Fraude interne, malveillance interne : détection et gestion
Synthèse de la conférence thématique du CLUSIF du 4 juin 2009 à Paris Les cas de fraude et de malveillance internes font régulièrement la Une des journaux. Ce phénomène touche tous les pays et n’épargne aucun type d’entreprises. Pourtant, aucune d’entre elles ne souhaite témoigner sur le sujet, constate Pascal Lointier, Président du Clusif et conseiller sécurité de l’information chez AIG Europe. La fraude interne serait-elle « le dernier sujet tabou en entreprise » ? La fraude interne est pourtant une réalité en entreprise. Les exemples ne manquent pas : - « Un agent d'assurances soupçonné d'avoir détourné 450.000 euros » (AFP, 20090206) - « Un employé de la HSBC écroué pour détournement de fonds de clients » [900k€] (AFP, 20090319) - « Une employée de Cryospace Air Liquide détourne 13,5 millions d'euros » (AFP, 20090225) Les modes opératoires de la fraude sont relativement simples. Il peut s’agir d’un « one shot » (un gros coup), de fraudes menées sur des actions répétitives de faible amplitude, du contournement d’une procédure ou encore la résultante d’un contrôle interne trop faible. La malveillance se retrouve également dans de nombreuses affaires : - New Jersey, novembre 2008 : un fonds de pension décide de licencier une dizaine de personnes… dont l’administrateur réseau. Ce dernier installe plusieurs backdoors menace de les activer et de médiatiser l’affaire. - Virginie, janvier 2009 : un ingénieur informatique employé chez FannyMae
Les synthèses du CLUSIF

détruit par bombe logique 4.000 serveurs. Le préjudice se chiffre en millions de dollars. En ce qui concerne la malveillance, les motivations sont variées, mais le plus souvent le fraudeur se retrouve pris dans une spirale infernale. Le frein psychologique reste généralement minime, en raison de l’aspect « immatériel » de l’acte. Environ 80 % de la malveillance serait interne en entreprise, mais aucune société ne veut s’exprimer sur le thème.