Sécuriser l’avenir numérique : bonnes pratiques AppSec pour les services bancaires numériques

Le 12 novembre 2024, au Pavilion Hotel de Kuala Lumpur, le Field CTO de Snyk, Pas Apicella, a donné une présentation éclairante lors du Digital Banking Asia Summit 2024 en Malaisie. Intitulée « Sécuriser l’avenir numérique : bonnes pratiques de sécurité des applications pour les services bancaires numériques », son intervention portait sur des stratégies concrètes pour relever les défis urgents du secteur des services financiers.

Lors de sa présentation, Pas Apicella a mis en avant trois domaines clés :

1. Principaux défis de la sécurité des applications

2. Principaux défis pour les développeurs et les équipes de sécurité

3. Points clés pour les dirigeants et définition de la réussite en sécurité des applications

Voici les principaux enseignements de son intervention.

Principaux défis de la sécurité des applications

Les établissements de services financiers (ESF), notamment les banques et les assureurs, doivent relever des défis spécifiques pour garantir la sécurité des applications. Pas Apicella a présenté les principaux obstacles suivants :

• Conformité réglementaire : le respect de réglementations strictes est une exigence fondamentale du secteur financier.

• Intégration de services tiers : l’intégration de systèmes externes par les ESF complexifie le maintien de la sécurité.

• Attaquants chevronnés : le secteur financier est fréquemment ciblé par des attaquants très compétents, qui cherchent à accéder à des données sensibles.

• Complexité des applications : les grands ESF ont souvent des architectures applicatives complexes, ce qui accroît les risques de sécurité.

• Systèmes hérités : les infrastructures obsolètes de nombreuses organisations financières créent des vulnérabilités et freinent les efforts de modernisation.

• Ressources limitées : les équipes de sécurité sont souvent largement en sous-effectif, avec parfois un seul professionnel de la sécurité pour plus de 3 000 développeurs.

• Menaces internes : le risque d’actes malveillants ou accidentels de la part du personnel reste une préoccupation majeure.

• Rythme des mises en production et expérience client sécurisée : concilier des cycles de développement rapides et une sécurité robuste est essentiel pour rester compétitif.

Principaux défis pour les développeurs et les équipes de sécurité

La collaboration entre les développeurs et les équipes de sécurité est essentielle, mais elle est souvent insuffisante en raison de plusieurs difficultés qui entraînent des décalages et des inefficacités. L’absence de contexte partagé constitue un problème majeur : les équipes de sécurité manquent souvent de visibilité sur les projets des développeurs, ce qui crée un décalage entre les équipes.

L’absence de contexte métier et technique essentiel aggrave le problème et complique la hiérarchisation des risques : les équipes ne savent pas toujours quelles conséquences les vulnérabilités peuvent avoir sur l’activité. Par exemple, les risques diffèrent selon qu’ils concernent des applications accessibles au public ou des systèmes internes.

Ce défi est encore plus important dans les grandes banques, où le très grand nombre de vulnérabilités — souvent des centaines de milliers — exige une approche ciblée pour repérer et traiter en priorité les risques les plus urgents.

Principaux points à prendre en compte pour les dirigeants

Pas Apicella a souligné les priorités distinctes des CTO et des CISO, dont les domaines d’attention sont complémentaires. Pour les CTO, les priorités sont l’automatisation, la productivité des développeurs et la facilité d’utilisation, afin que les équipes d’ingénierie puissent adopter facilement les outils de sécurité. De leur côté, les CISO privilégient la conformité, des rapports détaillés et une visibilité en temps réel sur le profil de risque de l’organisation, indispensables à une gouvernance robuste.

Définir la réussite en sécurité des applications

Réussir en sécurité des applications nécessite une stratégie claire et des outils adaptés. Pas Apicella a défini cinq piliers de la réussite :

1. Adoption par les développeurs : les outils de sécurité doivent être faciles à utiliser pour les développeurs et parfaitement intégrés à leurs flux de travail.

2. Confiance dans la sécurité : les organisations doivent pouvoir s’appuyer sur des données de sécurité fiables et à jour.

3. Application des correctifs : les outils doivent proposer des conseils de remédiation concrets pour permettre de corriger efficacement les vulnérabilités.

4. Plateforme complète : des outils unifiés pour les rapports, l’analyse et l’automatisation des politiques réduisent la complexité et améliorent l’efficacité.

5. Écosystème de partenaires : un solide réseau de partenaires technologiques aide les organisations à atténuer les risques dans tous les domaines de la sécurité.

Regarder la présentation complète à la demande

Regardez la présentation complète de Pas Apicella ici.

Contactez-nous pour en savoir plus sur la façon dont Snyk accompagne les organisations du secteur des services financiers, échanger sur vos besoins spécifiques et découvrir des solutions adaptées.

Restez à l’écoute : découvrez bientôt comment Snyk aide le secteur des services financiers à sécuriser l’avenir numérique !