L’intelligence artificielle n’est plus seulement considérée par les banques centrales comme une technologie susceptible de transformer la productivité, l’emploi ou les marchés financiers.
Elle devient également un risque pour l’infrastructure financière elle-même.
Sarah Breeden, vice-gouverneure de la Banque d’Angleterre, a averti ce jeudi 15 octobre que les progrès de l’IA avaient atteint un niveau où les cyberattaques utilisant cette technologie pouvaient représenter un risque systémique pour le système financier mondial.
La banque centrale britannique travaille désormais avec les établissements financiers sur des solutions de récupération beaucoup plus profondes.
Parmi elles figure le « bare metal recovery » : une infrastructure totalement indépendante des principaux systèmes informatiques d’une banque et capable de prendre le relais lorsque ceux-ci sont compromis.
Le changement de philosophie est important.
Pendant longtemps, les établissements financiers ont principalement cherché à empêcher les cybercriminels d’entrer dans leurs réseaux.
La Banque d’Angleterre estime désormais que cette hypothèse n’est plus suffisante.
Les banques doivent également partir du principe qu’une attaque particulièrement sophistiquée peut réussir et préparer à l’avance la reconstruction de leurs services essentiels.
La Banque d’Angleterre ne considère plus les défenses comme impénétrables
Le message délivré par Sarah Breeden marque une évolution importante dans la gestion du risque informatique.
La priorité traditionnelle de la cybersécurité bancaire consistait à renforcer les barrières.
Authentification, chiffrement, segmentation des réseaux, surveillance des transactions et détection des logiciels malveillants constituent toujours des protections indispensables.
Mais aucune défense ne peut garantir qu’un attaquant ne réussira jamais à entrer.
Les progrès de l’intelligence artificielle renforcent cette difficulté.
Des attaques peuvent devenir plus rapides, plus automatisées et plus complexes.
Pour la BoE, la stratégie doit donc désormais répondre à une deuxième question : que se passe-t-il après une intrusion réussie ?
Sarah Breeden parle désormais de risque systémique
Le choix du terme « systémique » est particulièrement important.
Une cyberattaque contre une entreprise classique peut perturber ses activités et provoquer des pertes financières.
Une attaque contre une grande banque peut avoir des conséquences beaucoup plus larges.
Les établissements financiers sont reliés entre eux par des systèmes de paiement, de règlement, de financement et de compensation.
Ils permettent aux ménages d’accéder à leur argent.
Ils fournissent aux entreprises leurs moyens de paiement.
Ils assurent le règlement des opérations réalisées sur les marchés financiers.
Paralyser l’un des établissements les plus importants peut donc produire des effets qui dépassent largement ses propres clients.
C’est précisément ce risque de contagion que cherchent à limiter les régulateurs.
Le « bare metal recovery » devient une priorité
La solution mise en avant par la Banque d’Angleterre repose sur une infrastructure indépendante.
Le principe du « bare metal recovery » consiste à conserver une capacité de récupération séparée du système informatique principal.
Cette séparation est essentielle.
Si un attaquant réussit à compromettre simultanément les applications principales et leurs sauvegardes directement connectées, une banque peut se retrouver incapable de redémarrer rapidement.
Une infrastructure indépendante réduit cette dépendance.
Elle peut permettre de reconstruire les services essentiels à partir d’un environnement considéré comme sain.
L’objectif n’est pas nécessairement de restaurer immédiatement chaque fonction de la banque.
La priorité consiste à remettre en service les opérations critiques.
Les paiements font partie des fonctions qui ne peuvent pas rester paralysées
Toutes les activités financières ne possèdent pas la même importance systémique.
Certaines peuvent être interrompues pendant plusieurs heures sans provoquer de crise.
D’autres non.
Les systèmes de paiement font partie des infrastructures les plus sensibles.
Des millions de ménages et d’entreprises dépendent quotidiennement des virements, cartes et règlements bancaires.
Une interruption prolongée pourrait empêcher des entreprises de payer leurs fournisseurs ou leurs salariés.
Les consommateurs pourraient rencontrer des difficultés pour accéder à leur argent.
Les transactions entre institutions financières pourraient également être perturbées.
