La cybersécurité est un sujet de plus en plus important pour les organisations du monde entier. Avec la montée des menaces et des attaques qui évoluent constamment, la question de la sécurité devient cruciale. En même temps, de plus en plus d’entreprises reconnaissent les avantages de la technologie cloud (cloud) à laquelle elles confient leurs ressources et infrastructures de sécurité. Malgré des avantages évidents tels qu’une évolutivité plus facile, un déploiement plus rapide, une haute disponibilité et une présence mondiale, il subsiste une certaine appréhension, notamment dans les organisations dont les opérations dépendent de données hautement sensibles telles que les informations financières des utilisateurs.
La sécurité des données critiques, le respect des exigences réglementaires et la préoccupation pour la disponibilité et la performance des systèmes restent les principaux dilemmes pour les organisations envisageant une transition vers cloud.
Affaires sérieuses
Ces préoccupations sont-elles justifiées ? commente Luka Mićanović, Responsable de l’Unité de Livraison pour les solutions SaaS chez l’entreprise IT ASEE :
– Nous fournissons des services de paiement et d’authentification à haut risque pour plus de soixante banques et processeurs depuis des centres de données dans un modèle cloud, tant au sein de l’Union européenne qu’au-delà de ses frontières. Cela signifie plusieurs choses pour les banques ou les processeurs : le transfert de données sensibles hors de l’environnement bancaire, et souvent hors du pays, et, plus important encore, la délégation de la sécurité et du traitement des données à un tiers. Une telle approche des affaires était presque inimaginable pour les banques il y a quinze à vingt ans en raison des craintes que les données avec un fournisseur de services externe soient moins sécurisées. Aujourd’hui, nous savons très bien que ce n’est pas le cas avec la bonne approche.
Mićanović souligne également qu’il était crucial d’assurer un ensemble complet de prérequis techniques et procéduraux pour garantir la sécurité des données au même niveau, et souvent à un niveau supérieur à celui de l’environnement bancaire. Une partie de ces exigences, dit Mićanović, est déterminée par diverses réglementations, une partie est une exigence directe de la banque, et une partie est le résultat de l’expérience et des connaissances des experts en sécurité de l’entreprise.
– Pour assurer à nos clients que tous les mécanismes et processus nécessaires sont mis en œuvre avec succès, nous effectuons une surveillance régulière (audit), tant externe que celle des auditeurs choisis par la banque. Sur la base de ces audits, nous obtenons des certificats tels que PCI DSS, PCI 3DS, ISO, etc. Une fois, un auditeur nous a demandé que, au-dessus de la salle sécurisée où se trouvent nos armoires d’équipement, nous devions souder une cage supplémentaire. Pourquoi ? Parce qu’un attaquant pourrait grimper par-dessus le mur depuis une autre salle de serveurs, qui était également dans la quatrième zone de sécurité. De tels scénarios sont très peu probables dans le monde réel, mais les attaquants deviennent généralement plus créatifs et habiles, ce qui nous oblige à investir des efforts considérables pour être plus rapides dans cette course et fermer tous les vecteurs d’attaque possibles. Les attaques DDoS en sont un bon exemple, qui nécessitaient auparavant des compétences de piratage sérieuses, et aujourd’hui peuvent être achetées sur le dark web pour une fraction d’bitcoin d’une valeur d’environ 10 000 $, perturbant considérablement le fonctionnement des services bancaires. Cela montre clairement que la sécurité est devenue une affaire sérieuse, explique Mićanović.
