| Catégories de Risques liés aux risque lié aux TIC (liste non TIC exhaustive10 ) | Description du risque | Exemples | |
| Risques pour la Gestion des disponibilité et capacités la continuité inadéquate des TIC | Un manque de ressources (par exemple de matériel, de logiciels, de personnel, de prestataires de services) peut entraîner une incapacité à adapter le service pour répondre aux besoins de l’entreprise, aux interruptions du système, à la dégradation du service et/ou aux erreurs opérationnelles. | • • | Un manque de capacités risque de porter atteinte à la vitesse de transmission et la disponibilité du réseau (internet) pour des services tels que la banque en ligne. Un manque de personnel (interne ou tiers) peut entraîner des interruptions du système et/ou des erreurs opérationnelles. |
| Pannes du système de TIC | Indisponibilité en raison de pannes du matériel. Indisponibilité en raison de pannes et de bogues du logiciel. | • • • | Panne/dysfonctionnement du stockage (disques durs), du serveur ou d’autres équipements TIC, en raison par exemple d’un manque de maintenance. Une boucle fermée dans le logiciel de l’application empêche l’exécution de l’opération. Pannes résultant de l’utilisation continue de systèmes et de solutions de TIC obsolètes qui ne répondent plus aux exigences actuelles de disponibilité et de résilience et/ou ne sont plus pris en charge par leurs fournisseurs. |
| Inadéquation des plans de continuité et de rétablissement après un incident | Échec des solutions de disponibilité et/ou de continuité des TIC planifiées et/ou du rétablissement après un incident (par exemple un centre de données de rétablissement de secours) lorsqu’elles sont activées en réponse à un incident. | • | Des différences de configuration entre les centres de données principal et secondaire peuvent entraîner l’incapacité du centre de données de secours à assurer la continuité planifiée du service. |
| Catégories de Risques liés aux risque lié aux TIC (liste non TIC exhaustive10 ) | Description du risque | Exemples | |
| Cyberattaques causant des perturbations ou des destructions | Attaques à des fins diverses (par exemple activisme, chantage) qui entraînent une surcharge des systèmes et du réseau, empêchant les utilisateurs légitimes d’accéder aux services informatiques en ligne. | • | Des attaques de déni de service répandues sont menées au moyen d’une multitude de systèmes informatiques sur internet sous le contrôle d’un pirate informatique qui envoie une grande quantité de demandes de service apparemment légitimes à des services en ligne (par exemple la banque en ligne). |
| Risques pour la Cyberattaques et sécurité des TIC autres attaques externes à partir des TIC | Attaques menées à partir d’internet ou de réseaux externes à des fins diverses (par exemple fraude, espionnage, activisme/sabotage, cyberterrorisme) en utilisant des techniques variées (par exemple l’ingénierie sociale, les tentatives d’intrusion par l’exploitation des failles, le déploiement de logiciels malveillants) entraînant une prise de contrôle des systèmes internes de TIC. Exécution d’opérations de paiement frauduleuses par des pirates informatiques qui cassent ou qui contournent la sécurité des services bancaires en ligne et des services de paiement et/ou qui attaquent et exploitent les failles de la sécurité dans les systèmes de paiement internes de l’établissement. Exécution d’opérations sur titres frauduleuses par des pirates informatiques qui cassent ou qui contournent la | Différents • • • • • • • | types d’attaques: APT (menace persistante avancée) pour prendre le contrôle de systèmes internes ou voler des informations (par exemple des informations liées au vol d’identité ou des informations sur les cartes de crédit). Logiciel malveillant (par exemple rançongiciel) qui crypte les données dans un but de chantage. Infection de systèmes de TIC internes par des chevaux de Troie pour commettre des actions malveillantes dans le système de manière dissimulée. Exploitation des failles du système de TIC et/ou des applications (web) (par exemple injection SQL, etc.) pour accéder au système interne de TIC. Attaques contre les services de banque en ligne ou de paiement dans le but d’exécuter des opérations non autorisées. Création et envoi d’opérations de paiement frauduleuses depuis les systèmes de paiement internes de l’établissement (par exemple messages SWIFT frauduleux). Attaques « pump and dump » permettant aux pirates d’accéder aux comptes de titres en ligne des clients |