Le problème devient alors macroéconomique et non plus simplement informatique.
Les banques doivent préparer le scénario où l’attaque réussit
C’est probablement le changement conceptuel le plus important.
Les régulateurs ne demandent plus seulement aux banques de démontrer que leurs défenses sont solides.
Ils veulent également savoir comment elles fonctionneraient après leur échec.
Une institution financière doit pouvoir identifier ses services indispensables, déterminer les infrastructures nécessaires pour les restaurer et tester régulièrement ces procédures.
Cette approche ressemble à celle utilisée dans d’autres secteurs critiques.
Un réseau électrique, un hôpital ou une infrastructure de télécommunication ne peut pas simplement compter sur la prévention.
Il doit également posséder des systèmes de secours.
La finance évolue progressivement vers la même logique.
L’IA peut augmenter la vitesse des cyberattaques
L’intelligence artificielle modifie notamment la vitesse à laquelle certaines opérations malveillantes peuvent être réalisées.
Des tâches autrefois manuelles peuvent être automatisées.
Les attaquants peuvent analyser plus rapidement de grandes quantités d’informations.
Ils peuvent rechercher des vulnérabilités ou adapter certaines techniques en fonction de leurs cibles.
Cette automatisation peut réduire le temps dont dispose une banque pour identifier et isoler une intrusion.
Une attaque qui se développe rapidement peut atteindre plusieurs parties d’un système avant que les équipes de sécurité aient compris son fonctionnement.
La rapidité de réaction devient donc aussi importante que la capacité de prévention.
Les attaques peuvent également devenir plus complexes
La sophistication représente un deuxième risque.
Les systèmes bancaires modernes sont extrêmement complexes.
Une grande banque peut utiliser des milliers d’applications et dépendre de nombreux fournisseurs externes.
Certaines infrastructures ont été construites il y a plusieurs décennies puis progressivement reliées à des technologies plus récentes.
Cette architecture crée de nombreuses dépendances.
L’intelligence artificielle peut aider les attaquants à analyser ces relations et à rechercher les points les plus vulnérables.
Elle peut aussi permettre de créer des campagnes plus ciblées.
La surface d’attaque devient ainsi plus difficile à surveiller.
Les sauvegardes traditionnelles ne suffisent pas toujours
Posséder une sauvegarde des données reste essentiel.
Mais une sauvegarde n’est utile que si elle n’a pas été elle-même compromise.
Certaines cyberattaques modernes cherchent précisément à contaminer ou supprimer les mécanismes de récupération.
Un attaquant peut tenter de rester plusieurs semaines dans un réseau avant de déclencher son opération principale.
Pendant cette période, des données compromises peuvent progressivement apparaître dans les sauvegardes.
Lorsqu’une banque tente ensuite de restaurer son système, elle risque de réintroduire le problème.
Une infrastructure indépendante cherche à réduire ce danger.
L’enjeu est de reconstruire depuis un environnement fiable
Le concept de récupération profonde repose donc sur la confiance.
Après une attaque majeure, les responsables informatiques doivent savoir quelles données et quels systèmes peuvent encore être considérés comme sûrs.
Cela peut être difficile.
Si l’intégrité du système principal est incertaine, simplement le redémarrer peut être dangereux.
Une infrastructure « bare metal » offre un point de départ séparé.
La banque peut reconstruire progressivement ses services essentiels sans dépendre immédiatement de l’environnement compromis.
Cette approche peut nécessiter davantage de temps et de préparation.
Mais elle réduit le risque de redémarrer un système encore contrôlé par l’attaquant.
Les grandes banques britanniques sont déjà poussées à étudier ces solutions
La Banque d’Angleterre ne présente pas uniquement une réflexion théorique.
Les superviseurs britanniques encouragent déjà les plus grandes banques à examiner des plans de récupération de ce type.
Les établissements systémiques sont naturellement prioritaires.
Plus une banque est importante pour les paiements, le crédit ou les marchés financiers, plus une interruption prolongée peut avoir de conséquences.
Les régulateurs veulent donc connaître à l’avance les solutions disponibles.
Cela peut conduire les banques à augmenter leurs dépenses informatiques.
La cybersécurité ne représente plus seulement une fonction de protection.
