Sécurité informatique et conformité dans le secteur financier – Pourquoi les institutions financières devraient moderniser leur infrastructure

La FINMA attire l’attention sur les principaux risques liés à l’intelligence artificielle, notamment les risques opérationnels et de modèle, les risques liés aux données, les cyberattaques ainsi que les risques juridiques et réputationnels. La surveillance suisse a considérablement renforcé son attention sur la résilience opérationnelle numérique des institutions financières.

Les cyberrisques ne peuvent plus être considérés comme un simple problème technique géré par les équipes informatiques. Ils représentent une vulnérabilité potentielle pour l’ensemble de l’organisation, avec des conséquences commerciales potentiellement graves.

C’est pourquoi la Circulaire FINMA 23/1 « Risques opérationnels et résilience – Banques », entrée en vigueur en 2024, définit des exigences actualisées pour la gestion des cyberrisques, en mettant particulièrement l’accent sur la gouvernance dans le traitement des menaces cyber.

Les rapports soumis à la FINMA concernant des cyberattaques réussies ou partiellement réussies ont augmenté de 30 % par rapport à l’année précédente. Les méthodes d’attaque continuent d’évoluer : les établissements surveillés, toutes catégories confondues, signalent un nombre croissant d’incidents cyber, notamment des attaques alimentées par l’IA, des compromissions de courriels professionnels (Business Email Compromise) et diverses formes de fraude en ligne, telles que l’usurpation d’identité de dirigeants (CEO impersonation).

Cet environnement rend encore plus stratégique le choix de partenaires locaux disposant de centres de données en Suisse, garantissant la souveraineté des données et la conformité dès la conception.

De nombreuses institutions financières au Tessin – en particulier les petites et moyennes – fonctionnent encore avec des infrastructures sur site vieillissantes qui présentent de multiples vulnérabilités, notamment des processus inadéquats pour identifier et corriger rapidement les failles logicielles ainsi que des lacunes dans la gestion des configurations.

Il ne s’agit pas seulement d’un problème de sécurité, mais aussi d’un défi en matière d’efficacité. Les coûts cachés incluent la maintenance du matériel, l’espace de bureau dédié, le support continu, le besoin de personnel technique spécialisé (de plus en plus rare sur le marché local) et la capacité limitée à adapter rapidement les ressources lorsque les besoins opérationnels évoluent.

Pour tous les opérateurs financiers soumis à la surveillance de la FINMA - banques, gestionnaires de fortune et gestionnaires d'actifs - la migration vers des solutions de Cloud privé constitue la réponse la plus efficace aux défis de la sécurité, de la conformité et de l'efficience. Un Cloud privé offre plusieurs avantages par rapport au Cloud public :

• Localisation garantie des données en Suisse, une condition essentielle pour répondre aux exigences réglementaires en matière de souveraineté numérique. Les données sont conservées dans des centres de données suisses certifiés, ce qui répond aux critères de la surveillance prudentielle.
• Personnalisation et contrôle complets, car chaque institution peut adapter son environnement à ses besoins spécifiques, en maintenant le contrôle de la sécurité, de la performance et de la gouvernance sans les contraintes des solutions standardisées de cloud public.
• Consolidation et optimisation des ressources, la virtualisation éliminant le gaspillage typique des environnements surdimensionnés, allouant dynamiquement les ressources en fonction des besoins réels et réduisant drastiquement les coûts opérationnels.

La sécurité dans le secteur financier nécessite une approche à plusieurs niveaux où chaque composant communique en temps réel avec les autres. Le déploiement de systèmes de sécurité intégrés de niveau entreprise crée un environnement sécurisé qui comprend :

• Pare-feu périmétriques de nouvelle génération avec inspection approfondie des paquets et renseignements intégrés sur les menaces.
• Protection avancée des communications avec antispam dynamique et sandboxing des pièces jointes.
• Endpoint Detection and Response (EDR) pour une gestion unifiée des terminaux. Chaque appareil - ordinateur portable, smartphone, tablette, poste de travail - est un vecteur d'attaque potentiel, et les systèmes avancés de gestion des points d'accès évaluent en permanence chaque appareil en fonction de multiples facteurs.
• SOC-as-a-Service 24/7, offrant aux institutions financières une surveillance continue, une analyse médico-légale, un triage des alertes et une réponse immédiate aux incidents. L'externalisation de cette fonction critique auprès d'un partenaire local spécialisé garantit une expertise de premier plan à des coûts durables, basés sur les services.

Cette approche n’est pas seulement théorique, elle constitue une pratique établie chez Tinext Cloud. Pour Azimut Suisse, nous avons accompagné une transformation IT complète sur deux ans : passage d’un environnement on-premises à un écosystème Private Cloud moderne avec sécurité Fortinet intégrée, un SOC disponible 24/7 et une gestion centralisée des accès pour les prestataires externes.

Nous avons également mis en place un modèle CIO-as-a-Service, offrant un support de conseil continu, la planification stratégique ICT, la gouvernance technologique, la documentation pour les audits et la conformité FINMA, ainsi qu’une interface directe avec les autorités de surveillance – le tout sans le coût d’un cadre interne à temps plein.

Les résultats sont concrets : réduction des coûts opérationnels, élimination complète des serveurs physiques dans les locaux, résilience renforcée avec continuité de service garantie, conformité réglementaire totale et gouvernance IT centralisée via un partenaire technologique local unique. Découvrez l’étude de cas complète ici.