Les banques qui accèdent à SWIFT par un bureau de service plutôt que par leur propre infrastructure ont tendance à supposer que le cadre de sécurité client de SWIFT est le problème de quelqu’un d’autre. Ce n’est pas le cas. Le périmètre est plus petit, mais les contrôles qui restent sont ceux qui comptent le plus.
La situation
Une banque en ligne se connectait au réseau SWIFT par un bureau de service. Son évaluation indépendante annuelle selon le Customer Security Controls Framework arrivait à échéance, et la banque voulait qu’elle soit faite sérieusement plutôt que comme une auto-attestation que personne n’avait vérifiée.
La décision qui fixe le périmètre
Tout dans ce cadre dépend d’un choix fait tôt : le type d’architecture. Choisissez le mauvais et vous évaluez les mauvais contrôles. Avec un bureau de service et aucun logiciel SWIFT local, la bonne réponse était le type sans empreinte utilisateur locale. Le périmètre se réduisait alors à une seule machine virtuelle d’opérateur dans l’environnement cloud de la banque, accessible par VPN et bureau à distance, plus les personnes qui l’utilisaient et les jetons qu’elles détenaient.
Nous avons établi cela en premier, avec un schéma, avant de regarder un seul contrôle. Deux jours ont ensuite suffi pour l’évaluation elle-même.
Ce qui était en place
Plus que ce que l’on attend d’une petite banque. Un inventaire complet des jetons SWIFT, avec numéros de série et dates de remise. Des mots de passe de vingt-quatre caractères. Un coffre de mots de passe tenu par un responsable sécurité nommé. Une sensibilisation tous les six mois. Un plan de réponse à incident visiblement utilisé sur de vrais événements, pas écrit pour l’évaluation.
Ce qui ne l’était pas
Deux des quinze contrôles obligatoires évalués n’étaient pas en place, et tous deux se trouvaient sur la seule machine du périmètre. La machine virtuelle de l’opérateur pouvait naviguer librement sur Internet, et personne ne relisait ses journaux d’événements de sécurité. Une machine à usage général avec une navigation ouverte est exactement ce que les restrictions du cadre sur l’environnement opérateur existent pour empêcher, et une machine que personne ne surveille est une machine dont personne ne remarquera le détournement.
Les deux étaient peu coûteux à fermer : restreindre la navigation à une liste autorisée, et mettre les journaux de la machine devant quelqu’un, avec un calendrier.
Les livrables étaient le rapport d’évaluation, les formulaires d’évaluation propres au cadre, et une lettre d’achèvement avec laquelle la banque pouvait attester.
Dans un modèle externalisé, le poste de l’opérateur est l’environnement SWIFT.
Ce que l’on fait de travers
On suppose que le cadre ne s’applique plus dès que SWIFT est externalisé. Le bureau de service fait tourner le logiciel SWIFT. La banque a toujours un opérateur, un poste, des jetons et un processus, et ceux-là sont dans le périmètre.
On choisit le type d’architecture à la légère. C’est la décision la plus lourde de conséquences de l’évaluation, et elle est généralement prise par celui qui a rempli le formulaire l’année précédente.
On durcit le centre de données et on oublie le PC de l’opérateur. Dans un modèle externalisé, le poste de l’opérateur est l’environnement SWIFT.