Elle devient progressivement une composante de la résilience financière.
La résilience informatique devient comparable au capital bancaire
Après la crise financière de 2008, les régulateurs ont imposé aux banques davantage de capital et de liquidité.
L’objectif était de s’assurer qu’elles puissent absorber des pertes financières sans s’effondrer.
Le raisonnement appliqué au risque informatique commence à devenir similaire.
Une banque peut être parfaitement solvable mais incapable de fonctionner si son infrastructure technologique est paralysée.
Dans ce scénario, disposer de capital ne suffit pas.
Il faut pouvoir accéder aux données, traiter les paiements et maintenir les opérations essentielles.
La résilience informatique devient ainsi une deuxième forme de protection systémique.
Une attaque pourrait provoquer une crise de confiance
Le risque ne vient pas seulement de l’interruption technique.
La confiance joue un rôle central dans le fonctionnement bancaire.
Les déposants doivent être convaincus qu’ils peuvent accéder à leur argent.
Les entreprises doivent savoir que leurs paiements seront exécutés.
Les autres banques doivent avoir confiance dans les transactions qu’elles réalisent avec leurs contreparties.
Une cyberattaque prolongée pourrait fragiliser cette confiance.
Même si les dépôts restent juridiquement protégés et que la banque demeure solvable, les clients peuvent réagir négativement s’ils ne peuvent plus accéder normalement à leurs comptes.
Une crise informatique peut donc progressivement devenir une crise financière.
Les banques sont de plus en plus dépendantes de fournisseurs externes
Le problème est renforcé par l’évolution du secteur financier.
Les banques utilisent désormais de nombreux fournisseurs technologiques.
Cloud, logiciels spécialisés, bases de données, services de cybersécurité et infrastructures de paiement peuvent être opérés par des entreprises externes.
Cette externalisation offre des avantages.
Elle permet aux banques d’utiliser des technologies avancées sans devoir tout développer en interne.
Mais elle crée également des concentrations.
Si plusieurs grandes institutions dépendent du même fournisseur, une attaque ou une panne peut toucher simultanément plusieurs acteurs.
Le risque systémique peut donc venir d’un acteur non bancaire
Cette évolution complique le travail des banques centrales.
Historiquement, les régulateurs financiers surveillaient principalement les banques, assureurs et infrastructures de marché.
Aujourd’hui, une entreprise technologique peut être essentielle au fonctionnement du système financier sans être elle-même une banque.
Un fournisseur cloud peut héberger des services utilisés par plusieurs établissements.
Une société informatique peut gérer une application critique.
Une entreprise spécialisée peut fournir des outils d’authentification ou de traitement de données.
La résilience doit donc être pensée « de bout en bout », comme l’a souligné Breeden.
Il ne suffit plus d’examiner chaque banque individuellement.
Une attaque contre plusieurs institutions serait beaucoup plus dangereuse
Les scénarios les plus préoccupants impliquent des attaques simultanées.
Une attaque ciblant une seule banque peut généralement être gérée avec l’aide des autres institutions et des autorités.
Mais une vulnérabilité commune pourrait affecter plusieurs établissements en même temps.
Les systèmes de paiement pourraient alors rencontrer des difficultés beaucoup plus importantes.
Les autorités auraient également moins de solutions de substitution.
L’utilisation de technologies similaires par plusieurs banques crée donc une nouvelle forme de concentration du risque.
Les régulateurs doivent identifier ces dépendances avant qu’une crise ne se produise.
L’IA peut aussi aider les banques à se défendre
L’intelligence artificielle n’est toutefois pas uniquement une menace.
Les banques utilisent elles-mêmes ces technologies pour renforcer leurs défenses.
Des systèmes peuvent analyser des millions d’événements informatiques et identifier des comportements inhabituels.
L’IA peut également aider à détecter des transactions frauduleuses.
Elle permet d’automatiser certaines tâches de surveillance qui seraient impossibles à réaliser manuellement à grande échelle.
Le secteur financier se trouve donc dans une situation particulière.
La même technologie peut renforcer simultanément les capacités des attaquants et celles des défenseurs.
La question devient celle de savoir quel camp progresse le plus rapidement.
