Confédération: des infrastructures critiques pas assez contrôlées face aux cyber-risques

Dans son rapport annuel 2020, le Contrôle fédéral des finances (CDF) relève plusieurs cyber-risques en lien avec des infrastructures critiques et systèmes IT de la Confédération. Le CDF observe notamment que «la société Interbank Clearing Ltd. et le système de paiements interbancaires SIC22 qu’elle exploite sont perçus, par les experts et la documentation spécialisée, comme une des principales cibles potentielles du système financier pour une cyberattaque.» Le rapport souligne que ce système n’est pas soumis à la surveillance de la FINMA mais à celui de la BNS, qui n’a pas souhaité que le CDF l’intègre à son audit (pour des questions juridiques). «Pour le CDF, dans le dossier de la protection des infrastructures critiques, les risques du système de paiements interbancaires demeurent une blackbox», indique le rapport.

Le document du CDF rappelle en outre que la surveillance des cyber-risques par la FINMA s’avère lacunaire, car les banques respectent insuffisamment l’obligation d’informer sur les cyber-incidents.

Le CDF a également identifié des problèmes de sécurité dans le domaine de la domotique. Ce domaine comprend l’automatisation des bâtiments gérés par l'administration fédérale, l’infrastructure et la mise en réseau des systèmes applicatifs ainsi que les systèmes de sécurité et de sûreté. L'audit du CDF a montré que le fonctionnement de ces systèmes n’était pas contrôlé adéquatement, les lacunes concernant en particulier le suivi et les analyses de vulnérabilité. Prestataire de service de ce domaine pour l’administration fédérale, l’OFCL a reconnu le problème et a introduit des mesures ciblées. Ces dernières prendront toutefois des années à être complètement mises en œuvre, souligne le CFD.