Speech (committee meeting)

{
    "time": "2024-02-12 16:05:00",
    "attribution": {
        "en": "Mr. Tolga Yalkin (Assistant Superintendent, Regulatory Response Sector, Office of the Superintendent of Financial Institutions)",
        "fr": "M. Tolga Yalkin (surintendant auxiliaire, Secteur des mesures de r\u00e9glementation, Bureau du surintendant des institutions financi\u00e8res)"
    },
    "content": {
        "en": "<p data-HoCid=\"8223290\" data-originallang=\"en\">Thank you so much.</p>\n<p data-HoCid=\"8223291\" data-originallang=\"fr\">Good afternoon, Mr. Chair, and ladies and gentlemen of the committee.</p>\n<p data-HoCid=\"8223292\" data-originallang=\"fr\">The mandate of the Office of the Superintendent of Financial Institutions, or OSFI, contributes to public confidence in the Canadian financial system by regulating and supervising approximately 400 federally regulated financial institutions. In this role, we ensure that these institutions maintain sound financial conditions, continually assess risks and industry trends, and safeguard against threats to their integrity and security, including cyber-threats.</p>\n<p data-HoCid=\"8223293\" data-originallang=\"fr\"> There\u2019s no question that financial institutions are vulnerable to cyber-attacks. In fact, OSFI has highlighted cyber-risk as a key risk to Canada\u2019s financial stability in our annual risk outlook, which is available online.</p>\n<p data-HoCid=\"8223294\" data-originallang=\"en\">Given this, it won't surprise you that we have been, for some time, active as a regulator in expecting our financial institutions to adopt appropriate risk management practices in the face of cyber risks. More specifically, we've taken pains to clarify in our guidelines our expectations for how financial institutions should manage technology and cyber risks to prevent things like outages and data breaches and to improve overall technology and cyber resilience.</p>\n<p data-HoCid=\"8223295\" data-originallang=\"en\">This also includes an expectation that financial institutions respond to tech and cybersecurity incidents quickly and effectively and, more importantly, notify us whenever an incident happens. That reporting really helps us to identify areas where individual institutions\u2014or the industry more broadly\u2014need to take steps to prevent issues from arising.</p>\n<p data-HoCid=\"8223296\" data-originallang=\"en\">We also provide tools to financial institutions. A good example of this would be our cybersecurity self-assessment, which helps them evaluate their current level of cyber-preparedness and develop effective cybersecurity practices. There is also our I-CRT\u2014that stands for intelligence-led cyber resilience testing\u2014framework, which provides instructions to financial institutions on how to implement a sophisticated approach to what is known as red teaming.</p>\n<p data-HoCid=\"8223297\" data-originallang=\"en\">These efforts, and others, are critical, in my opinion, as there's little question that cyber-attacks will continue to increase in frequency and sophistication. Moreover, this is a risk environment that, in our experience, changes rapidly, and failure to protect against it can have serious consequences. A successful cyber-attack could impact the confidentiality, integrity, and availability of data and systems, which in turn could result in loss of public trust, reputational damage and financial loss.</p>\n<p data-HoCid=\"8223298\" data-originallang=\"fr\">That\u2019s why OSFI is so focused on promoting the sound management of cyber-risks and technology risks generally at all federally regulated financial institutions.</p>\n<p data-HoCid=\"8223299\" data-originallang=\"fr\">As an identified regulator within a critical sector, OSFI is standing by and ready to support committee members in their reflection around Bill <a data-HoCid=\"11862853\" href=\"/bills/44-1/C-26/\" title=\"An Act respecting cyber security, amending the Telecommunications Act and making consequential amendments to other Acts\">C-26</a>. We want to help to improve the resiliency of Canada\u2019s financial system.</p>\n<p data-HoCid=\"8223300\" data-originallang=\"fr\">I would be pleased to answer the committee members' questions.</p>\n<p data-HoCid=\"8223301\" data-originallang=\"fr\">Thank you, Mr. Chair.</p>",
