Pour les meilleures pratiques en cybersécurité, tournez-vous vers le secteur financier

Publié initialement dans Regulation Asia.

Face à la multiplication des cyberattaques, qui touchent tous les types d'organisations et tous les secteurs, la menace de violations de données coûteuses, embarrassantes et préjudiciables aux résultats financiers est bien réelle. Le problème ne diminue pas ; il se propage comme une tumeur.

On me demande souvent de citer des exemples d'organisations qui luttent contre ce problème, en naviguant dans le « Far West » de la cybersécurité et des meilleures pratiques en matière de sécurité applicative avec une finesse et une maîtrise particulières. Une réponse me vient plus souvent à l'esprit que les autres : le secteur financier s'en sort mieux que la plupart des autres.

Réglementation : un moteur du leadership du secteur financier en matière de cybersécurité

Si le secteur financier excelle dans le domaine de la sécurité applicative, c'est en partie parce qu'il est poussé par les préoccupations des régulateurs mondiaux, régionaux et nationaux face aux impacts universels — voire catastrophiques — qu'une cyberattaque réussie ou un vol de données pourrait engendrer.

Le Comité de Bâle sur le contrôle bancaire a publié un rapport en décembre détaillant l'éventail des pratiques de cyber-résilience observées au sein des banques et des organismes de réglementation et de surveillance dans de multiples juridictions. L'une de ses principales conclusions souligne le défi de la pénurie de compétences en cybersécurité, un facteur que seules quelques rares juridictions ont cherché à contrer en mettant en place des certifications spécifiques.

« Certaines juridictions disposent de normes informatiques spécifiques qui traitent des responsabilités du personnel informatique et des fonctions de sécurité de l'information, avec une attention particulière portée à la formation et aux compétences du personnel en cybersécurité », indique le rapport. Cependant, la plupart des juridictions n'en sont qu'aux « premiers stades » de la mise en œuvre de pratiques de surveillance pour évaluer les compétences et les ressources du personnel informatique en matière de cyber-résilience.

Pour la plupart, les cadres réglementaires exigent que les entités réglementées gèrent les risques, mais il existe rarement une voie claire pour les atténuer efficacement. Ils ne fixent pas d'exigences spécifiques (ni même de points de référence) pour répondre aux besoins en compétences et en ressources du personnel de cybersécurité. La plupart des régulateurs évaluent le personnel de cybersécurité des institutions par le biais d'inspections sur site, où les questionnaires d'auto-évaluation sont monnaie courante et les processus de formation particulièrement scrutés. Toutefois, seules quelques juridictions intègrent spécifiquement les rôles et responsabilités du personnel informatique dans leurs réglementations. En clair, la marge d'erreur est grande et l'accent mis sur une formation adéquate et l'évaluation ultérieure des compétences est plutôt faible.

Au Japon et en Corée du Sud, les autorités publiques ont établi des lignes directrices sur la gestion appropriée du personnel de cybersécurité. Dans la plupart des autres juridictions, cependant, les exigences réglementaires en la matière se limitent à des attentes de surveillance, sans qu'il y ait souvent d'évaluation réelle des compétences en cybersécurité et de la formation du personnel au sein des organisations réglementées.

Seuls Hong Kong, Singapour et le Royaume-Uni ont publié des cadres dédiés pour certifier les compétences et aptitudes du personnel en cybersécurité. Bien que des termes comme « conformité » et « certification » aient tendance à faire frissonner le développeur créatif moyen, chargé de concevoir d'excellentes fonctionnalités logicielles (pour qui la sécurité est souvent perçue comme le problème de quelqu'un d'autre, à savoir l'équipe de sécurité), les quantités massives de données sensibles détenues par de nombreuses entités réglementées sont tout simplement trop précieuses pour être laissées entre les mains de personnes dont les compétences sont « supposées » plutôt que dûment vérifiées.

Heureusement, de nombreuses institutions bancaires et financières en ont pris conscience sans nécessairement s'appuyer sur une voie réglementaire évidente. Si les réglementations donnent un aperçu des résultats attendus (c'est-à-dire un logiciel sécurisé), ces institutions ont compris que pour y parvenir, il faut pallier la pénurie de compétences en cybersécurité en formant les développeurs, en favorisant leur relation avec les professionnels de la sécurité applicative et en bâtissant une culture de sécurité positive qui encourage la responsabilité et l'appropriation.

Pourquoi le secteur financier possède-t-il le « facteur X » de la cybersécurité ?

Plusieurs éléments entrent en jeu pour les entreprises des secteurs de la banque, des services financiers et de l'assurance, qui constituent les piliers sur lesquels repose leur position de leader dans le paysage de la cybersécurité.

Naturellement, en tant que gardiens des finances mondiales (sans parler de millions d'enregistrements de données hautement sensibles), ces organisations sont généralement très axées sur la conformité et fortement réglementées ; les mises à jour des directives, réglementations et exigences sont attendues et planifiées de manière significative. Par conséquent, elles se sont adaptées comme un poisson dans l'eau aux besoins évolutifs de l'atténuation des cyber-risques, en se dotant de politiques de meilleures pratiques de cybersécurité parmi les plus strictes, ainsi que de processus de bout en bout pour réduire leur exposition aux attaques potentielles.

