La conformité à FinServ dépend de la sécurité des logiciels

Les institutions de services financiers ont de bonnes raisons de s'assurer que le code logiciel qu'elles utilisent est sécurisé. Une motivation évidente, bien sûr, est la nécessité de protéger leurs données contre une violation, qui peut être coûteuse en termes de fuites d'informations personnelles, de frais de nettoyage, d'amendes et de dédommagements, et d'atteinte à la réputation d'une organisation. Une autre raison permanente est la nécessité de rester en conformité avec toute une série de réglementations sectorielles et gouvernementales.

Parce qu'ils traitent une grande quantité d'informations sensibles, personnelles et financières, ainsi que l'argent des gens, les services financiers sont un secteur très réglementé. Selon les services qu'elles fournissent, les entreprises doivent se conformer à un ensemble de règles et d'exigences.

La norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) est bien connue pour ses règles de protection des données des titulaires de cartes, par exemple. Les exigences de la loi Sarbanes-Oxely régissent la gestion des documents financiers. Les entreprises qui opèrent à l'échelle internationale connaissent le Digital Operational Resilience Act (DORA), qui est un cadre contraignant de gestion des risques, et les normes mondiales pour les transferts de fonds établies par la Society for Worldwide Interbank Financial Telecommunication, connue sous le nom de Swift.

Et des lois telles que le California Consumer Privacy Act (CCPA) et le Règlement général sur la protection des données (RGPD) de l'UE fixent des exigences en matière de protection de la vie privée et des informations personnelles des clients. Il en existe d'autres, comme les réglementations établies par l'Office of the Comptroller of the Currency (OCC) des États-Unis et la Banque centrale européenne (BCE).

Si cela ne suffit pas, la stratégie nationale de cybersécurité stipule, entre autres, que les fabricants de logiciels devraient être tenus pour responsables de l'inefficacité de la sécurité des logiciels. L'Agence pour la cybersécurité et la sécurité des infrastructures (CISA), en collaboration avec 17 partenaires américains et internationaux, a publié des orientations sur les principes de la sécurité par la conception pour le développement de logiciels. 

Pour les entreprises de services financiers, la sécurité du code est un élément essentiel pour atteindre les objectifs de ces réglementations et faciliter la démonstration de leur conformité. Cela souligne également pourquoi les développeurs ont besoin de formation et de perfectionnement pour s'assurer que la sécurité est appliquée au code dès le début du processus de développement.

Pour illustrer ce fonctionnement, examinons la dernière version de la norme PCI DSS.

Le codage sécurisé (et la formation des développeurs) est au cœur de la norme PCI DSS 4.0

La norme PCI DSS 4.0, qui est devenue obligatoire à partir du 1er avril 2024, comprend plusieurs mises à jour substantielles de la norme PCI DSS 3.2.1, dont la moindre n'est pas l'accent mis sur le rôle que jouent les développeurs dans la sécurisation du code logiciel.

La norme PCI reconnaît depuis longtemps l'importance des logiciels sécurisés. La version 2.0, qui a été publiée en 2017, comprenait des conseils pour les développeurs sur la garantie de transactions sécurisées sur les appareils mobiles. Les orientations de la version 4.0 mettent désormais l'accent sur l'application des meilleures pratiques de sécurité au développement de logiciels et comprennent certaines orientations spécifiques sur la formation des développeurs. 

Les exigences sont souvent énoncées de manière générale, mais les entreprises peuvent souhaiter mettre en œuvre une approche plus approfondie.

Par exemple, l'une des exigences de la version 4.0 stipule que "les processus et les mécanismes de développement et de maintenance de systèmes et de logiciels sécurisés sont définis et compris". Un bon moyen de s'assurer que cela est vrai est que les développeurs reçoivent une formation précise dans les langages de programmation et les cadres qu'ils utilisent afin de combler toute lacune dans leurs connaissances.

Une autre exigence stipule que les développeurs travaillant sur des logiciels sur mesure et personnalisés doivent recevoir une formation au moins une fois tous les 12 mois :

• la sécurité des logiciels en rapport avec leur fonction et les langages de développement.
• Techniques de conception et de codage de logiciels sécurisés. 
• Comment utiliser les outils de test de sécurité - s'ils sont utilisés - pour détecter les vulnérabilités dans les logiciels.

