Contexte
L’Autorité de Conduite Financière du Royaume-Uni (FCA) a récemment lancé un avertissement fort aux entreprises financières, les exhortant à renforcer leur résilience face aux défaillances technologiques et aux incidents de cybersécurité. Cette mise en garde fait suite à une panne majeure causée par une mise à jour logicielle défectueuse de l’entreprise de cybersécurité CrowdStrike, qui a perturbé les services bancaires, les fournisseurs de paiement et les institutions financières.
Le Déclencheur : L’Échec Logiciel de CrowdStrike
L’avertissement de la FCA intervient en réponse à une perturbation mondiale causée par une mise à jour de sécurité défectueuse de CrowdStrike, un fournisseur majeur de cybersécurité. Cette mise à jour a involontairement entraîné des défaillances système dans de nombreuses entreprises financières, provoquant :
- Des pannes de service dans les secteurs bancaires et de traitement des paiements.
- L’inaccessibilité des transactions en ligne pour les clients.
- Des retards dans les réponses des institutions financières, qui ont lutté pour résoudre le problème.
Cet incident a mis en évidence une dépendance excessive aux fournisseurs tiers de cybersécurité et a révélé les risques potentiels liés aux défaillances de la chaîne d’approvisionnement dans les systèmes financiers.
Principales Préoccupations de la FCA
Face à cette situation, la FCA a fixé un délai jusqu’en mars 2025 pour que les entreprises financières démontrent leur résilience face à des crises technologiques similaires. Le régulateur insiste sur la nécessité de :
1) Un Renforcement des Contrôles des Risques des Prestataires Tiers
- Les entreprises doivent réaliser des évaluations approfondies des risques liés à leurs fournisseurs de cybersécurité.
- Les contrats avec les prestataires tiers doivent inclure des mesures de responsabilité claires en cas de défaillance.
2) Des Plans de Réponse aux Incidents Améliorés
- Les entreprises doivent mettre en place des cadres détaillés de gestion de crise afin de réagir rapidement aux pannes technologiques.
- Des tests réguliers des mécanismes de reprise après sinistre et des solutions de repli sont requis.
3) Des Simulations et Tests de Scénarios
- Les entreprises doivent simuler des perturbations technologiques potentielles et évaluer leur capacité de réponse.
- La FCA exige que les entreprises se préparent aux pires scénarios, y compris les cyberattaques simultanées et les défaillances systémiques.
4) Une Transparence et un Reporting Réglementaire Accru
- Les institutions financières doivent signaler plus rapidement les incidents aux régulateurs et au public.
- La transparence est essentielle pour maintenir la confiance des clients et éviter une panique en cas de perturbation majeure.
Pression Réglementaire et Délai de Conformité
- La FCA passe en revue activement les mesures de résilience des institutions financières.
- Les entreprises doivent soumettre des rapports détaillés d’ici mars 2025, prouvant leur capacité à faire face à des crises similaires.
- Le non-respect des exigences pourrait entraîner des amendes, un examen réglementaire accru et d’éventuelles sanctions.
Réaction de l’Industrie
- Les grandes banques et entreprises fintech réévaluent déjà leur dépendance aux prestataires tiers.
- Certaines institutions envisagent de diversifier leurs fournisseurs de cybersécurité afin d’éviter un point unique de défaillance.
- Les leaders du secteur appellent à une collaboration renforcée entre les institutions financières, les fournisseurs technologiques et les régulateurs afin d’améliorer la sécurité des systèmes financiers.
Implications Plus Larges
Cette action de la FCA marque un durcissement de la réglementation sur la résilience technologique des services financiers. Voici les principaux enseignements :
- Les entreprises financières doivent adopter des mesures proactives pour éviter que des défaillances technologiques n’affectent leurs clients.
- Une dépendance excessive à un seul fournisseur de cybersécurité représente un risque, obligeant les entreprises à diversifier leurs partenaires technologiques.
- Les régulateurs du monde entier pourraient suivre cette approche, augmentant ainsi la pression sur les entreprises pour améliorer leur gestion des risques technologiques.
Alors que la finance numérique devient de plus en plus complexe et interconnectée, les régulateurs sont attendus pour imposer des exigences plus strictes en matière de cybersécurité et de gestion des crises technologiques. L’avertissement de la FCA agit comme un signal d’alarme pour les institutions financières, les incitant à renforcer leurs défenses avant la prochaine crise.
Source : K. Hurley, « Get ready for your own CrowdStrike, City regulator tells firms », The Times, Thursday October 31 2024
