Cyber-résilience des IMFS: ce que BAM prévoit pour renforcer les systèmes marocains

L’année 2020 a connu une forte augmentation de l’usage des paiements par cartes bancaires, notamment les paiements par TPE sans contact et les paiements e-com, note le rapport. Ainsi, cette année a été marquée par la prédominance des échanges par virement et des paiements par cartes bancaires, dont la part cumulée constitue 74% en nombre et 58% en valeur de l’ensemble des paiements.

Dans ce contexte, la surveillance des moyens de paiement a fait l’objet d’une attention et d’un suivi particuliers. BAM a donc mené, en matière de surveillance des IMF’s, des actions d’accompagnement et de surveillance qui se sont focalisées autour de quatre axes, dont la cyber-résilience.  A cet effet et après plusieurs travaux préparatoires pilotés par la Banque, une première auto-évaluation du niveau de maturité de la cyber-résilience des IMF’s, selon la méthodologie "Cyber Resilience Oversight Exceptations" adoptée par par la Banque Centrale Européenne et recommandée par la Banque Mondiale en tant que cadre de référence de cyber sécurité des IMF’s.

Le même rapport présente une évaluation de deux des principaux systèmes des IMFs: le Système interbancaire marocain de télécompensation (SIMT) et le Maroclear, les deux systèmes s’étant déployés pour la mise en œuvre des recommandations de Bank Al-Maghrib en matière de cyber-résilience.

Les deux acteurs ont entrepris plusieurs actions afin de garantir la cybersécurité et la cybermaturité de leurs systèmes. Dans ce cadre, le GSIMT a mis en place plusieurs mesures de gestion du risque opérationnel, notamment la mise en place d’une solution automatisée de suivi et de gestion des comptes à haut privilège, le renforcement de la cyber-maturité du système et l’élaboration d’un avenant à la convention de sécurisation financière.

De sa part,  pour répondre aux recommandations de la banque centrale, Maroclear a actualisé la cartographie des risques et le renforcement de l’approche préventive du dispositif de gestion des risques en intégrant ceux liés à la cybercriminalité et en identifiant les risques juridiques liés aux systèmes d’information suite notamment à la promulgation de la loi 05-20 relative à la cyber sécurité. En parallèle, le groupe a réalisé un audit de sécurité du système d’information, en conformité avec la loi 05.20 relative à la cybersécurité, en outre de la promotion des règles de bonne gouvernance dans le respect des lois et réglementations en vigueur.

De nouveaux principes internationaux 

En vue de renforcer la cyber-résilience des infrastructures des marchés financiers, BAM mettra en place un plan d’action pour combler les gaps relevés lors de cette évaluation, l’objectif étant de "s’assurer que l’ensemble des acteurs dispose d’un niveau de protection adapté aux menaces, couvrant tous les domaines de la cybersécurité, de l’identification des risques au plan de la reprise d’activité, en passant par la détection des incidents et la réalisation de tests d’intrusions".

Dans ce but, BAM a fixé deux axes principaux, tel qu’expliqué dans le rapport. Le premier axe est de changer le paradigme lié, d’une part, aux moyens de plus en plus importants dont disposent les organisations malveillantes, d’autre part, à la complexité croissante des systèmes d’information et à l’augmentation du nombre de canaux utilisés pour y accéder. Le deuxième axe, quant à lui, consiste en la prise en compte de l’interdépendance opérationnelle croissante entre les différents acteurs financiers et du recours à des fournisseurs tiers qui sont, pour certains d’entre eux, devenus critiques à l’égard du secteur financier dans son ensemble et plus particulièrement des infrastructures de marché.