Alors, que font les institutions financières différemment des autres ? D'après mon expérience, elles ont jeté les bases nécessaires pour être plus sensibilisées à la sécurité que les autres, en identifiant le besoin et en consacrant des ressources à des programmes de formation holistiques, non seulement pour les professionnels de la sécurité applicative et les testeurs d'intrusion, mais aussi pour leurs équipes de développement (généralement très vastes et dispersées dans le monde).

La cybersécurité étant relativement nouvelle dans la plupart des organisations, il est rafraîchissant de constater que les institutions financières font preuve d'une ouverture d'esprit et d'une innovation réelles dans leur quête de logiciels sûrs et sécurisés. Beaucoup ont compris l'intérêt de faire monter en compétences leurs équipes de développement grâce à une formation engageante qui les fait sortir de la salle de classe pour les plonger dans une expérience d'apprentissage pratique et pertinente, les aidant non seulement à corriger les problèmes, mais aussi à comprendre l'importance du codage sécurisé en général.

Après tout, le codage sécurisé est un ingrédient clé pour forger une relation robuste et fonctionnelle entre les développeurs et l'équipe de sécurité applicative, ainsi que pour maintenir une culture de sécurité solide au sein de l'entreprise. Un autre facteur clé qui favorise le succès d'un programme de sécurité est de s'assurer que les principales parties prenantes sont impliquées et en perçoivent les avantages, même si elles ne sont pas elles-mêmes des professionnels de la sécurité.

Les institutions financières communiquent généralement bien avec leur direction, en veillant à ce que les décideurs comprennent que les processus de sécurité ne sont pas des mesures figées ; ils doivent évoluer aussi rapidement que la technologie utilisée et s'adapter aux risques variables.

Cela peut demander du temps et de l'argent, mais comme les vulnérabilités coûtent trente fois plus cher à corriger une fois le code validé, un programme de sécurité complet — incluant une formation dès le départ — permet de réaliser des économies à long terme : il est bien moins coûteux de résoudre les problèmes de sécurité au moment de l'écriture par des développeurs sensibilisés.

Les normes de sécurité commencent à suivre le rythme de l'augmentation des risques

Un moteur important de la conformité cyber pour le secteur financier provient du PCI Security Standards Council, qui s'engage à aider les organisations financières à mettre en œuvre des politiques de sécurité viables et à respecter les directives dans tous les domaines. Ils ont joué un rôle moteur pour aider ce secteur à atteindre l'un des niveaux de sécurité les plus élevés dans les logiciels de paiement.

Cependant, il faut admettre que nombre de nos clients du secteur financier ont surpassé les directives actuelles du PCI Security Standards Council. Bien que ces directives recommandent une formation pour les développeurs (comme mentionné précédemment avec d'autres exemples d'informations réglementaires), elles ne précisent pas de type particulier ni de référence à atteindre pour démontrer l'efficacité de la formation.

Alors que de nombreuses vulnérabilités comme l'injection SQL et le cross-site scripting (XSS) persistent depuis plus de vingt ans (et causent encore des problèmes en 2019), il est clair que toutes les formations ne se valent pas. En adoptant une formation pratique et ludique à la sécurité, les banques et autres sociétés de services financiers obtiennent de bien meilleurs résultats et une réduction réelle des vulnérabilités susceptibles de faire des ravages si elles sont exploitées.

Un excellent exemple est la manière dont l'institution bancaire américaine Capital One a utilisé des techniques de formation ludiques dans le cadre de son système innovant Tech College et de certification. Selon Russell Wolfe, leur directeur de la cybersécurité et de l'éducation au cloud computing lors d'un récent webinaire, les programmes de formation volontaires et les tournois de codage ont rapidement gagné en popularité, avec une demande sans précédent et une motivation organique des pairs pour se faire certifier et aider à monter en compétences.

Que peuvent faire les régulateurs pour garantir que les équipes de cybersécurité sont correctement formées ?

Les régulateurs du monde entier peuvent réellement améliorer leurs politiques et directives actuelles en matière de cyber-réglementation, simplement en définissant les méthodologies et normes de formation acceptées que les responsables de la protection de nos données doivent respecter. Pour l'instant, il semble qu'il y ait une référence générale à une exigence de formation dans la plupart des politiques réglementaires, mais il y a peu de suivi pour garantir que ceux qui suivent ces formations assimilent les contenus et techniques nécessaires pour lutter contre les cybermenaces.

La récente décision de la MAS (Monetary Authority of Singapore) d'inclure l'adoption de programmes de sensibilisation à la sécurité et de bonnes pratiques de développement logiciel sécurisé dans la dernière version de ses directives sur les risques technologiques est toutefois encourageante. Une fois en vigueur, elles obligeront les institutions financières à s'assurer que leurs développeurs sont formés à l'application du codage sécurisé, à la révision du code source et aux normes de test AppSec, ce qui devrait contribuer à minimiser les bugs et les vulnérabilités.

Pour moi, former les développeurs avec des techniques pratiques et concrètes est de loin ce qu'il y a de plus engageant et pertinent pour leur travail, tout en posant les bases d'une culture de sécurité robuste que chaque organisation doit créer avant qu'il ne soit trop tard.