement limité leur permet de valider les contrôles et obligations avant de monter en valeur. Essayer de tout protéger en même temps, c’est comme ça que les programmes bloquent la paralysie de l’analyse.

La résilience opérationnelle n’attendra pas une eau plus calme

Les modèles d’IA de pointe modifient l’économie des cyberattaques. Le temps et la compétence nécessaires pour trouver et exploiter une faiblesse continuent de diminuer, donc les intrusions avancent plus vite. La récupération à la vitesse de la machine devient rapidement la norme à laquelle les institutions financières seront tenues.

Les directeurs avec qui Flora a parlé sont déjà inquiets, et ils sont prêts à soutenir un plan dirigé par un COO. Ils attendent que quelqu’un demande. Les DSI qui apportent une carte claire de leurs dépendances et un historique de tests fréquents et réalistes peuvent faire cette demande avec des preuves en main. Plus tôt ils le font, plus vite un plan sur le papier devient un navire qui reste à flot lorsque l’eau commence à entrer.

Regardez le Webinaire complet SASIG À la demande. Apprends comment Institutions financières peut contenir les violations et renforcer la résilience opérationnelle avec Illumio.