Sécurité : le vol de données, un casse-tête pour les banques helvètes

L'affaire du vol de données de clients ayant un compte caché en Suisse proposées au fisc allemand a révélé l'un des talons d'Achille des banques helvètes, la sécurité, mais prévenir ces incidents relève du casse-tête, selon les experts.
Les banques suisses, qui ont construit leur réputation sur le secret bancaire, assurant à leurs clients fortunés une confidentialité inscrite dans le code pénal suisse, « analysent leur sécurité en permanence », affirme à l'AFP un porte-parole de l'Association suisse des banquiers, Thomas Sutter.
Même si aucune information n'a encore filtré sur la manière dont les 1 500 noms de fraudeurs du fisc présumés ont été volés puis offerts pour 2,5 millions d'euros à l'Allemagne, l'affaire « n'est pas une bonne chose pour la place financière », convient-il.
Et elle a des précédents. Des données avaient ainsi été volées dans une banque du Liechtenstein par un employé chargé de numériser les archives, puis revendues à l'Allemagne en 2008. Hervé Falciani, informaticien d'une filiale de la banque HSBC de Genève, a transmis à la France en 2009 une liste de 3 000 noms de clients dérobés.
« La probabilité est très élevée que ces données proviennent du département informatique », a confié à l'AFP Hans Geiger, professeur à l'Institut bancaire suisse de l'Université de Zurich.
Selon le consultant en sécurité informatique Jerry Krattiger, interrogé par le quotidien Le Temps, 70 % des fuites de données viennent de l'intérieur.
Pour contrer cette menace, les banques, « très consommatrices des technologies de l'information », sont confrontées à « la quadrature du cercle », ajoute Grégoire Ribordy, directeur de la société de sécurité informatique IDQuantique.
Des garde-fous existent, comme réduire au minimum nécessaire l'accès aux informations pour les conseillers clientèle, coder les données et confier les deux clés nécessaires à leur décryptage à deux personnes distinctes, limiter les droits des administrateurs des bases de données ou encore interdire l'utilisation de CD ou de clés USB.
Mais « il faut bien que l'information circule pour que les gens travaillent », relève M. Ribordy, qui note qu'aujourd'hui un téléphone portable suffit pour photographier discrètement son écran.
Pour l'économiste Arturo Bris, le seul moyen de prévenir qu'un « mouton noir » ne franchisse le pas est d'investir dans « la culture d'entreprise » en créant un climat de confiance et de loyauté.
La gestion des ressources humaines est alors cruciale pour « détecter les comportements suspects, un employé à la carrière frustrée ou qui affronte des problèmes personnels » et qui pourrait être tenté par des vols, ajoute-t-il, relevant toutefois que « plus un groupe est grand, plus c'est difficile ».
Sans entrer dans les détails, les grandes banques de la Confédération comme UBS et Crédit Suisse avancent que la protection de la vie privée et la sécurité sont « une grande priorité ».
Celle-ci est mise en œuvre par un « directeur des risques », qui s'appuie, selon M. Geiger, sur « une véritable force de police interne » compétente en matière d'informatique, d'accès aux lieux et de ressources humaines.
Alors même qu'elle est aujourd'hui « stratégique », l'informatique « reste pour beaucoup de dirigeants d'entreprises, de conseils d'administration ou de managers un monde hermétique », regrette M. Krattiger.
Paradoxalement, ce sont souvent ces mêmes dirigeants qui, pressés d'être rentables par les actionnaires, décident des budgets alloués, et cela alors que la sécurité « ne rapporte rien », fait remarquer M. Ribordy.