        "fr": "<p data-HoCid=\"8223290\" data-originallang=\"en\">Merci beaucoup.</p>\n<p data-HoCid=\"8223291\" data-originallang=\"fr\">Monsieur le pr\u00e9sident, mesdames et messieurs les membres du Comit\u00e9, bonjour.</p>\n<p data-HoCid=\"8223292\" data-originallang=\"fr\">Compte tenu de son mandat, le Bureau du surintendant des institutions financi\u00e8res, ou BSIF, contribue au maintien de la confiance du public dans le syst\u00e8me financier canadien par la r\u00e9glementation et la surveillance d'environ 400 institutions financi\u00e8res f\u00e9d\u00e9rales. \u00c0 ce titre, nous veillons \u00e0 ce que les institutions financi\u00e8res conservent une bonne sant\u00e9 financi\u00e8re, \u00e9valuent continuellement les risques et les tendances du secteur, et se prot\u00e8gent contre les menaces \u00e0 leur int\u00e9grit\u00e9 ou \u00e0 leur s\u00e9curit\u00e9, y compris les cybermenaces.</p>\n<p data-HoCid=\"8223293\" data-originallang=\"fr\">Il ne fait aucun doute que les institutions financi\u00e8res sont cibl\u00e9es par des cyberattaques. C'est un fait bien not\u00e9 dans le document intitul\u00e9 \u00ab Regard annuel du BSIF sur le risque \u00bb, qui est publi\u00e9 en ligne et dans lequel nous soulignons que le cyberrisque est l'un des principaux risques pour la stabilit\u00e9 financi\u00e8re du Canada. </p>\n<p data-HoCid=\"8223294\" data-originallang=\"en\">Cela dit, vous ne serez pas surpris d'apprendre que, depuis un certain temps et notre qualit\u00e9 d'organisme de r\u00e9glementation, nous attendons des institutions financi\u00e8res qu'elles adoptent des pratiques de gestion des risques adapt\u00e9es face aux cyberrisques. Plus pr\u00e9cis\u00e9ment, nous avons pris soin de pr\u00e9ciser, dans nos lignes directrices, ce que nous attendons des institutions financi\u00e8res en mati\u00e8re de gestion des risques technologiques et cybern\u00e9tiques afin de pr\u00e9venir les pannes et les atteintes \u00e0 la protection des donn\u00e9es, et pour am\u00e9liorer la r\u00e9silience globale en mati\u00e8re de technologie et de cybers\u00e9curit\u00e9.</p>\n<p data-HoCid=\"8223295\" data-originallang=\"en\">On s'attend \u00e9galement \u00e0 ce que les institutions financi\u00e8res r\u00e9agissent rapidement et efficacement aux incidents technologiques et de cybers\u00e9curit\u00e9 et, surtout, qu'elles nous informent de chaque \u00e9v\u00e9nement perturbateur. Leurs d\u00e9clarations d'incident nous aident vraiment \u00e0 cerner les domaines dans lesquels les institutions \u2014 ou l'industrie en g\u00e9n\u00e9ral \u2014 doivent prendre des mesures pour pr\u00e9venir les probl\u00e8mes.</p>\n<p data-HoCid=\"8223296\" data-originallang=\"en\">Nous fournissons en outre des outils aux institutions financi\u00e8res. Notre auto\u00e9valuation de la cybers\u00e9curit\u00e9, qui les aide \u00e0 \u00e9valuer leur niveau actuel de pr\u00e9paration \u00e0 la cybers\u00e9curit\u00e9 et \u00e0 \u00e9laborer des pratiques efficaces en mati\u00e8re de cybers\u00e9curit\u00e9, en est un excellent exemple. Il y a aussi notre cadre TCFR \u2014 soit le test de la cyberr\u00e9silience fond\u00e9 sur le renseignement \u2014, qui fournit des instructions aux institutions financi\u00e8res sur la fa\u00e7on de mettre en \u0153uvre une approche sophistiqu\u00e9e connue sous le nom \u00ab m\u00e9thode de l'\u00e9quipe rouge \u00bb. </p>\n<p data-HoCid=\"8223297\" data-originallang=\"en\">Ces efforts et d'autres sont quant \u00e0 moi essentiels, car il est ind\u00e9niable que les cyberattaques continueront d'augmenter en fr\u00e9quence et en sophistication. De plus, il s'agit d'un environnement \u00e0 risque qui, d'apr\u00e8s notre exp\u00e9rience, \u00e9volue rapidement, et le fait de ne pas se prot\u00e9ger contre les risques peut avoir de graves cons\u00e9quences. Une cyberattaque r\u00e9ussie peut porter atteinte \u00e0 la confidentialit\u00e9, \u00e0 l'int\u00e9grit\u00e9 et \u00e0 la disponibilit\u00e9 des donn\u00e9es et des syst\u00e8mes, avec pour cons\u00e9quence une perte de confiance du public, des dommages \u00e0 la r\u00e9putation et des pertes financi\u00e8res.</p>\n<p data-HoCid=\"8223298\" data-originallang=\"fr\">C'est pourquoi le BSIF est si focalis\u00e9 sur la promotion d'une bonne gestion des cyberrisques et des risques technologiques au sens large dans l'ensemble des institutions financi\u00e8res f\u00e9d\u00e9rales dont il est responsable.</p>\n<p data-HoCid=\"8223299\" data-originallang=\"fr\">En tant qu'organisme f\u00e9d\u00e9ral responsable de la r\u00e9glementation d'un secteur important, le BSIF est \u00e0 la disposition du Comit\u00e9 et lui offre son soutien dans le cadre de son \u00e9tude du projet de loi <a data-HoCid=\"11862853\" href=\"/bills/44-1/C-26/\" title=\"An Act respecting cyber security, amending the Telecommunications Act and making consequential amendments to other Acts\">C\u201126</a>. Nous voulons contribuer aux efforts visant \u00e0 am\u00e9liorer la r\u00e9silience du syst\u00e8me financier du Canada.</p>\n<p data-HoCid=\"8223300\" data-originallang=\"fr\">Je serai tr\u00e8s heureux de r\u00e9pondre aux questions des membres du Comit\u00e9.</p>\n<p data-HoCid=\"8223301\" data-originallang=\"fr\">Merci, monsieur le pr\u00e9sident.</p>"
    },
    "url": "/committees/public-safety/44-1/94/tolga-yalkin-1/",
    "politician_url": null,
    "politician_membership_url": null,
    "procedural": false,
    "source_id": "12576859",
    "document_url": "/committees/public-safety/44-1/94/",
    "related": {
        "document_speeches_url": "/speeches/?document=%2Fcommittees%2Fpublic-safety%2F44-1%2F94%2F"
    }
}