| Catégories de Risques liés aux risque lié aux TIC (liste non TIC exhaustive10 ) | Description du risque sécurité des services bancaires en ligne, lesquels donnent également accès aux comptes de titres des clients. Attaques sur les connexions de communication et les conversations de toutes sortes ou des systèmes de TIC dans le but de collecter des informations et/ou de commettre des fraudes. | Exemples • | et de placer des ordres d’achat ou de vente frauduleux pour influencer les cours et/ou réaliser des gains à partir de positions sur titres détenues dans le portefeuille. Écoute/interception de la transmission non protégée de données d’authentification en texte clair. |
| Sécurité interne inadéquate des TIC | Accès non autorisé aux systèmes de TIC essentiels de l’établissement depuis l’intérieur de celui-ci à des fins diverses (par exemple fraude, exécution et dissimulation d’activités commerciales illicites, vol de données, activisme/sabotage) à l’aide de techniques variées (par exemple abus et/ou augmentation de privilèges, vol d’identité, ingénierie sociale, exploitation des points faibles des systèmes de TIC, déploiement de logiciels malveillants). Manipulations informatiques non autorisées en raison de procédures et pratiques de gestion de l’accès aux TIC inadéquates. Menaces pour la sécurité dues à un manque de sensibilisation à la sécurité, ce qui fait que les | • • • • • • | Installation d’enregistreurs de trajectoires de touches (enregistreurs de clés) pour voler les identifiants d’utilisateurs et les mots de passe et obtenir un accès non autorisé à des données confidentielles et/ou commettre des fraudes. Craquer/deviner des mots de passe faciles pour obtenir des droits d’accès illégitimes ou d’un haut niveau. L’administrateur du système utilise des systèmes d’exploitation ou des utilitaires de base de données (pour modifier directement la base de données) afin de commettre des fraudes. Non-désactivation ou non-suppression des comptes inutiles tels que ceux du personnel ayant changé de fonctions et/ou quitté l’établissement, notamment des invités ou des fournisseurs qui n’ont plus besoin d’accès, offrant un accès non autorisé aux systèmes de TIC. Octroi de droits et privilèges d’accès excessifs, permettant des accès non autorisés et/ou la dissimulations d’activités illicites. Employés manipulés pour apporter leur aide à une attaque (c.-à-d. ingénierie sociale). |
| Catégories de Risques liés aux risque lié aux TIC (liste non TIC exhaustive10 ) | Description du risque travailleurs ne comprennent pas, négligent ou ne respectent pas les politiques et les procédures de sécurité des TIC. Stockage ou transfert non autorisé d’informations confidentielles en dehors de l’établissement. | Exemples • • • | Mauvaises pratiques concernant les informations d’identification: partage de mots de passe, utilisation de mots de passe «faciles» à deviner, utilisation du même mot de passe à de nombreuses fins différentes, etc. Stockage de données confidentielles non cryptées sur des ordinateurs portables et des solutions de stockage de données à puce (par exemple clés USB) qui peuvent être perdus ou volés. Vol, divulgation délibérée ou transmission d’informations confidentielles à des personnes non autorisées ou au public. |
| Inadéquation de la sécurité physique des TIC | Mauvaise utilisation ou vol de ressources TIC par un accès physique entraînant des dégâts, des pertes de ressources ou de données ou pour rendre possibles d’autres menaces. Dégâts volontaires ou accidentels infligés à des ressources physiques des TIC par des actes de terrorisme, des accidents ou des manipulations malheureuses/erronées provoqués par le personnel de l’établissement et/ou des tiers (fournisseurs, réparateurs). La protection physique insuffisante contre les catastrophes naturelles entraîne une destruction partielle ou complète des systèmes de TIC/centres de données par des catastrophes naturelles. | • • • • | Entrée par effraction dans des immeubles de bureaux et/ou des centres de données pour y voler des équipements informatiques (par exemple ordinateurs, ordinateurs portables, solutions de stockage) et/ou copier des données en accédant physiquement aux systèmes de TIC. Terrorisme physique (bombes posées par des terroristes) ou sabotage des ressources TIC. Destruction du centre de données par le feu, des fuites d’eau ou d’autres facteurs. Tremblements de terre, vagues de chaleur, tempêtes, fortes tempêtes de neige, inondations, incendies, foudre. |
