We Nous avons r\u00e9cemment men\u00e9 \u00e0 bien une migration pour une institution financi\u00e8re canadienne. Comme beaucoup d\u2019organisations \u00e9voluant dans des environnements r\u00e9glement\u00e9s \u00e0 forts enjeux, elle utilisait une solution Zix h\u00e9rit\u00e9e, rigide et r\u00e9active. Elle rencontrait des difficult\u00e9s \u00e0 satisfaire aux nouvelles exigences de conformit\u00e9, et son syst\u00e8me ne parvenait plus \u00e0 suivre l\u2019\u00e9volution de son architecture.<\/p>\n
Si vous faites face \u00e0 des \u00e9volutions r\u00e9glementaires similaires ou cherchez \u00e0 d\u00e9m\u00ealer vos propres goulets d\u2019\u00e9tranglement en mati\u00e8re de chiffrement, nous voulions partager quelques enseignements pratiques tir\u00e9s de la mani\u00e8re dont cette banque a transform\u00e9 sa posture de s\u00e9curit\u00e9.<\/strong><\/p>\n Nous pensions autrefois que les passerelles s\u00e9curis\u00e9es suffisaient. On les mettait en place, on d\u00e9finissait quelques r\u00e8gles, puis on consid\u00e9rait le chiffrement comme un sujet r\u00e9gl\u00e9. La r\u00e9alit\u00e9 est bien diff\u00e9rente aujourd\u2019hui.<\/p>\n Cette banque en particulier est arriv\u00e9e \u00e0 un point de rupture bien connu. Son syst\u00e8me h\u00e9rit\u00e9 cr\u00e9ait d\u2019importants angles morts et une friction persistante. Le principal obstacle ? Elle devait imposer l\u2019authentification \u00e0 deux facteurs (2FA)<\/strong> \u00e0 tous les contacts externes afin de r\u00e9pondre aux exigences de conformit\u00e9, et son ancien syst\u00e8me en \u00e9tait tout simplement incapable.<\/p>\n \u00c0 cela s\u2019ajoutait le classique \u00ab cauchemar du S\/MIME \u00bb. G\u00e9rer des certificats S\/MIME \u00e0 l\u2019\u00e9chelle de l\u2019entreprise est fastidieux, tr\u00e8s manuel et sujet aux interruptions li\u00e9es \u00e0 l\u2019expiration des certificats. Lorsque l\u2019on ajoute la complexit\u00e9 des bo\u00eetes mail partag\u00e9es \u2014 sur lesquelles sa client\u00e8le comptait fortement \u2014 l\u2019ancien syst\u00e8me provoquait r\u00e9guli\u00e8rement des blocages op\u00e9rationnels. Cette banque avait besoin de s\u00e9curit\u00e9, de simplicit\u00e9 et de souverainet\u00e9. Elle avait besoin d\u2019une transformation en profondeur.<\/p>\n La migration revient souvent comme un point de blocage majeur dans ce type de discussion. Tout le monde a entendu des r\u00e9cits de temps d\u2019arr\u00eat, de d\u00e9ploiements progressifs complexes et de confusion c\u00f4t\u00e9 utilisateurs. Mais, en toute franchise, rester sur une plateforme de premi\u00e8re g\u00e9n\u00e9ration repr\u00e9sente un risque bien plus important.<\/p>\n Pour \u00e9viter l\u2019\u00e9rosion lente d\u2019une transition par phases, nous avons mis en \u0153uvre une migration compl\u00e8te de type \u00ab Big Bang \u00bb vers notre plateforme cloud native sur AWS.<\/strong> L\u2019ensemble a bascul\u00e9 instantan\u00e9ment.<\/p>\n Afin de pr\u00e9server la simplicit\u00e9 pour les utilisateurs, nous avons conserv\u00e9 le mot-cl\u00e9 d\u2019origine utilis\u00e9 par la banque dans Outlook pour d\u00e9clencher le chiffrement. Le jour du basculement, les employ\u00e9s ont poursuivi leur processus habituel \u2014 en saisissant le m\u00eame mot-cl\u00e9 qu\u2019auparavant \u2014 tandis que leurs messages \u00e9taient d\u00e9sormais achemin\u00e9s via une infrastructure de s\u00e9curit\u00e9 modernis\u00e9e. Il n\u2019y a eu ni courbe d\u2019apprentissage ni perturbation des op\u00e9rations quotidiennes.<\/p>\n Cette question de la confiance v\u00e9rifiable revient sans cesse dans le secteur financier. Les mots de passe seuls ne suffisent tout simplement plus. Les r\u00e9gulateurs exigent des preuves d\u2019identit\u00e9, et cette banque voulait s\u2019assurer que chaque message sensible soit v\u00e9ritablement prot\u00e9g\u00e9.<\/p>\n En passant \u00e0 Echoworx, la banque a pu imposer de mani\u00e8re coh\u00e9rente une authentification \u00e0 deux facteurs (2FA)<\/strong> obligatoire pour tous les destinataires externes. Pour conserver une approche de s\u00e9curit\u00e9 flexible, nous nous sommes int\u00e9gr\u00e9s \u00e0 son abonnement Sinch existant afin de fournir des codes de v\u00e9rification par SMS. Pour les utilisateurs qui ne souhaitaient pas partager leur num\u00e9ro de t\u00e9l\u00e9phone personnel, nous avons \u00e9galement activ\u00e9 la prise en charge des applications d\u2019authentification TOTP.