Quelques exemples de PPPs dans le secteur bancaire

​

Aux États-Unis, les centres d’analyse et de partage de l’information (Information Sharing and Analysis Center) sont des organisations sectorielles à but non lucratif fournissant une ressource centrale pour la collecte d’information sur les cybermenaces, afin d’encourager le partage d’information entre le secteur public et le secteur privé.

Une initiative telle que le Financial Services Information Sharing and Analysis Center (FS-ISAC) est un exemple de collaboration efficace dans le domaine. Le FS-ISAC échange des indicateurs de menaces, de vulnérabilités et d’incidents. Un groupe d’analystes valide les informations sur les menaces et les envoie aux membres. Comme mode de communication, le FS-ISAC a adopté l’utilisation d’une plateforme automatisée de renseignement sur les menaces, le Traffic Light Protocol (TLP). Cette plateforme garantit la diffusion d’informations confidentielles ou sensibles et la limite à des publics appropriés en fonction de la sensibilité et de la source de l’information16.

Le National Cyber Forensics & Training Alliance (NCFTA) également aux États-Unis a pour but d’identifier, de prévenir et de neutraliser les cybercrimes à travers une collaboration internationale17. La collaboration s’opère entre l’industrie privée, le milieu académique ainsi que les forces de l’ordre. Le NCFTA encourage l'échange rapide de renseignements sur les principales cybermenaces qui pèsent sur les intérêts des entreprises et sur les nouvelles cybertendances. Les efforts du NCFTA ont donné lieu à des centaines d'enquêtes criminelles et à des accusations déposées contre plus de trois cents cybercriminels dans le monde entier. Le NCFTA a également produit plus de cinq cents rapports de renseignement sur les menaces cybernétiques au cours des trois dernières années seulement17. La réussite de ce partenariat tient à la capacité de fournir une collaboration non gouvernementale à but non lucratif pouvant être utilisée par les gouvernements lorsque cela est autorisé, et permettant d’assurer la protection de la chaîne de possession des données qui pourraient être utilisées dans le cadre de futures poursuites pénales en ligne. Des modèles intersectoriels similaires sont nécessaires pour un partage efficace des données17.

Au Royaume-Uni, le Cifas est un service de prévention de la fraude qui regroupe des organisations des secteurs privés, publics, et bénévoles18. Il s’agit d’une organisation à but non lucratif dirigée par un conseil d'administration dont le rôle est de définir l'orientation et les objectifs stratégiques, de mesurer les performances par rapport aux objectifs stratégiques et d’examiner les risques et les contrôles. Le Cifas gère deux bases de données principales sur la prévention de la fraude les plus importantes du Royaume-Uni : le National Fraud Database et le Internal Fraud Database. Ce partenariat permet de créer un environnement non concurrentiel de prévention de la fraude axé sur la collaboration. 

En Australie, le Fintel Alliance, lancé par le Australian Transaction Reports and Analysis Centre (AUSTRAC) a pour but de combattre le blanchiment d’argent ainsi que le financement du terrorisme19. Il regroupe 22 organisations du secteur public et privé, et est reconnu comme étant le premier partenariat public-privé de ce type. Lancé en mars 2017, il soutient à la fois les membres du secteur privé à identifier et à signaler les transactions suspicieuses ; mais également les membres des forces de l’ordre à arrêter et poursuivre les criminels et travailler avec le milieu académique pour développer des connaissances. Les membres fournissent des informations à Fintel Alliance par l'intermédiaire d'AUSTRAC (le hub) qui les diffuse aux autres membres en utilisant une plateforme sécurisée et contrôlée. Les membres ne peuvent pas partager directement des informations avec d'autres organisations membres, sauf si cela est légalement autorisé19. Le PPP possède également un centre d’innovation qui agit comme une sorte de « bac à sable créatif ». Cela permet aux partenaires de co-concevoir de nouveaux produits, services et systèmes financiers qui pourraient améliorer les capacités de détection et d'analyse des renseignements du centre opérationnel. L'un des avantages non négligeables réside dans la possibilité de réduire le fardeau réglementaire du secteur19.

Au Canada, le Canadian Cyber Threat Exchange (CCTX), créé en 2015, aide les entreprises et les clients à se protéger contre les cybermenaces. À ce jour, le CCTX comprend près de 130 organisations telles que des sociétés de télécommunications, des institutions financières, des compagnies d’assurance et de transport20. Les membres peuvent soumettre des données en format structuré ou non, par le biais d’un portail web20. L’organisation s’appuie sur les protocoles STIX et TAXII pour caractériser les données et les transférer électroniquement entre les membres afin de réduire l’intervention humaine20. Un aspect essentiel du partage des données entre les membres du CCTX réside dans le fait que les données sont anonymisées, ce qui signifie qu’une organisation qui reçoit les informations ne pourra pas identifier l’organisation qui les fournit20.

​

Recommandations

​

Il est impératif de prendre en compte les enjeux et les facteurs de réussite d’une collaboration efficace. En outre, aussi bien les secteurs privés et publics ont besoin d’incitatifs et de motivations à partager les informations afin de pallier aux obstacles culturels et réputationnels9. Également, une réciprocité est requise, les informations et les renseignements doivent être partagés dans les deux sens. Pour ce faire, il apparaît essentiel qu’un nouveau cadre de sécurité pour la protection des infrastructures critiques soit mis en place3.

Effectivement, la protection des infrastructures critiques regroupe une multitude d’acteurs. Cette pluralité fait en sorte qu’il est difficile d’identifier les responsabilités de chaque acteur au sein d’un partenariat, puisque les systèmes de gouvernance actuels ne prennent pas en compte cette pluralité. Un nouveau cadre de sécurité devrait être élaboré de manière à répondre à la fois aux préoccupations et aux intérêts des secteurs privés et public3. Plus précisément, elles devraient garantir que les entreprises d'infrastructures critiques de toutes tailles puissent se protéger contre les cybermenaces. Pour ce faire, les mesures doivent être élaborées de manière réfléchie afin d’éviter des mesures réactives à l’avenir11. Ce cadre doit également être flexible et adopter une approche bottom up afin d’être en mesure de gérer la complexité des cybermenaces20. Une approche de partenariat public-privé menée par l'industrie garantira que les mesures soient efficaces et bénéficient des ressources du gouvernement.

Le secteur public joue un rôle clé quant à la régulation de la structure et la mise en place des règles à suivre dans l’élaboration d’un PPP. La promulgation de nouvelles lois et le développement des processus coordonnés permettraient de mieux appréhender et gérer les cybermenaces pour les parties prenantes. De plus, les normes techniques de communication telles que STIX et TAXII devraient être utilisées pour partager de manière automatisée et en temps réel les données relatives à la cybercriminalité ainsi que les indicateurs de menace à la cybersécurité. Finalement, compte tenu de l’évolution rapide des cybermenaces et de leur nature internationale, les PPPs devraient avoir pour principal objectif d’accroître la résilience dans le secteur financier.

​

Limites des études

​

Il existe encore à ce jour trop peu de littérature sur la manière dont un PPP efficace devrait être structuré et gouverné. En effet, les défis juridiques, la protection de la vie privée ainsi que les risques liés à la réputation sont les obstacles les plus importants pour une collaboration efficace dans un partenariat public-privé. Pour autant, il n’existe pas de consensus quant à la manière de procéder pour améliorer cette collaboration21. Les principales conclusions tirées de la littérature sont que le concept de partage d’information et le cadre légal restent relativement flous. Pour cette raison, il est impératif de continuer les recherches, et plus spécifiquement de clarifier les aspects entourant la structure des PPPs auxquels participent les institutions financières.