| Risques liés au Contrôles changement inadéquats des changements | Incidents causés par des erreurs ou des failles non détectées à la suite de changements (par exemple effets imprévus d’un changement ou changement mal | • | Mise en production de logiciels insuffisamment testés ou changements de configuration ayant des effets indésirables inattendus sur les données (par |
| Catégories de Risques liés aux risque lié aux TIC (liste non TIC exhaustive10 ) | Description du risque | Exemples | |
| des TIC apportés au système de TIC et du développement des TIC. | géré en raison d’un manque de tests ou de pratiques inappropriées de gestion du changement) apportés par exemple à des logiciels, systèmes et données TIC. | • • • • | exemple la corruption, la suppression de données) et/ou sur les performances du système de TIC (par exemple panne, dégradation des performances). Changements incontrôlés des systèmes ou des données TIC dans l’environnement de production. Mise en production de systèmes de TIC et d’applications internet mal sécurisés, permettant aux pirates d’attaquer les services internet fournis et/ou de briser les systèmes internes de TIC. Changements incontrôlés dans le code source d’un logiciel développé en interne. Tests insuffisants en raison de l’absence d’environnements d’essai adéquats. |
| Architecture des TIC inadéquate | Une gestion défaillante de l’architecture des TIC lors de la conception, de l’élaboration et de la maintenance des systèmes de TIC (par exemple logiciel, matériel, données) peut conduire, au fil du temps, à des systèmes complexes, difficiles, coûteux à gérer et rigides qui ne correspondent plus suffisamment aux besoins de l’entreprise et ne répondent plus aux exigences réelles de gestion des risques. | • • | Mauvaise gestion des changements apportés aux systèmes, aux logiciels et/ou aux données TIC sur une longue période, conduisant à des systèmes et des architectures TIC complexes, hétérogènes et difficiles à gérer, entraînant de nombreux effets négatifs sur la gestion des risques et l’entreprise (par exemple manque de flexibilité et d’agilité, incidents et pannes des TIC, coûts d’exploitation élevés, affaiblissement de la sécurité et de la résilience des TIC, réduction de la qualité des données et des capacités de notification). Personnalisation et extension excessives des logiciels commerciaux avec des logiciels développés en interne, ce qui entraîne l’incapacité de mettre en place les futures versions et mises à niveau du logiciel commercial et le risque qu’il ne soit plus pris en charge par le vendeur. |
| Gestion | Absence d’inventaire adéquat de toutes les ressources | • | Systèmes TIC non corrigés et obsolètes qui risquent |
| Catégories de Risques liés aux risque lié aux TIC (liste non TIC exhaustive10 ) | Description du risque | Exemples | |
| inadéquate du cycle de vie et des correctifs | TIC qui soutiennent, et se combinent avec, des bonnes pratiques de gestion du cycle de vie et des correctifs. Cela conduit à des systèmes de TIC mal corrigés (et donc plus vulnérables) et obsolètes qui risquent de ne pas prendre en charge les besoins en matière de gestion des risques et les besoins de l’entreprise. | | d’avoir une incidence négative sur la gestion de l’entreprise et des risques (par exemple manque de souplesse et d’agilité, pannes de TIC, affaiblissement de la sécurité et de la résilience des TIC). |
| Risques pour Dysfonctionneme l’intégrité des nt dans le données des TIC traitement ou la gestion des données TIC | En cas d’erreurs ou de pannes du système, de la communication et/ou de l’application, ou bien d’exécution erronée du processus d’extraction, de transfert et de chargement (ETL), les données pourraient être corrompues ou perdues. | • • • | Erreur du système informatique dans le traitement par lots, provoquant des soldes incorrects dans les comptes bancaires de la clientèle. Exécution erronée de requêtes Perte de données due à une erreur de réplication de données (sauvegarde). |
