Promouvoir la confiance et la conformité dans les services financiers

Dans le paysage commercial complexe et le monde de plus en plus numérique d'aujourd'hui, les organisations de toutes sortes sont confrontées aux défis universels que sont l'établissement de la confiance et la garantie de la conformité. C'est particulièrement vrai pour les organisations de services financiers.

Néanmoins, la confiance et le respect des règles sont essentiels à la poursuite du succès. Que faut-il donc ? Nous avons récemment discuté de la manière dont les organisations de services financiers peuvent introduire un site PKI évolutif et flexible afin de répondre aux exigences réglementaires strictes tout en favorisant l'innovation et l'amélioration de l'expérience client, de mettre en place un cadre de sécurité solide basé sur les meilleures pratiques du secteur et de rationaliser les processus de gestion de l'identité et de l'accès. Lisez la suite pour un résumé de notre conversation, ou cliquez ici pour regarder l'intégralité du webinaire.

Les identités des machines et leur gestion

Le monde qui nous entoure est en train de changer : Alors que de nombreuses organisations géraient auparavant leurs propres centres de données, sécurisant tout à l'intérieur d'un périmètre physique, ce n'est plus le cas aujourd'hui. De plus en plus d'organisations s'appuient sur le cloud, par exemple via Azure, pour sécuriser les ressources à l'intérieur et à l'extérieur des quatre murs d'un bureau. Cette nouvelle approche exige des entreprises qu'elles identifient facilement les utilisateurs et les appareils, où qu'ils soient - même s'ils se trouvent dans une zone totalement non protégée - et qu'elles leur donnent juste assez d'accès pour qu'ils puissent accomplir leur travail, rien de plus. L'utilisation de certificats basés sur l'identité soutient ce nouveau monde.

Tout cela devient particulièrement important lorsque nous examinons les identités des machines, qui sont aujourd'hui omniprésentes (ordinateurs de bureau, téléphones, appareilsIoT ). Mais la gestion des identités des machines est un défi pour plusieurs raisons :

• Machine identities are often invisible, even though they play a vital role in ensuring the integrity and confidentiality of critical communications. 
• Machine identities also lack clear ownership, as many teams are often not aware of how many are out there, who owns them, how they’re being used, and where they’re being used.
• Machine identities are short-lived, but they also need to be reliable and trustworthy, as they safeguard financial transactions and customer data.

Malgré ces difficultés, il est essentiel de bien gérer les identités des machines, car elles contribuent à renforcer la sécurité des services financiers en créant la confiance. Lorsqu'elles sont gérées correctement par le biais de certificats et de PKI, les identités des machines nous permettent de savoir que nous pouvons faire confiance à un appareil, qu'il est bien celui qu'il prétend être et qu'il n'utilise pas un certificat falsifié.

Que faut-il donc ? Les certificats et PKI pour les identités des machines comportent trois aspects essentiels :

• Issuing digital certificates: This is where things start. You have to issue proper certificates to manage the identities of users and devices appropriately – making sure they’re issued to the right people or devices and that those people and devices are authorized and trusted.
• Automating certificate lifecycle management: Next, what do you do after a certificate is issued? It has an entire lifecycle that needs managing – installing, binding, using, and revoking the certificate – and the best way to accomplish that is through automation.
• Managing digital signatures: Finally, certificates can help support digital signatures, whether that’s code signing, signing documents, or anything else.

Tendances de l'industrie : problèmes courants liés à l'identité des machines

According to Keyfactor’s 2023 State of Machine Identity Management Report, the biggest pain points and challenges around machine identities for many organizations, including financial services companies, are:

• Decentralized PKI models: Oftentimes, new use cases arise, and different teams start doing things their own way. While that’s fine as a bandaid to get things moving faster, it adds up over time and creates sprawl that becomes very difficult for one person or even one team to manage. After all, it’s very challenging to regain centralized control of what’s going on when PKI is done differently everywhere, let alone have any visibility into what’s happening.
• Short-lived certificates: The lifespan of certificates keeps getting shorter and shorter, with the potential for a 90-day lifespan for TLS certificates on the horizon. These shorter lifespans mean certificates require more frequent attention and management.
• Key attestation requirements: New rules for key attestation from the Certificate and Browser Authority (CA/B) Forum for how to protect code signing keys also require more attention from security teams.
• Post-quantum revolution: Preparing for the transition to NIST-candidate quantum-safe algorithms now occupies a lot of time and energy, especially as we still don’t know the specifics around when and what that will look like.

Et la complexité des environnements PKI d'aujourd'hui ne fait qu'exacerber ces défis, au lieu de faciliter les choses. Voici quelques-uns des plus grands obstacles à PKI :

• CA and PKI sprawl: Many companies have different solutions to issue and manage certificates for each potential use case (a lot of which are also outdated). When this happens, especially in large organizations, teams end up with multiple, disparate PKI implementations, and that creates a lot of complexity as well as limited visibility. This becomes a serious issue when organizations have an average of 256,000 certificates across nine different PKI solutions.
• Self-signed certificates: Many organizations don’t even use a PKI solution for some of their use cases and do self-signed certificates instead. For example, they’ll issue a 10-year certificate just to check a box and make an application work and forget about it. But this can cause major problems down the line – both in terms of security vulnerabilities and audit risks.
• Lack of governance: When companies have too many PKI solutions and/or don’t use one at all, maintaining control becomes nearly impossible. Let’s say there was a point solution brought on by a particular employee, but now they’re no longer with the company, and there’s an outage because something expired – does anyone have access to take control? Oftentimes the answer is no.
• Lack of expertise: Many companies are struggling to find PKI experts and end up delegating these responsibilities to people with little experience in PKI, which creates even more risk.

