L'ASIC exhorte les courtiers à renforcer d'urgence leurs défenses cybernétiques alors que l'IA de pointe amplifie les menaces
- L'ASIC a mis en garde les institutions financières contre le fait que l'IA rend les cyberattaques plus rapides et plus dangereuses.
- Elle incite les entreprises à combler les failles de sécurité dès maintenant et à mettre en place des plans de réponse cybernétique solides, pilotés par la direction générale.
- Cet avertissement fait suite à des préoccupations réglementaires plus larges et à une affaire majeure dans laquelle FIIG Securities a été sanctionnée après une violation de données grave causée par une cybersécurité insuffisante.
La Commission australienne des valeurs mobilières et des investissements (ASIC) met en garde les entreprises financières et les participants du marché contre la nécessité de renforcer leurs protections cybersécurité alors que l'intelligence artificielle continue d'amplifier les cybermenaces à l'échelle mondiale.
Elle a maintenu que, bien que les cybermenaces aient toujours été une préoccupation, des outils d'IA sophistiqués tels que Claude Mythos pourraient accélérer considérablement la découverte et l'exploitation des vulnérabilités.
Dans une lettre ouverte, le régulateur a conseillé aux entreprises de sécuriser leurs systèmes contre les risques accélérés par l'IA dès maintenant, plutôt que de dépendre d'outils d'IA futurs. Il a principalement préconisé une approche neutre sur le plan technologique, fondée sur des principes, pour les mises à niveau cybersécurité urgentes.
Que attend l'ASIC des titulaires de licence à travers le pays ?
L'IA de pointe a poussé le risque cyber dans une « nouvelle ère », a mis en garde la commissaire de l'ASIC, Simone Constant. Elle a noté que, malgré les avantages potentiels des modèles d'IA avancés, ils peuvent toujours exploiter les vulnérabilités beaucoup plus rapidement que la plupart ne le prévoient.
Cela signifie que des failles isolées peuvent désormais provoquer un effondrement total du système, permettant aux attaquants moyens d'accéder à des techniques de piratage de haut niveau.
Cette communication fait suite aux preuves apportées par Connective selon lesquelles les courtiers intègrent des outils d'IA sans les cadres défensifs nécessaires. Glenn Lees, directeur général de Connective, a soutenu que l'industrie des courtiers est actuellement animée par l'enthousiasme pour l'IA, mais manque de la structure nécessaire pour un déploiement sécurisé et stable.
Néanmoins, il a exhorté les courtiers à bâtir une base solide de stratégie, de systèmes et de gouvernance, affirmant que c'est probablement le seul moyen de faire fonctionner l'adoption de l'IA.
La lettre ouverte de l'ASIC demandait également aux titulaires de licence de combler leurs lacunes en matière de sécurité dès maintenant, plutôt que d'attendre de voir comment les menaces d'IA évoluent. Constant a expliqué qu'un plan de réponse prêt à l'emploi est essentiel, car les règles de base de la cybersécurité ne changent pas simplement parce que la technologie change.
Elle a ajouté que la direction de haut niveau doit en assumer la responsabilité, en veillant à ce que des tests rigoureux et une correction précoce aient lieu bien avant qu'une menace ne devienne une crise.
Elle a ajouté : « L'horloge indique une minute avant minuit – si vous ne maîtrisez pas déjà votre résilience cyber, le moment d'agir et de se préparer est maintenant. »
De plus, outre l'ASIC, l'Autorité australienne de réglementation prudentielle (APRA) a mis en garde les banques contre le fait que leurs mesures de gouvernance et de contrôle pour l'intelligence artificielle sont en retard par rapport à l'expansion rapide de Outils d'IA.
Therese McCarthy Hockey, membre de l'APRA, a déclaré : « La révolution de l'IA présente d'énormes opportunités pour les banques, les assureurs et les fiduciaires de superannuation pour offrir une efficacité améliorée et des services clients renforcés. Mais nous ne pouvons pas être aveugles aux risques de cette technologie puissante. »
L'ASIC a pris des mesures contre FIIG Securities
L'ASIC a récemment pris des mesures contre le spécialiste australien des revenus fixes FIIG Securities Limited (FIIG) pour ne pas avoir mis en place de sauvegardes cybersécurité appropriées pour sa vaste base de clients pendant des années. Par conséquent, l'entreprise a été tenue de payer des pénalités pécuniaires s'élevant à 2,5 millions de dollars australiens et environ 500 000 dollars australiens pour couvrir les frais de l'ASIC.
Selon les rapports, les faiblesses de sécurité de FIIG ont joué un rôle dans l'ampleur d'une cyberattaque de 2023 qui a exposé des données confidentielles, y compris des numéros de fichier fiscal, des détails de compte bancaire et des documents d'identité. Environ 18 000 clients ont reçu un avis indiquant que leurs données personnelles sensibles avaient pu être divulguées.
À l'époque, FIIG a même reconnu que ses arrangements en matière de cybersécurité étaient inadéquats au regard de ses exigences de licence de services financiers australiens (AFS) et que de meilleures sauvegardes auraient pu réduire l'impact de la violation. De leur propre aveu, l'entreprise a également manqué de suivre ses propres politiques conçues pour empêcher exactement ce type de fuite de données.
Le Tribunal fédéral a également ordonné une audit indépendant pour porter sa résilience cyber à un niveau professionnel.
Après l'issue de l'affaire, la vice-présidente de l'ASIC, Sarah Court, a même commenté, disant : « L'ASIC s'attend à ce que les titulaires de licence de services financiers soient proactifs chaque jour pour protéger leurs clients. FIIG ne l'a pas fait – et ils ont mis des milliers de clients en risque. Dans ce cas, les conséquences ont largement dépassé ce qu'aurait coûté à FIIG la mise en place de contrôles adéquats dès le départ. »
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Nellius Irene
Nellius est diplômée en gestion d'entreprise et en informatique, avec cinq ans d'expérience dans l'industrie des cryptomonnaies. Elle est également diplômée de Bitcoin Dada. Nellius a contribué à des publications médiatiques de premier plan, dont BanklessTimes, Cryptobasic et Riseup Media.