Les banques doivent continuer à investir dans les fondamentaux
Breeden insiste néanmoins sur un point : l’arrivée de nouvelles technologies ne réduit pas l’importance des pratiques classiques de cybersécurité.
Au contraire.
La gestion des accès, les mises à jour logicielles, la segmentation des réseaux et la formation des employés restent essentielles.
De nombreuses attaques réussissent encore grâce à des vulnérabilités relativement simples.
Une technologie sophistiquée ne peut pas compenser de mauvaises pratiques fondamentales.
Pour les banques, la stratégie doit donc fonctionner sur plusieurs niveaux : prévention, détection, isolation et récupération.
Les coûts technologiques pourraient augmenter
Ces nouvelles exigences auront probablement un coût.
Maintenir une infrastructure indépendante implique des investissements supplémentaires.
Les banques doivent acheter ou réserver des capacités technologiques.
Elles doivent conserver des données dans des environnements séparés.
Elles doivent développer des procédures spécifiques et les tester régulièrement.
Pour les plus grands établissements, ces dépenses peuvent représenter des montants importants.
Les banques devront donc intégrer davantage la résilience informatique dans leurs budgets d’investissement.
Cela peut peser sur les coûts à court terme, mais réduire considérablement les pertes potentielles d’une attaque majeure.
Les petites banques peuvent rencontrer davantage de difficultés
Les grands groupes possèdent généralement les ressources nécessaires pour construire des infrastructures de secours sophistiquées.
La situation peut être plus difficile pour les établissements de petite taille.
Ils disposent de budgets technologiques plus limités.
Ils dépendent souvent davantage de prestataires externes.
Les régulateurs devront donc trouver un équilibre.
Exiger exactement la même infrastructure de chaque banque pourrait créer une charge disproportionnée.
Mais réduire les exigences pour les petits acteurs peut également créer des vulnérabilités.
La mutualisation de certaines solutions pourrait devenir une option.
Le risque cyber devient également un sujet pour les investisseurs
Les actionnaires et détenteurs d’obligations bancaires devront eux aussi accorder davantage d’attention à ces questions.
Une attaque importante peut générer des coûts directs élevés.
Les systèmes doivent être restaurés.
Les clients peuvent devoir être indemnisés.
Des amendes réglementaires peuvent être imposées.
La réputation peut également être affectée.
Une banque possédant une infrastructure particulièrement résiliente peut donc progressivement bénéficier d’un avantage.
Le risque technologique rejoint ainsi les critères financiers traditionnels utilisés pour évaluer les établissements.
Les assureurs font face à une équation difficile
Le développement des cyberattaques touche également le marché de l’assurance.
Les entreprises cherchent à transférer une partie de leur risque vers des assureurs spécialisés.
Mais une attaque systémique pose un problème particulier.
Les assureurs fonctionnent mieux lorsque les pertes de leurs clients ne se produisent pas toutes simultanément.
Une vulnérabilité technologique utilisée contre des centaines d’entreprises au même moment peut produire des pertes extrêmement concentrées.
L’IA pourrait augmenter la probabilité de tels scénarios.
Les contrats cyber pourraient donc devenir plus chers ou comporter davantage d’exclusions.
Les régulateurs mondiaux renforcent leur surveillance
La Banque d’Angleterre n’agit pas isolément.
Les autorités financières de plusieurs pays renforcent leurs travaux sur le risque technologique.
Les systèmes financiers sont internationaux.
Une attaque contre une grande banque ou une infrastructure de paiement peut rapidement produire des conséquences dans plusieurs juridictions.
La coopération entre régulateurs devient donc indispensable.
Il faut partager les informations sur les menaces, coordonner les exercices de crise et définir les fonctions qui doivent être restaurées en priorité.
La cybersécurité bancaire devient progressivement une question de stabilité financière mondiale.
Les exercices de crise pourraient devenir plus réalistes
Les banques réalisent déjà régulièrement des tests.
Mais l’évolution des menaces pourrait conduire les régulateurs à demander des scénarios plus extrêmes.
Il ne suffira plus nécessairement de simuler une panne temporaire.
Les établissements pourraient devoir tester la perte complète de certaines infrastructures.
Ils devront montrer qu’ils peuvent restaurer les services à partir de systèmes séparés.