<\/strong><\/p>\n Ils ont impos\u00e9 le niveau de confiance, tout en laissant le choix aux utilisateurs. Le renforcement de la s\u00e9curit\u00e9 a \u00e9t\u00e9 total, sans pour autant ralentir qui que ce soit.<\/p>\n La s\u00e9curit\u00e9 n\u2019existe pas en vase clos. Vos outils doivent pouvoir communiquer entre eux. L\u2019une des exigences majeures de la banque consistait \u00e0 trouver une solution capable de s\u2019int\u00e9grer parfaitement \u00e0 deux initiatives informatiques strat\u00e9giques en cours : une migration \u00e0 l\u2019\u00e9chelle de l\u2019entreprise vers Proofpoint et une obligation de supervision SIEM<\/strong> en temps r\u00e9el.<\/p>\n Nous avons con\u00e7u la plateforme Echoworx pour fonctionner en parfaite parall\u00e8le avec leur d\u00e9ploiement actif de Proofpoint. Il n\u2019a pas \u00e9t\u00e9 n\u00e9cessaire de proc\u00e9der \u00e0 une r\u00e9ing\u00e9nierie complexe. Il n\u2019y a pas eu de politiques concurrentes. Seulement un p\u00e9rim\u00e8tre de d\u00e9fense unifi\u00e9 et rationalis\u00e9.<\/p>\n En mati\u00e8re de visibilit\u00e9, nous avons \u00e9tabli une connexion directe avec leur environnement Splunk.<\/strong> Gr\u00e2ce \u00e0 nos API web, la banque peut d\u00e9sormais extraire en temps r\u00e9el des donn\u00e9es d\u2019audit d\u00e9taill\u00e9es directement dans son SIEM. Cela lui permet de surveiller les \u00e9v\u00e9nements au moment o\u00f9 ils se produisent, de faciliter la corr\u00e9lation rapide des \u00e9v\u00e9nements et de renforcer l\u2019analyse des menaces. Sa posture de s\u00e9curit\u00e9 est ainsi pass\u00e9e d\u2019une visibilit\u00e9 limit\u00e9e \u00e0 une vigilance concr\u00e8te, guid\u00e9e par les donn\u00e9es.<\/p>\n Lorsque l\u2019on op\u00e8re dans le cloud, la question ultime est toujours la m\u00eame : \u00ab Qui d\u00e9tient les cl\u00e9s ? \u00bb<\/p>\n Comme cette solution a \u00e9t\u00e9 con\u00e7ue sur notre plateforme native AWS, nous nous sommes int\u00e9gr\u00e9s directement \u00e0 AWS CloudHSM pour le service de gestion des cl\u00e9s (KMS)<\/strong>. Cela a permis \u00e0 la banque de b\u00e9n\u00e9ficier d\u2019une g\u00e9n\u00e9ration de cl\u00e9s reposant sur du mat\u00e9riel certifi\u00e9 FIPS 140-3.<\/p>\n Elle a ainsi conserv\u00e9 un contr\u00f4le clair et tra\u00e7able sur ses cl\u00e9s de chiffrement. Gr\u00e2ce \u00e0 la flexibilit\u00e9 et \u00e0 l\u2019\u00e9volutivit\u00e9 du cloud, elle a pu r\u00e9pondre sans compromis aux exigences de r\u00e9sidence et de propri\u00e9t\u00e9 des donn\u00e9es. Cette approche met en \u0153uvre une souverainet\u00e9 num\u00e9rique concr\u00e8te et op\u00e9rationnelle.<\/p>\n Le syst\u00e8me le plus s\u00fbr au monde ne sert \u00e0 rien si les utilisateurs le contournent parce qu\u2019il est trop difficile \u00e0 utiliser. Nous avons donc fortement mis l\u2019accent sur l\u2019accompagnement des utilisateurs afin que la m\u00e9thode s\u00e9curis\u00e9e devienne la m\u00e9thode par d\u00e9faut.<\/p>\n Si votre environnement fait face \u00e0 des d\u00e9fis similaires \u2014 qu\u2019il s\u2019agisse d\u2019outils h\u00e9rit\u00e9s rigides, de pressions croissantes en mati\u00e8re de conformit\u00e9 ou de frustrations c\u00f4t\u00e9 utilisateurs \u2014 plusieurs enseignements tr\u00e8s concrets se d\u00e9gagent ici. Migrer depuis un fournisseur de chiffrement h\u00e9rit\u00e9 ne doit pas n\u00e9cessairement \u00eatre une d\u00e9marche risqu\u00e9e ou s\u2019\u00e9tendre sur plusieurs ann\u00e9es.<\/p>\nLe cauchemar du S\/MIME et le mur des syst\u00e8mes h\u00e9rit\u00e9s<\/strong><\/h2>\n
La migration \u00ab Big Bang \u00bb
\n<\/strong><\/h2>\nInstaurer la confiance avec la 2FA
\n<\/strong><\/h2>\nUne int\u00e9gration fluide \u00e0 l\u2019\u00e9cosyst\u00e8me : Proofpoint et Splunk<\/strong><\/h2>\n
Contr\u00f4le total : souverainet\u00e9 cloud native<\/strong><\/h2>\n
Donner plus de pouvoir \u00e0 l\u2019utilisateur final<\/strong><\/h2>\n
\n
R\u00e9flexions finales
\n<\/span><\/h3>\n