À mesure que les cybermenaces deviennent plus sophistiquées et plus perturbatrices, les contrer exige un leadership coordonné et une communication claire, selon la Directrice des Risques de GCash, Ingrid Rose Ann Beroña.

GCash, exploitée par Globe Fintech Innovations Inc. (Mynt), est la plus grande plateforme de portefeuille mobile aux Philippines, traitant des milliards de transactions chaque année et servant des dizaines de millions d'utilisateurs. Alors que l'adoption des paiements numériques s'accélère dans tout le pays — stimulée en partie par l'initiative du Bangko Sentral ng Pilipinas visant à numériser la majorité des transactions de détail — la sécurité des plateformes comme GCash est devenue de plus en plus critique pour le système financier dans son ensemble.

S'exprimant lors de la deuxième table ronde du sommet, Mme Beroña a détaillé la manière dont les organisations peuvent se préparer aux cybercrises et y répondre. Dans ses fonctions actuelles, elle supervise l'ensemble du cadre de gouvernance des risques d'entreprise de GCash, englobant la gestion de l'assurance qualité, la continuité d'activité et la résilience organisationnelle.

Un cadre de cybersécurité à trois piliers

Mme Beroña a énoncé trois piliers clés sur lesquels GCash ancre sa stratégie de cybersécurité : investir dans la technologie pour prévenir la fraude, éduquer les clients pour qu'ils constituent la première ligne de défense contre les escroqueries, et favoriser des partenariats entre les secteurs public et privé.

Le premier pilier consiste à tirer parti de la technologie pour renforcer les contrôles de sécurité et contrer de manière proactive les cybermenaces en constante évolution. « Nous avons mis en place de nombreux contrôles de sécurité pour garantir que nos consommateurs soient en sécurité sur l'application, car notre priorité absolue est la confiance et la sécurité », a-t-elle déclaré.

Parmi ces contrôles figure GCash DoubleSafe, une fonctionnalité de sécurité qui utilise des scans de selfies pour protéger les comptes utilisateurs contre les accès non autorisés. Les mesures de sécurité biométriques comme celle-ci sont devenues de plus en plus courantes sur les plateformes fintech d'Asie du Sud-Est, à mesure que les attaques d'ingénierie sociale ciblant les utilisateurs de portefeuilles mobiles continuent d'augmenter. Cependant, Mme Beroña a souligné que même les technologies les plus avancées ne peuvent pas protéger pleinement les utilisateurs lorsque les cybercriminels parviennent à exploiter le comportement humain.

« Peu importe le nombre de serrures que nous plaçons dans nos systèmes, notre technologie ou notre application, si vous donnez les clés de ces serrures, les fraudeurs peuvent toujours entrer. C'est notamment pour cette raison que GCash et les autres institutions financières ne vous demandent jamais votre MPIN ou votre OTP », a-t-elle déclaré.

Le troisième pilier met l'accent sur la collaboration entre les entreprises, les régulateurs, les organismes d'application de la loi et les partenaires technologiques. Mme Beroña a cité l'effort conjoint de GCash avec le Cybercrime Investigation and Coordinating Center plus tôt cette année pour réprimer les jeux d'argent illégaux, une opération qui a conduit à la fermeture de 3 200 commerçants impliqués dans cette activité.

« Nous sommes tous dans le même bateau. Nous devons nous assurer que le secteur privé, le gouvernement et même les partenaires externes travaillent ensemble pour lutter contre la fraude et les cyberattaques, tout en garantissant la sécurité de chacun dans cet espace numérique », a-t-elle plaidé.

Réponse aux crises : être rapide, être clair, être concis

Au-delà de la prévention des menaces, Mme Beroña a partagé trois principes directeurs pour les organisations répondant à toute crise, y compris les cyberincidents : être rapide, être clair et être concis. Ces principes s'alignent sur les cadres de réponse aux incidents de cybersécurité largement reconnus qui privilégient l'endiguement rapide et la communication transparente avec les parties prenantes.

« Être rapide ne signifie pas nécessairement résoudre le problème immédiatement. Cela signifie être rapide dans la reconnaissance qu'il y a un incident, car l'identification et la reconnaissance sont les déclencheurs pour activer un centre de commandement de crise ou un programme de gestion de crise », a-t-elle expliqué.

Son deuxième principe consiste à communiquer clairement en distinguant les faits vérifiés des informations encore sous investigation. « Les gens doivent comprendre quels sont les faits et être capables de séparer ce qui est factuel de ce qui est encore sous investigation », a-t-elle déclaré, notant que la transparence permet aux organisations de communiquer de manière responsable avec les clients, les régulateurs, les médias et les autres parties prenantes.

« Mon troisième principe est d'être concis et orienté vers l'action. Les gens doivent comprendre ce qu'ils ont à faire, comment ils doivent exécuter leurs responsabilités et comment faire remonter les problèmes de manière appropriée pendant qu'ils se produisent », a poursuivi Mme Beroña.

Le rôle du commandant de crise

Chez GCash, le rôle de commandant de crise est construit autour de ces trois mêmes valeurs. Selon Mme Beroña, cette personne est chargée de coordonner la réponse globale de l'organisation plutôt que de diriger l'enquête technique elle-même. Cette séparation entre la coordination et l'enquête technique reflète les pratiques établies de réponse aux incidents qui distinguent la remédiation opérationnelle de la prise de décision stratégique.

« Votre commandant de crise devrait être un cadre qui possède, premièrement, des compétences en prise de décision agile ; deuxièmement, d'excellentes compétences en communication ; et troisièmement, de très bonnes compétences en coordination », a-t-elle déclaré.

Le commandant de crise supervise la coordination entre les équipes de réponse aux incidents, les cadres dirigeants et la communication d'entreprise, veillant à ce que les décideurs reçoivent des informations précises et à ce que les procédures de réponse établies soient suivies, a-t-elle ajouté.

Mme Beroña a également souligné l'importance de reconnaître les incidents avant que la spéculation et les rumeurs ne prennent le pas sur la communication officielle. « Il est très important de reconnaître un incident, et le timing est tout aussi important », a-t-elle déclaré. « Si vos consommateurs subissent déjà l'impact du problème et que des rumeurs circulent, cela signifie que vous êtes en retard dans sa reconnaissance. »

Les organisations, a-t-elle soutenu, ne devraient pas attendre la fin des enquêtes avant de communiquer publiquement. « Lorsque vous communiquez à l'extérieur, que ce soit aux consommateurs ou aux autres parties prenantes, vous n'avez pas besoin d'avoir l'histoire ou le récit complet. Il n'y a rien de mal à dire : “Nous avons effectivement un problème, mais vous n'avez pas à vous inquiéter car nous sommes déjà dessus et nous faisons quelque chose à ce sujet” », a déclaré Mme Beroña.

— Jomarc Angelo M. Corpuz