Ces exercices permettront également d’identifier les dépendances cachées.
Une banque peut croire disposer d’une solution indépendante avant de découvrir qu’elle dépend finalement du même fournisseur ou du même réseau que son infrastructure principale.
Le temps nécessaire à la récupération devient un indicateur essentiel
Dans une cyberattaque systémique, la question n’est pas seulement de savoir si une banque peut récupérer.
Il faut savoir combien de temps cela prendra.
Quelques minutes d’interruption peuvent être gérables.
Plusieurs jours peuvent devenir extrêmement problématiques.
Les régulateurs pourraient donc accorder davantage d’importance aux délais maximaux de restauration.
Les établissements devront identifier les fonctions qui doivent revenir en premier.
Les paiements et l’accès aux comptes devraient naturellement figurer parmi les priorités.
D’autres services pourraient être restaurés progressivement.
Les banques centrales doivent elles-mêmes se protéger
La logique s’applique également aux institutions publiques.
Les banques centrales gèrent des infrastructures essentielles.
Elles participent au règlement des transactions entre établissements financiers et supervisent parfois des systèmes de paiement critiques.
Une attaque contre ces infrastructures pourrait avoir des conséquences considérables.
La résilience doit donc être développée à plusieurs niveaux.
Une banque commerciale peut posséder une excellente infrastructure de secours.
Cela ne suffit pas si le système externe dont elle dépend reste paralysé.
D’où l’insistance de Breeden sur une réflexion couvrant l’ensemble du système financier.
La menace IA transforme la définition du risque bancaire
Pendant longtemps, l’analyse du risque bancaire reposait principalement sur quelques variables : capital, liquidité, crédit et qualité des actifs.
La technologie occupe désormais une place comparable.
Une banque peut disposer d’un bilan solide mais rester vulnérable à une interruption informatique.
Cette réalité oblige les régulateurs à élargir leur définition de la stabilité financière.
Les établissements devront démontrer non seulement qu’ils peuvent absorber des pertes financières, mais aussi qu’ils peuvent continuer à fonctionner après une attaque.
Le changement est profond.
La technologie n’est plus simplement un outil utilisé par les banques.
Elle constitue l’une des infrastructures sur lesquelles repose leur capacité même à exister.
Le prochain test sera la mise en œuvre des systèmes de récupération
L’avertissement publié ce 15 octobre ne signifie pas qu’une cyberattaque systémique est imminente.
La Banque d’Angleterre souligne plutôt que la probabilité et la sophistication des attaques augmentent suffisamment pour justifier une nouvelle approche.
Le principal élément à surveiller sera désormais la manière dont les grandes banques traduiront cette demande en investissements concrets.
La séparation réelle des systèmes de secours sera essentielle.
Des sauvegardes simplement connectées à l’infrastructure principale ne répondent pas au même objectif.
Les établissements devront également démontrer qu’ils peuvent restaurer leurs services dans des délais compatibles avec le fonctionnement normal du système financier.
L’IA oblige les banques à préparer l’après-attaque, pas seulement la défense
La déclaration de Sarah Breeden marque finalement une évolution importante dans la manière dont les autorités financières envisagent le risque technologique.
La question n’est plus de savoir si une banque peut construire une défense totalement impénétrable.
La Banque d’Angleterre considère précisément qu’elle ne peut plus partir de cette hypothèse.
Les établissements doivent donc préparer le scénario dans lequel leurs défenses échouent.
L’intelligence artificielle augmente la vitesse, l’échelle et potentiellement la complexité des attaques. Dans un système financier fortement interconnecté, une paralysie suffisamment importante peut devenir un problème systémique.
Trois éléments seront désormais déterminants : l’indépendance réelle des infrastructures de récupération, le temps nécessaire pour restaurer les services essentiels et la capacité des banques, fournisseurs technologiques et autorités à coordonner leurs réponses.
Le concept de « bare metal recovery » résume cette nouvelle philosophie.
La meilleure défense ne consiste plus seulement à empêcher l’attaquant d’entrer.
Elle consiste aussi à garantir que, même s’il réussit, le système financier possède une infrastructure suffisamment indépendante pour continuer à fonctionner.
