Conférence ACRC 2023 sur le partage d'informations et de bonnes pratiques : lancement du chapitre du Sénégal

Objectifs

Les objectifs de la conférence étaient de :

• Fédérer la communauté de cybersécurité du secteur financier d'ACRC à l'échelle du continent, en lien avec le renseignement international, pour permettre un échange d'informations et une coopération de confiance (ISAC)
• Faire le point sur le contexte, les avancées et les perspectives
• Lancer officiellement le chapitre du Sénégal consacré au partage d'informations et de bonnes pratiques, à la suite de la première conférence d'ACRC sur le sujet tenue à Dakar en novembre 2022

Lieu et participants

La conférence s'est tenue sur place le 23 février 2023 à Dakar, au Sénégal, pendant la visite officielle du Luxembourg au Sénégal. Plus de 50 participants invités représentaient le secteur financier sénégalais et ses principales parties prenantes :

• Les banques et leur association professionnelle
• Les institutions de microfinance et leur association professionnelle
• L'association professionnelle des assurances
• L'association professionnelle des fintechs
• L'infrastructure régionale de marché financier
• Le monde académique
• Les clubs de DSI du Sénégal et du Mali
• Les directions ministérielles chargées du secteur financier, de la microfinance, ainsi que de la réglementation et de la supervision des systèmes financiers décentralisés
• Le fonds national de la microfinance
• L'agence nationale du numérique
• Une agence de développement

Les participants ont confirmé le besoin urgent de renforcer le secteur financier face aux menaces cyber par une nouvelle approche collaborative et de renforcement des capacités, qui aille au-delà des approches traditionnelles fondées sur la technologie et la gouvernance.

Deux initiatives phares

• La communauté africaine de partage d'informations et de bonnes pratiques en cybersécurité
• Le programme de cybersécurité pour la microfinance et la fintech

Deux accords de partenariat ont été signés le 22 février 2023 : avec une école d'ingénieurs sénégalaise d'une université publique, pour favoriser l'enseignement, la recherche et le développement en cybersécurité ; et avec l'association professionnelle sénégalaise de la microfinance, pour accroître la sensibilisation et les capacités de ses membres et pour élaborer et déployer une feuille de route sectorielle concrète.

Le programme de cybersécurité pour la microfinance et la fintech

Le programme a été lancé en partenariat avec des associations professionnelles nationales ou régionales de la microfinance et de la fintech. Conçu à partir de l'expérience des institutions d'inclusion financière, il accompagne leur montée en maturité en cybersécurité en trois étapes (sensibilisation, évaluation, remédiation) et peut être adapté aux contextes locaux et aux réglementations. Il couvre des services essentiels tels que :

• Sensibilisation de la direction, des employés et des clients
• Formation de l'équipe technique
• Auto-évaluation de cybersécurité en ligne ou évaluation assistée par un consultant
• Analyse de vulnérabilités
• Hygiène cyber : politiques types, webinaires, outils open source
• Partage d'informations et de bonnes pratiques
• RSSI « à la demande » (responsable de la sécurité des systèmes d'information)
• Supervision de la sécurité

Lancement du chapitre du Sénégal

Un groupe de RSSI de banques et d'institutions de microfinance s'est porté volontaire pour lancer les chapitres ISAC du Sénégal et de la Côte d'Ivoire. Ils ont partagé leurs difficultés et leurs attentes :

• Développer la collaboration et le partage d'informations au niveau international pertinent : tout le secteur est prêt à avancer dans cette direction mais a besoin d'un cadre de référence et d'un code de conduite
• Sensibiliser la direction générale aux menaces, mais aussi à la gestion de crise, à la communication de crise et au partage d'informations
• Gérer le partage d'informations entre pairs et la communication avec le public, plutôt que de subir des divulgations non maîtrisées sur les réseaux sociaux
• Faciliter le développement du partage d'informations au sein des groupes internationaux
• Renforcer les capacités des équipes techniques sur des aspects insuffisamment représentés, comme la réponse aux incidents et les menaces
• Sensibiliser les employés
• Attirer, développer et fidéliser des compétences rares en cybersécurité
• Développer l'enseignement supérieur en cybersécurité et accompagner la montée en maturité des RSSI
• Veiller à ce que les solutions soient bien adaptées au contexte et aux ressources locales
• Associer ensemble les RSSI et les DSI à la sécurité de l'information

Les participants ont convenu que les régulateurs et les superviseurs jouent un rôle important de facilitateurs, et que la réglementation doit être complétée là où elle fait défaut. ACRC agira comme facilitateur des chapitres : une mission essentielle des chapitres est de veiller à ce que les besoins locaux soient portés à l'attention de la communauté financière africaine par l'intermédiaire d'ACRC, afin de mettre en place des solutions mutualisées adaptées.