La solution : gérer correctement les identités des machines pour les services financiers à l'aide d'un système de gestion des identités évolutif et flexible. PKI

Quelle est donc la solution à tout cela ? Une solution évolutive et flexible : PKI, qui peut prendre en charge une variété de cas d'utilisation, sécuriser de nouvelles applications, de nouveaux effectifs, de nouveaux appareils et de nouvelles infrastructures, et réduire la complexité globale. En fin de compte, la bonne configuration de PKI offre une visibilité et un contrôle complets sur votre environnement. 

Une solution PKI évolutive et flexible permet aux administrateurs de suivre, contrôler et mettre à jour facilement les certificats sur différents appareils et gammes de produits. Elle prend en charge la gestion du cycle de vie, les processus de renouvellement automatisés et la possibilité de révoquer et de remplacer les certificats compromis ou obsolètes. En outre, il s'intègre aux cadres et outils de sécurité existants pour rationaliser les flux de travail et garantir une opérabilité transparente - en particulier pour la signature du code, qui minimise le risque d'exécution de software malveillants et sécurise toutes les nouvelles versions des applications destinées aux clients. Enfin, et c'est peut-être le point le plus important, elle utilise l'automatisation pour suivre le rythme, car le provisionnement et la gestion manuels des certificats deviennent peu pratiques et sources d'erreurs à grande échelle.

Bien entendu, il ne s'agit pas seulement de mettre en place la bonne solution PKI : Les organisations ont également besoin d'une gestion appropriée. C'est là que nous voyons deséquipes reprendre PKI en tant que fonction centrale, en en faisant un service partagé interne pour fournir à tous les membres de l'organisation des services contrôlés, fiables et automatisés qui sont faciles à surveiller. Cette approche permet non seulement de réduire les risques, mais aussi de gagner du temps et de l'argent.

Tout cela est particulièrement important dans les services financiers, où les organisations doivent non seulement sécuriser les cas d'utilisation informatique typiques comme le courrier électronique, mais aussi les applications bancaires internes, les transactions, le traitement des paiements, etc.

Étude de cas : EQ Bank renforce la sécurité et DevOps pour aller plus vite

EQ Bank fait beaucoup de transactions électroniques et a identifié PKI comme un pilier de sécurité clé pour son organisation. Malheureusement, elle disposait d'une empreinte PKI très dispersée, composée de solutions ponctuelles difficiles à gérer. Plus précisément, elle avait du mal à obtenir un inventaire précis de ses certificats, à traiter les demandes internes et ne se sentait pas bien placée pour passer les audits.

Pour renverser la situation, EQ Bank a mis en œuvre Keyfactor en tant que service partagé central pour prendre en charge l'ensemble de la gestion du cycle de vie de ses certificats. Keyfactor lui a permis de rationaliser le processus d'émission des certificats en automatisant tout, de la mise en production des certificats à leur rotation et à leur renouvellement. En conséquence, ils n'effectuent plus de suivi manuel et ont évité les pannes dues à l'expiration des certificats. De plus, son équipe DevOps peut automatiser l'émission et la rotation des certificats dans ses conteneurs Docker, son service Azure Kubernetes et ses déploiements Istio Service Mesh. Aujourd'hui, la banque considère PKI comme une couche de sécurité beaucoup plus solide et sait qu'elle est en bonne position pour passer les audits.

Accéder aux capacités critiques de PKI pour les services financiers

Les organisations de services financiers doivent anticiper les risques de sécurité potentiels en mettant en œuvre un programme PKI évolutif et flexible le plus tôt possible. Pour minimiser les risques, il est essentiel d'être proactif dans ce domaine, en particulier lorsqu'il s'agit d'effectuer ses propres audits et de résoudre les problèmes éventuels.

Cette proactivité commence par le remplacement des processus manuels statiques par une sécurité dynamique et automatisée qui facilite l'identification et la gestion des certificats tout au long de leur cycle de vie. Elle nécessite également une équipe compétente pour gérer cette solution afin de garantir l'authentification de chaque charge de travail, appareil et produit livrable sur software , et de maintenir la visibilité et la fiabilité nécessaires pour éviter les pannes.

Vous souhaitez en savoir plus sur ce qu'il faut faire et sur la façon dont Keyfactor peut aider les organisations de services financiers à donner la priorité à PKI? Cliquez ici pour regarder l'intégralité du webinaire pour une discussion plus approfondie, y compris un examen approfondi de Keyfactor Signum , qui est maintenant disponible sur Microsoft Azure pour les développeurs de signer facilement et en toute sécurité le code et les conteneurs sans aucune perturbation de la productivité.