Comment créer un environnement de confiance zéro dans les services financiers (Boris Bialek)

Il n'y a pas si longtemps, les professionnels de la sécurité protégeaient leur informatique de la même manière que les gardes médiévaux protégeaient une ville fortifiée - ils rendaient l'accès aussi difficile que possible à l'intérieur. Mais une fois que quelqu'un avait dépassé le périmètre, il avait un accès généreux
aux richesses qu'il contient. Dans le secteur financier, cela signifie l'accès aux informations personnelles identifiables (IPI) qui comprennent un « ensemble de données commercialisables » de numéros de carte de crédit, de noms, d'informations de sécurité sociale et plus encore. Malheureusement, il existe de nombreux cas
où le château a été pris d'assaut et les utilisateurs finaux étaient sur le pied. Le plus célèbre reste le

Incident d'Equifax, où une petite infraction a conduit à des années de clients mécontents. 

Depuis lors, l'état d'esprit a changé car les utilisateurs accèdent de plus en plus aux réseaux et aux applications depuis n'importe quelle zone géographique, sur n'importe quel appareil, sur des plates-formes hébergées dans le cloud - la sécurité point à point classique est obsolète. Le périmètre a changé, donc s'y fier
être une barrière qui protège tout a également changé.

Zero trust présente un nouveau paradigme pour la cybersécurité. Dans un environnement de confiance zéro, le périmètre est supposé avoir été violé, il n'y a pas d'utilisateurs de confiance et aucun utilisateur ou appareil ne gagne la confiance simplement en raison de son emplacement physique ou réseau. Chaque utilisateur,
l'appareil et la connexion doivent être continuellement vérifiés et audités. 

Et cela va sans dire, mais étant donné l'énorme quantité de données confidentielles sur les clients et les clients que le secteur des services financiers traite quotidiennement - et les réglementations strictes - cela doit être une priorité encore plus grande. La valeur perçue de
ces données font également des organisations de services financiers une cible principale pour les violations de données. 

Voici ce à quoi vous devez penser pour créer un environnement de confiance zéro. 

Sécuriser les données 

Tout en garantissant que l'accès aux applications bancaires et aux services en ligne est vital, c'est en fait la base de données qui est le backend de ces applications qui est un élément clé de la création d'un environnement de confiance zéro. La base de données contient une grande partie des données sensibles d'une organisation,
et réglementées, ainsi que des données qui ne sont peut-être pas sensibles mais qui sont essentielles au bon fonctionnement de l'organisation. C'est pourquoi il est impératif qu'une base de données soit prête et capable de fonctionner dans un environnement de confiance zéro. 

Alors que de plus en plus de bases de données deviennent des services basés sur le cloud, une grande partie de cela consiste à s'assurer que la base de données est sécurisée par défaut, ce qui signifie qu'elle est sécurisée dès le départ. Cela enlève une partie de la responsabilité de la sécurité des mains des administrateurs car
les niveaux de sécurité les plus élevés sont en place dès le départ, sans nécessiter l'attention des utilisateurs ou des administrateurs. Pour autoriser l'accès, les utilisateurs et les administrateurs doivent apporter des modifications de manière proactive - rien n'est automatiquement accordé. 

À mesure que de plus en plus d'institutions financières adoptent le cloud, cela peut devenir plus compliqué. Les responsabilités en matière de sécurité sont réparties entre la propre organisation du client, les fournisseurs de cloud et les fournisseurs des services cloud utilisés. Ceci est connu comme le
modèle de responsabilité partagée. Cela s'éloigne du modèle classique où l'informatique possède le renforcement des serveurs et de la sécurité, puis doit renforcer le logiciel en plus - disons la version du logiciel de base de données - et doit ensuite renforcer le code d'application réel.
Dans ce modèle, le matériel (CPU, réseau, stockage) relève uniquement du fournisseur de cloud qui provisionne ces systèmes. Le fournisseur de services pour un modèle Data-as-a-Service fournit ensuite la base de données renforcée au client avec un point de terminaison désigné.
Ce n'est qu'alors que l'équipe client réelle et ses développeurs d'applications et son équipe DevOps entrent en jeu pour la « solution » réelle. 

