Services financiers
Cybersécurité pour les services financiers
Dans votre secteur, une mesure de sécurité qui ne produit pas de preuve n’a pas d’existence réglementaire. Nous concevons pour que le dossier d’audit se constitue au fil des travaux, pas après.
L’essentiel
- La contrainte structurante est probatoire : ce qui n’est pas traçable n’existe pas pour un régulateur.
- Nous segmentons des cœurs de réseau existants sans fenêtre d’arrêt, par vagues réversibles.
- Le dossier d’audit se constitue pendant les travaux, jamais reconstitué après coup.
- Interventions sous accord de confidentialité renforcé, en cohabitation avec vos équipes.
Une mesure qui ne produit pas de preuve n’existe pas pour un régulateur
Votre prochain audit vous demandera de démontrer, pas d’affirmer, et la plupart des dossiers se reconstituent dans l’urgence une fois la demande arrivée. Trois contraintes se cumulent chez vous, et elles se contredisent parfois.
- Le régulateur et la preuve d’audit. Les régimes diffèrent selon que vous êtes une institution sous charte fédérale, un assureur ou un courtier encadré au Québec. L’attente de fond est constante : démontrer la maîtrise du risque technologique par des contrôles documentés, testés et traçables.
- La disponibilité des systèmes de paiement. Elle interdit la bascule unique. Chaque modification doit être réversible dans une fenêtre validée, et le plan de retour arrière testé avant d’être nécessaire.
- La traçabilité des accès inter-zones. Qui a accédé à quoi, quand, sous quelle autorisation. C’est ce qui permet de qualifier un incident et de répondre à une demande d’explication des mois plus tard.
La tension la plus fréquente oppose les deux premières : la réponse n’est pas de choisir, mais de découper.
Un cœur de réseau porte des flux que plus personne ne documente
Un cœur de réseau qui a accompagné vingt ans de croissance contient des règles créées pour un besoin oublié et des dépendances qu’aucun schéma ne montre. Couper un de ces flux se paie immédiatement en interruption de service, ce qui rend la cartographie plus longue et plus décisive que la bascule.
- Cartographier avant de toucher. Nous relevons ce qui communique réellement avec quoi, à partir du trafic observé et non de la documentation. C’est l’étape qui révèle les dépendances non documentées, et celle qui rassure le comité qui doit autoriser les travaux.
- Définir les zones de confiance. Selon les principes du modèle Zero Trust, dont la définition de référence est le NIST SP 800-207 : aucun accès accordé sur la seule base de la position réseau.
- Basculer par vagues. Chaque vague isole un périmètre limité, s’applique hors heures de service quand le contexte l’exige, et se valide avant la suivante. Aucune vague ne doit pouvoir laisser l’environnement dans un état intermédiaire non maîtrisé.
Le dossier d’audit se constitue pendant les travaux, jamais après
Chaque décision d’architecture, chaque exception accordée et chaque validation de vague produit une trace datée et attribuée. Reconstituer un dossier après un projet est un exercice que les auditeurs reconnaissent immédiatement.
- Les décisions et leurs alternatives. Ce qui a été retenu, ce qui a été écarté, sur quel critère. Cette trace évite qu’un auditeur, ou un successeur, suppose une négligence là où il y avait un arbitrage.
- Les exceptions. Tout écart au standard cible, sa justification, sa date d’expiration et la personne qui l’a autorisée.
- Les preuves de contrôle. Résultats de tests, relevés de configuration, journaux de validation des bascules, cartographiés sur les référentiels applicables, généralement ISO 27001 et le NIST CSF, pour que le même effort serve plusieurs exigences.
La supervision se déploie avant la bascule, jamais après
C’est un point de méthode que nous ne négocions pas. Migrer d’abord et superviser ensuite revient à basculer en aveugle : si un flux se dégrade, personne ne le sait avant que les utilisateurs se plaignent.
Installer la visibilité sur l’état initial produit au passage la mesure de référence à laquelle comparer les résultats. C’est aussi ce qui permet de tenir le principe des architectures redondantes multi-sites : aucun composant unique ne doit pouvoir arrêter une fonction critique, et il faut pouvoir le démontrer autrement qu’en coupant le site pour voir.
Ce que nous observons sur le terrain
l’exception qui n’expire jamais
Dans presque tous les environnements financiers que nous relevons, nous trouvons des exceptions de sécurité accordées pour un besoin temporaire et jamais refermées. Le schéma est toujours le même : un projet a besoin d’un accès élargi, quelqu’un l’autorise pour deux semaines, le projet se termine, personne ne revient fermer la règle.
Trois ans plus tard elle existe encore, plus personne ne sait à quoi elle sert, et nul n’ose la supprimer de peur de casser quelque chose. Elle finit par constituer exactement le chemin qu’un attaquant cherche. C’est pourquoi nous imposons une date d’expiration à toute exception, y compris les nôtres, et une revue périodique de la liste.
Questions fréquentes
Travaillez-vous sous accord de confidentialité renforcé ?
Oui, systématiquement dans ce secteur, et nous signons vos modèles plutôt que d’imposer les nôtres. Cela couvre la non-divulgation du mandat lui-même, pas seulement de son contenu : le simple fait qu’un chantier de sécurité soit en cours constitue une information exploitable.
Pouvez-vous intervenir en cohabitation avec notre équipe sécurité interne ?
Oui, et c’est le mode le plus courant. Notre rôle est alors l’architecture, l’arbitrage technique et la production des livrables auditables ; votre équipe conserve l’exploitation et la connaissance du quotidien. Nous ne revendons pas de licences et le transfert de compétences est prévu au mandat.
Répondez-vous aux exigences de sécurité de nos propres auditeurs ?
C’est la forme normale de nos livrables ici. Les contrôles sont cartographiés sur les référentiels applicables, ISO 27001 et NIST CSF en particulier, pour que le même exercice serve votre audit interne, votre régulateur et vos questionnaires de contrepartie.
Intervenez-vous sur les environnements soumis à PCI DSS ?
Oui, sur le volet réseau et segmentation, qui est celui où le périmètre de conformité se gagne ou se perd. Réduire l’étendue de l’environnement soumis à la norme est souvent le levier le plus efficace. Nous ne sommes pas évaluateur qualifié et ne délivrons aucune attestation.
Quelle est la durée typique d’une segmentation de cœur de réseau ?
Elle dépend du nombre de zones cibles, du volume de flux à cartographier et des fenêtres que votre exploitation autorise. La cartographie représente une part substantielle du mandat, et c’est celle qu’il ne faut pas comprimer : chaque flux non identifié devient une interruption potentielle.
Faites relever votre architecture avant votre prochain audit
Un premier échange, sous confidentialité, pour situer votre exposition et l’état de votre documentation de contrôle. Sans engagement, avec une synthèse écrite.
Sources
- NIST SP 800-207, Zero Trust Architecture · définition de référence du modèle appliqué à la segmentation
- Bureau du surintendant des institutions financières (BSIF) · attentes en matière de gestion du risque lié aux technologies et aux cyberrisques
- Autorité des marchés financiers (Québec) · encadrement des assureurs et des courtiers
- PCI Security Standards Council · norme PCI DSS et notion de périmètre soumis
Pour aller plus loin
Cybersécurité
Zero Trust, segmentation dynamique, SASE et réponse aux incidents.
Nos réalisations
Les interventions documentées, avec leurs contraintes réelles.
Tous les secteurs
Les quatre verticales et leurs contraintes dominantes.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.