Mené auprès de 169 institutions financières dans le monde, le sondage « 2007 Global Security Survey » du cabinet Deloitte Touche Tomastu (DTT) montre que le facteur humain (employés, clients ou partenaires) reste la faille principale dans la sécurité des systèmes informatiques. Quelque 65 % des entreprises interrogées ont subi au moins une attaque l'an dernier provenant soit de l'intérieur (pour 31 % d'entre elles), soit de l'extérieur (pour 65 % d'entre elles). Les attaques de l'intérieur proviennent de mauvaises manipulations de la part des employés qu'elles soient intentionnelles, ou résultant d'erreurs ou d'ignorance. Un paradoxe sécuritaire Si cela inquiète 91 % des participants au sondage, bien peu essaient toutefois d'y remédier. Seules 63 % des institutions financières interrogées disposent d'une stratégie d'information sur la sécurité. Et 22 % d'entre elles n'ont fourni aucune formation à leurs employés sur la sécurité en un an. Du coup, seulement 30 % des sociétés interrogées estiment que leurs employés ont les compétences nécessaires pour faire face à des problèmes de sécurité. « Ces résultats contradictoires soulignent le paradoxe sécuritaire auquel sont confrontées les institutions financières », affirme Adel Melek, dirigeant du groupe sur la gestion des risques et de la sécurité au sein de DTT. « D'un côté, il est clair que les répondants ont identifié les principaux risques et les mesures à prendre pour améliorer leur sécurité. Et de l'autre, de nombreuses organisations financières sont en retard pour mettre ces mesures en place. » Si les employés représentent un risque majeur, ils ne sont pas les seuls. Les clients des institutions financières restent le risque principal. Ils sont en effet le vecteur privilégié par les cyber-criminels pour mener les trois principales attaques menaçant des institutions financières : virus et vers, spams et phishing. Pour opposer un barrage efficace, la sécurité se heurte à un impératif commercial et au travail de titan que cela représenteraient. 66 % des sociétés interrogées se refusent à tenir leurs clients responsables de ces attaques, et à se sentir concernés par d'éventuelles failles de sécurité sur les ordinateurs de leurs clients.