La sécurité et la résilience dans le cloud ne sont possibles que lorsque chacun connaît clairement ses rôles et ses responsabilités. La responsabilité partagée reconnaît que les fournisseurs de cloud s'assurent que leurs produits sont sécurisés par défaut, tout en restant disponibles, mais aussi que
les organisations prennent les mesures appropriées pour continuer à protéger les données qu'elles conservent dans le cloud.

Authentification pour les clients et les utilisateurs 

Dans les banques et les organisations financières, l'accent est toujours mis sur l'authentification des clients, garantissant que l'accès aux fonds est aussi sécurisé que possible. Mais il est également important de s'assurer que l'accès à la base de données à l'autre bout est sécurisé. Une organisation informatique
peut utiliser n'importe quel nombre de méthodes pour permettre aux utilisateurs de s'authentifier auprès d'une base de données. Le plus souvent, cela inclut un nom d'utilisateur et un mot de passe, mais étant donné le besoin accru de préserver la confidentialité des informations confidentielles des clients par les organisations de services financiers
cela ne doit être considéré que comme une couche de base. 

Au niveau de la base de données, il est important d'avoir une sécurité de la couche de transport et une authentification SCRAM qui permettent au trafic des clients vers la base de données d'être authentifié et chiffré en transit.

L'authentification sans mot de passe est également quelque chose qui devrait être pris en compte, non seulement pour les clients, mais aussi pour les équipes internes. Cela peut être fait de plusieurs façons avec la base de données, soit des certificats générés automatiquement qui sont nécessaires pour accéder à la base de données ou
options avancées pour les organisations utilisant déjà des certificats X.509 et disposant d'une infrastructure de gestion des certificats. 

Journalisation et audit 

En tant qu'industrie hautement réglementée, il est également important de surveiller votre environnement de confiance zéro pour vous assurer qu'il reste en vigueur et exprime votre base de données. La base de données doit pouvoir enregistrer toutes les actions ou disposer d'une fonctionnalité permettant d'appliquer des filtres pour capturer
uniquement des événements, des utilisateurs ou des rôles spécifiques. 

L'audit basé sur les rôles vous permet de consigner et de signaler les activités par rôles spécifiques, tels que userAdmin ou dbAdmin, couplés à tous les rôles hérités par chaque utilisateur, plutôt que d'avoir à extraire l'activité de chaque administrateur individuel. Cette approche facilite
pour les organisations d'appliquer un contrôle opérationnel de bout en bout et de conserver les informations nécessaires à la conformité et à la création de rapports. 

Chiffrement 

Avec de grandes quantités de données précieuses, les institutions financières doivent également s'assurer qu'elles adoptent le chiffrement - en vol, au repos et même en cours d'utilisation. La sécurisation des données avec le chiffrement au niveau du champ côté client vous permet de passer aux services gérés dans le
cloud avec plus de confiance. La base de données ne fonctionne qu'avec des champs chiffrés et les organisations contrôlent leurs propres clés de chiffrement, plutôt que de laisser le fournisseur de la base de données les gérer. Cette couche de sécurité supplémentaire impose une séparation encore plus fine
de devoirs entre ceux qui utilisent la base de données et ceux qui l'administrent et la gèrent. 

De plus, à mesure que de plus en plus de données sont transmises et stockées dans le cloud - dont certaines sont des charges de travail très sensibles - des options techniques supplémentaires pour contrôler et limiter l'accès aux données confidentielles et réglementées sont nécessaires. Cependant, ces données doivent encore être utilisées.
Il est donc essentiel de s'assurer que le chiffrement des données en cours d'utilisation fait partie de votre solution Zero Trust. Cela permet également aux organisations de stocker en toute confiance des données sensibles, en respectant les exigences de conformité, tout en permettant à différentes parties de l'entreprise d'accéder et
aperçus de celui-ci. 

Dans un monde où la sécurité des données ne fait que gagner en importance, les organisations de services financiers sont parmi celles qui ont le plus à perdre si elles tombent entre de mauvaises mains. Abandonner la mentalité de périmètre et passer à la confiance zéro - d'autant plus que
plus d'offres cloud et en tant que service sont intégrées dans l'infrastructure - est le seul moyen de vraiment protéger un actif aussi précieux.