Fraude : moins, c’est mieux

Joshua Goldfarb

Dans son livre de 1982, « Megatrends », John Naisbitt écrivait : « Nous croulons sous l’information, mais nous manquons cruellement de connaissances. » C’est l’une de mes citations préférées, car je trouve qu’elle décrit avec une grande justesse de nombreux aspects de la vie moderne.

En particulier, elle décrit avec concision la situation de nombreux programmes de gestion de la fraude et des risques en entreprise. Malheureusement, beaucoup de ces programmes pâtissent d’un nombre élevé de faux positifs et d’autres « bruits » qui réduisent leur efficacité.

Pour comprendre pourquoi le bruit pose un tel problème dans la gestion de la fraude et des risques, nous devons d’abord en comprendre les conséquences pour l’entreprise. Sans prétendre à l’exhaustivité, en voici quelques-unes parmi les principales :

• Temps perdu : Lorsque les équipes chargées de la lutte contre la fraude organisent leur flux de travail autour d’une file d’attente centralisée, tous les événements qui s’y trouvent doivent être classés par ordre de priorité et examinés. Le bruit encombre cette file d’éléments qui doivent être examinés, mais qui n’apportent aucune valeur ajoutée au programme de gestion de la fraude et des risques. En d’autres termes, le bruit fait perdre un temps précieux à l’équipe.
• Vrais positifs non détectés :L’expression « chercher une aiguille dans une botte de foin » décrit bien la difficulté de détecter les fraudes parmi le volume considérable de données et d’événements auquel une entreprise type est confrontée. Dans cette analogie, l’aiguille représente les vrais positifs (les incidents de fraude), tandis que la botte de foin représente les faux positifs, qui ne correspondent pas à des fraudes. Plus les faux positifs sont nombreux, plus il est difficile de trouver les vrais positifs.
• Augmentation des coûts d’infrastructure : Le bruit entraîne également un coût en matière d’infrastructure. Chaque journal, alerte et événement doit être conservé, qu’il apporte ou non une valeur ajoutée au programme de lutte contre la fraude et de gestion des risques. Ainsi, si l’équipe collecte une grande quantité d’informations qui n’apportent que peu ou pas de valeur, elle ne fait qu’utiliser inutilement des ressources d’infrastructure supplémentaires. Cela engendre des coûts qui réduisent le budget disponible pour des domaines où il pourrait apporter une valeur nettement supérieure.
• Indicateurs faussés : Les faux positifs ont tendance à fausser les indicateurs. Certains d’entre eux, notamment ceux portant sur le pourcentage de temps consacré aux incidents de fraude avérés, le rapport entre vrais et faux positifs, le volume d’événements, le nombre d’événements traités ou encore le temps consacré par les analystes à chaque événement, seront fortement affectés par le volume de bruit. Plus le taux de faux positifs est faible, plus ces indicateurs seront précis et favorables.

Comprendre certaines des raisons pour lesquelles les faux positifs et le bruit nuisent à notre programme de lutte contre la fraude nous aide à élaborer un plan pour résoudre le problème. Voici quelques recommandations qui m’ont été utiles tout au long de ma carrière :

• Commencez par les risques : Sans surprise, toute démarche fructueuse commence par une solide compréhension des risques et un engagement ferme à les prendre en compte. Évaluez les risques et les menaces qui pèsent sur l’entreprise, déterminez ce qu’ils affectent en son sein et identifiez le coût ou la perte potentiels associés à chacun d’eux.
• Définir des objectifs et des priorités : Choisir les sujets à traiter et le moment opportun pour le faire constitue l’une des décisions stratégiques les plus importantes qu’une équipe chargée de la fraude et des risques puisse prendre. Hiérarchisez les risques et les menaces recensés à l’étape précédente, puis définissez les objectifs et les priorités à traiter à court et à plus long terme.
• Évaluer l’impact : L’identification des actifs critiques, des ressources clés et des référentiels de données importants, entre autres, aide l’équipe à comprendre l’impact potentiel d’un incident. Savoir où se trouvent les actifs, les ressources et les données les plus sensibles et les plus importants permet à l’équipe de repérer plus facilement les lacunes en matière de télémétrie.
• Identifier les données et les lacunes : Analysez la collecte de données télémétriques existante et déterminez si chaque source de données contribue au programme de lutte contre la fraude et de gestion des risques. Dans le cas contraire, sa collecte ne fait qu’augmenter les coûts d’infrastructure sans apporter de valeur ajoutée. Identifiez les lacunes dans les données télémétriques qui empêchent l’équipe de détecter les fraudes potentielles, puis élaborez un plan pour y remédier.
• Évaluer les technologies et les lacunes : Examinez attentivement les technologies existantes et déterminez dans quels domaines elles sont utiles, par exemple pour détecter la fraude de manière fiable avec un faible nombre de faux positifs, recueillir de précieuses données de télémétrie et/ou améliorer l’efficacité des processus et des flux de travail. Repérez soigneusement les cas où les technologies entravent le travail de l’équipe de lutte contre la fraude au lieu de le faciliter, ainsi que les éventuelles lacunes en matière de télémétrie et de détection.
• Éliminez les règles et signatures trop bruyantes : Les règles, signatures et autres techniques de détection qui génèrent un volume important de bruit n’apportent aucune valeur au programme de lutte contre la fraude. Au contraire, elles submergent l’équipe de faux positifs et nuisent directement à la détection rapide et précise des incidents de fraude. Cela peut sembler radical, mais éliminer ces mécanismes de détection trop bruyants présente bien plus d’avantages que d’inconvénients.
• Mettre en œuvre une détection précise :Adopter pleinement la philosophie du « moins, c’est mieux » implique de comprendre la nécessité d’analyser les données en profondeur afin de générer des alertes et des événements extrêmement précis et fiables. Si la mise en œuvre d’approches de détection plus sophistiquées exige au départ un investissement en temps considérable, elle s’avère très rentable. Plus les alertes et les événements sont pertinents, plus la file de traitement contient de signaux utiles et moins elle comporte de bruit.
• Se concentrer sur les processus: Même la meilleure file de travail au monde ne sera d’aucune utilité si les processus sont défaillants ou inexistants. Une équipe de lutte contre la fraude de premier ordre s’appuie sur des processus éprouvés, efficaces et performants qui orientent et encadrent son travail.
• S’améliorer en continu : Aucune équipe de lutte contre la fraude n’est parfaite, et les meilleures équipes sont pleinement conscientes de leurs faiblesses et de leurs possibilités d’amélioration. Tirer les enseignements de chacun des points ci-dessus et les mettre à profit pour améliorer en continu le programme de lutte contre la fraude est essentiel à la réussite à long terme de l’équipe.

L’idée communément admise selon laquelle davantage de données, d’événements et d’alertes permettrait de mieux détecter la fraude est dépassée et erronée. En se concentrant stratégiquement sur les risques et en adoptant une approche méthodique pour réduire le bruit, les entreprises peuvent améliorer à la fois l’efficacité de leur détection de la fraude et la maturité de leurs programmes de lutte contre la fraude. L’amélioration du rapport signal/bruit et l’adoption de la philosophie du « moins, c’est mieux » en matière de détection de la fraude peuvent aider les entreprises à détecter davantage de fraudes tout en consacrant nettement moins de ressources aux faux positifs.

Vous souhaitez en savoir plus ? Venez échanger avec Josh à l’Infosecurity Europe les 21 et 22 juin (stand P20).

À propos de l’auteur

Joshua Goldfarb

Autres articles de Joshua Goldfarb