Banque & Cloud – Cloud Banking – Blog de sécurité informatique Tec-Bite

À propos de cette offre

Fin mars, l’Association suisse des banquiers (SwissBanking) a publié un guide sur le cloud. Comme pour de nombreuses autres industries, le cloud apporte également de grands avantages aux banques, notamment la possibilité de tester très rapidement de nouveaux produits et services, ce qui permet de les mettre sur le marché plus rapidement et d’augmenter leur compétitivité. Les innovations numériques peuvent être facilement expérimentées et efficacement adaptées via une plateforme cloud avant d’être lancées à un large public. Dans le cloud, les banques ont accès à des plateformes d’intelligence artificielle (IA) et d’apprentissage automatique (ML) et peuvent traiter et analyser efficacement de très grandes quantités de données (Big Data), souvent en temps réel. Bien que cela soit également possible en local (on-premises), cela nécessite non seulement un investissement beaucoup plus important, mais offre aussi beaucoup moins de flexibilité dans le choix et l’adaptation de ces solutions. Un exemple emblématique est Novartis : en 2013, ils devaient analyser 10 millions de composés chimiques par rapport à un marqueur spécifique du cancer en une semaine, ce qui aurait nécessité une infrastructure on-premises d’environ 40 millions de dollars US. Avec AWS, ils ont pu atteindre le même résultat en 9 heures avec 10 000 instances de calcul, pour un coût inférieur à 5 000 dollars US. Source : SwissBanking, Cloud-Leitfaden – Wegweiser für sicheres Cloud Banking (Version 1.0), Bâle mars 2019, p. 13, fig. 2. Un sujet central est le respect du secret bancaire dans le cloud. Les données clients (Client Identifying Data, CID) et les données personnelles (Personally Identifiable Information, PII) doivent être protégées dans le contexte du cloud par des mesures techniques, organisationnelles et contractuelles. Ces données peuvent être chiffrées ou anonymisées. En cas de chiffrement, le contrôle des clés de chiffrement doit rester à la banque, mais peut être mis à disposition ou stocké chez le fournisseur cloud. Une alternative est la pseudo-anonymisation ou la tokenisation des données. Les données sont alors anonymisées, mais les jetons (tokens) restent intacts et peuvent être analysés dans le cloud, car ils contiennent toutes les informations pertinentes sans être eux-mêmes des données clients. L’intérêt est que de nombreuses analyses Big Data et évaluations similaires peuvent être réalisées via les tokens et métadonnées ; les données clients effectives ne sont pas nécessaires pour la plupart des analyses ou peuvent être corrélées localement (on-premises). En cas d’externalisation effective de parties de l’IT, les données doivent être chiffrées tant en transit qu’au repos. Une approche hybride est également possible, utilisant des tokens pseudo-anonymisés qui peuvent être déchiffrés via une session PKI. Le choix de la méthode dépend principalement des services cloud utilisés (analyses Big Data ou migration de l’infrastructure vers le cloud). Source : SwissBanking, Cloud-Leitfaden – Wegweiser für sicheres Cloud Banking (Version 1.0), Bâle mars 2019, p. 16, fig. 3. Des mesures supplémentaires doivent être mises en œuvre au niveau des processus, mais surtout contractuellement. Un autre sujet important est la divulgation d’informations protégées suite à une décision d’un tribunal suisse compétent ou à l’autorisation d’une autorité suisse. Les autorités étrangères peuvent certes demander des données à un fournisseur cloud, mais la divulgation ne peut se faire qu’avec le consentement de la banque, sur décision d’un tribunal suisse compétent ou avec l’autorisation d’une autorité suisse compétente. Ce domaine suscite une certaine incertitude en raison du CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adopté en mars 2018 (plus d’informations dans un article de blog séparé). Liens : Tout sur la sécurité cloud par AVANTEC sur https://www.avantec.ch/themen/cloud-security/ L’article Banking & Cloud est initialement paru sur Tec-Bite.