La place financière connaît le sujet par cœur: peut-on accepter tel client, compte tenu de ses caractéristiques? Personne exposée, origine des fonds douteuse, roi de l’embrouille dans des articles de presse… les scénarios sont multiples. Une analyse du risque va permettre de savoir si le client rentre dans ceux que le fonds d’investissement ou la banque sont prêts à supporter en termes de notoriété ou de blanchiment, par exemple.

Les départements commerciaux ont toujours envie de dire oui, et les départements Compliance ou Risk, non; la vérité est souvent au milieu.

Il en sera de même avec le risque lié à la cybersécurité au Luxembourg. L’Institut luxembourgeois de régulation (ILR), le régulateur en charge des télécoms, annonce dans un communiqué le lancement de la plateforme d’analyse de risque Serima (pour Security Risk Management).

Développée au Luxembourg Institute of Science and Technology avec la société de Windhof Iris (qui vient juste de fusionner plusieurs sociétés du groupe, présent en Belgique et aux Pays-Bas), avec le soutien financier du Fonds national de la recherche, Serima est une version revisitée de Tisrim.

Concrètement, cela consiste grossièrement à établir une carte des risques, à mesurer les impacts que chaque risque peut avoir sur l’entreprise de télécommunications et à préparer des ripostes, ou au minimum des réponses à donner aux administrations qui demanderaient des comptes.

Le lancement de cet outil n’intervient pas du tout par hasard à ce moment: après la fin des enchères de la 5G, les opérateurs vont se préparer à lancer leurs services, probablement progressivement, d’ici la fin de l’année et l’année prochaine. La 5G amène potentiellement «de nouveaux risques», en ce sens que cette nouvelle génération répond à une demande croissante d’échange de données, via des smartphones, mais aussi, et de plus en plus dans les années à venir, via les voitures autonomes, les dispositifs médicaux, ou au bénéfice d’usines.

Chaque perte de donnée(s) ou chaque ransomware ou autre cybermenace pourrait avoir des répercutions importantes, qui imposent à l’ILR de mettre la pression sur les opérateurs pour que tous ces risques soient pris en compte et notifiés. L’an dernier, un certain nombre d’incidents avaient été signalés à l’autorité, six pour des défauts de hardware, et sept pour des raisons liées à des parties tierces.

L’Institut, qui est aussi le régulateur de l’énergie, des transports, de la santé, de la fourniture et de la distribution de l’eau, pourrait dupliquer la plateforme pour les opérateurs de ces secteurs, ce qui, là encore, se justifie par la digitalisation de chacun d’entre eux.