Corée du Sud : l'institut de sécurité financière élargit l'audit du cloud

Des consoles à l'ensemble des actifs exposés

Depuis 2023, le FSI recherche des failles dans les systèmes de gestion des ressources virtuelles des fournisseurs. Il entend ainsi pallier les limites des évaluations sur dossier : preuves, inspections sur site et démonstrations. Ce contrôle technique reposait surtout sur les portails et les consoles.

L'institut veut mettre au point une nouvelle méthode pour réduire la surface d'attaque. Il compte aussi recourir à l'intelligence artificielle pour identifier les actifs à contrôler et repérer les vulnérabilités les plus susceptibles d'être exploitées. L'objectif est de rendre les contrôles plus efficaces et plus homogènes.

Pourquoi maintenant

L'institut évoque des cyberattaques de plus en plus sophistiquées, qui exploitent les failles d'actifs exposés. Les établissements financiers dépendent par ailleurs davantage du cloud. Une faille chez un fournisseur pourrait donc provoquer des dommages en cascade chez de nombreux acteurs. L'idée est de détecter ces vulnérabilités latentes en amont pour les faire corriger.

Cette année, le FSI a mené une évaluation pilote auprès de certains fournisseurs. Elle a permis de détecter des failles pouvant entraîner des fuites de données personnelles, ce qui, selon l'institut, confirme l'efficacité de la méthode.

Le principe de l'évaluation CSP : le FSI contrôle la sécurité et les systèmes d'exploitation des fournisseurs à la place des établissements financiers, qui se partagent ensuite les résultats. Un projet de loi sur la sécurité financière numérique doit être élaboré au premier trimestre de l'an prochain. Il vise à étendre les règles de sécurité aux fournisseurs de cloud, entre autres.