En réalité, une fois par an n'est pas assez fréquente pour aborder les questions de sécurité essentielles et rompre avec les mauvaises habitudes de codage. La formation doit être continue et mesurée, avec un processus de vérification des compétences pour s'assurer qu'elle est utilisée à bon escient.

La norme PCI DSS 4.0 comprend plus d'une demi-douzaine d'autres exigences portant sur des domaines tels que la prévention et l'atténuation de divers types d'attaques, la documentation des composants logiciels tiers, l'identification et la gestion des vulnérabilités, ainsi que d'autres mesures de sécurité. Dans tous les cas, les organisations seraient bien avisées de mettre en œuvre ces mesures de manière approfondie. Les formations sur les vecteurs d'attaque devraient être fréquentes, plutôt qu'annuelles. Les composants tiers, qui sont souvent une source de vulnérabilité, devraient être soigneusement inventoriés dans le cadre d'un programme de nomenclature des logiciels (SBOM). Enfin, les organisations devraient s'assurer que les rôles sont clairement définis pour la gestion des vulnérabilités.

La nouvelle version donne également aux organisations une certaine flexibilité pour répondre à ses exigences, en se concentrant sur les résultats plutôt que sur les cases à cocher, tout en ajoutant de nouvelles exigences pour les contrôles d'authentification, la longueur des mots de passe, les comptes partagés et d'autres facteurs. 

La conformité commence dès le début du cycle de développement durable (SDLC)

Le point commun de ces réglementations est qu'elles tentent de fixer des normes élevées pour la protection des données et des transactions dans le secteur des services financiers. Et, comme dans le cas de la dernière version de la norme PCI DSS, elles mettent de plus en plus l'accent sur l'importance d'un code sécurisé dès le début du cycle de développement des logiciels (SDLC). La stratégie nationale de cybersécurité et les principes Secure by Design de la CISA confient également la responsabilité de la sécurité aux fabricants de logiciels - avant leur livraison - de sorte que même les entreprises qui ne sont pas directement régies par les réglementations relatives aux services financiers doivent s'y conformer.

Les organisations doivent combler le fossé qui existe entre les équipes DevOps (qui se concentrent sur la vitesse de développement) et les équipes AppSec (qui se dépêchent d'intégrer la sécurité dans le processus) en formant les développeurs à rendre la sécurité inhérente à leur approche. Cependant, cela nécessite un ensemble complexe de compétences qui vont au-delà des sessions de formation annuelles ou des programmes éducatifs standards et stagnants. La formation doit être continue et agile, conçue pour impliquer les apprenants dans des scénarios actifs et réels, et dispensée en petites sessions adaptées à leur emploi du temps.

Les entreprises de services financiers doivent garantir la sécurité pour se protéger contre les violations et rester en conformité avec des réglementations de plus en plus strictes. Les coûts de la non-conformité peuvent être aussi préjudiciables qu'une violation en termes d'impact sur la réputation d'une entreprise et de coûts monétaires. Le rapport 2023 d'IBM sur le coût d'une violation de données (Cost of a Data Breach Report 2023), par exemple, a révélé que les organisations ayant un niveau élevé de non-conformité s'exposaient, en moyenne, à des amendes et à d'autres coûts totalisant 5,05 millions de dollars, soit un demi-million de dollars de plus que le coût moyen d'une véritable violation de données.

La croissance continue des environnements basés sur le cloud et des transactions numériques a rendu la sécurité des logiciels dans le secteur des services financiers d'une importance capitale, ce que des réglementations telles que PCI DSS reconnaissent. La meilleure façon de garantir la sécurité des logiciels est de sécuriser le codage dès le début du cycle de développement durable. Et le moyen d'y parvenir est de former efficacement les développeurs aux pratiques de codage sécurisé. 

Pour un aperçu complet de la manière dont le codage sécurisé peut contribuer à assurer le succès, la sécurité et les profits des entreprises de services financiers, vous pouvez lire l'e-book Secure Code Warrior qui vient de paraître : Le guide ultime des tendances en matière de sécurité dans les services financiers.

Consultez les pages du Secure Code Warrior pour en savoir plus sur la cybersécurité, sur les menaces de plus en plus dangereuses et sur la manière dont vous pouvez utiliser des technologies et des formations innovantes pour mieux protéger votre organisation et vos clients.

‍