| Mauvaise conception des contrôles de validation des données dans les systèmes de TIC | Erreurs dues à l’absence ou à l’inefficacité des contrôles d’entrée et d’acceptation automatiques de données (par exemple pour les données de tiers utilisées), au transfert de données, au traitement et aux contrôles de sortie dans les systèmes de TIC (par exemple les contrôles de validité des entrées, les rapprochements de données). | • • • • | Insuffisance ou invalidité du formatage/de la validation des entrées de données dans les applications et/ou les interfaces utilisateur. Absence de contrôles de rapprochement des données sur les sorties Absence de contrôles des processus d’extraction de données exécutés (par exemple requêtes introduites dans une base de données) produisant des données erronées. Utilisation de données externes défectueuses. |
| Modifications de données mal contrôlées dans les systèmes de TIC de production. Mauvaise conception et/ou gestion de | Erreurs de données introduites en raison du manque de contrôles de l’exactitude et de la justification des manipulations des données effectuées dans la production des systèmes de TIC Une mauvaise gestion de l’architecture des données, des modèles de données, des flux de données ou des dictionnaires de données risque d’aboutir à plusieurs | • • | Les développeurs ou les administrateurs de bases de données accèdent directement aux données et les modifient dans les systèmes de TIC de production de manière non contrôlée, par exemple dans le cas d’un incident de TIC. Existence de différentes bases de données clients par produit ou par branche d’activité proposant des définitions et des champs de données différents, ce |
| Catégories de Risques liés aux risque lié aux TIC (liste non TIC exhaustive10 ) | Description du risque | Exemples | |
| l’architecture des données, des flux de données, des modèles de données ou des dictionnaires de données Risques liés à Résilience l’externalisation insuffisante des des TIC services proposés par des tiers ou une autre entité du groupe Gouvernance inadéquate de l’externalisation | versions des mêmes données dans les systèmes de TIC, sans aucune cohérence en raison de l’application différente des modèles de données ou des définitions de données, et/ou des différences dans le processus sous-jacent de génération et de modification des données. Indisponibilité de services de TIC , de services de télécommunication et de services publics clés externalisés. Perte ou corruption de données clés/sensibles confiées au prestataire de services Dégradation ou pannes majeures des services en raison de processus de préparation ou de contrôle inefficaces du prestataire des services externalisés. Une gouvernance inefficace de l’externalisation risque d’entraîner un manque de compétences et de capacités nécessaires pour détecter, évaluer, atténuer et surveiller les risques liés aux TIC et peut limiter les capacités opérationnelles de l’établissement. | • • • • • | qui rend impossible le rapprochement des données clients intégrées et complique leur comparaison au niveau de l’ensemble de l’établissement financier ou du groupe. Indisponibilité des services de base en raison de défaillances dans les systèmes ou applications de TIC (externalisés) des prestataires. Perturbation des liaisons de télécommunication Coupure de l’alimentation électrique Faiblesse des procédures de traitement des incidents, des mécanismes de contrôle contractuels et des garanties intégrées au contrat du prestataire de services qui augmentent la dépendance aux tiers et aux fournisseurs. Des contrôles inadéquats de la gestion du changement concernant l’environnement des TIC du prestataire de services peuvent entraîner une dégradation ou une défaillance majeure du service. |
| Sécurité insuffisante d’un tiers ou d’une autre entité du groupe | Piratage des systèmes de TIC des prestataires de services tiers, ayant une incidence directe sur les services externalisés ou sur des données clés/confidentielles stockées chez le prestataire de services. Accès non autorisé du personnel du prestataire de services à des données clés/sensibles stockées chez le prestataire de services | • • | Piratage des prestataires de services par des criminels ou des terroristes pour trouver un point d’accès aux systèmes de TIC de l’établissement ou pour accéder à des données clés ou sensibles stockées chez le prestataire de services ou pour détruire ces données. Des personnes malveillantes du côté du prestataire de services essaient de voler et de vendre des données sensibles. |