laura louvre
Construire une start-up internationale est une bénédiction : je fais partie de ces chanceux qui ont la chance de vivre une expérience si différente. La même technologie peut permettre des réalisations différentes selon le pays et le contexte culturel. Par exemple, nous avons proposé à nos clients bancaires un complément élégant à notre solution principale : l’authentification basée sur QR. caractéristique. Habituellement, nos clients l’utilisent pour simplifier le processus d’accès à la banque Internet : pas de nom d’utilisateur ni de saisie de données, il suffit de scanner le QR et le tour est joué. Il est facile à utiliser et ajoute de la sécurité lorsque les clients des banques utilisent le réseau public pour accéder au service bancaire par Internet. Quelle surprise j’ai été lorsque je suis arrivé au Vietnam et que j’ai découvert que cette fonctionnalité était largement utilisée dans les cas de guichets automatiques sans carte et n’avait jamais été vue dans le cadre de l’expérience bancaire sur Internet.
Dans le même temps, vous pourrez voir comment les mêmes tâches peuvent être exécutées différemment selon les régions. Dans de nombreux pays asiatiques, l’une des principales tendances bancaires est le paiement QR : les gens scannent le QR pour payer chez les vendeurs ambulants de la malbouffe ou dans un coffeeshop, tandis que dans d’autres pays non asiatiques, pour les paiements rapides, les gens utilisent simplement leur numéro de téléphone portable connecté à une carte. pour envoyer de l’argent.
L’un des points critiques évidents pour la sécurité bancaire est la nécessité d’effectuer une authentification à deux facteurs pour les opérations de connexion et les transferts d’argent via les canaux numériques. Lorsque nous préparions le lancement du produit dans un nouveau pays, nous étions sûrs que tout le monde utilisait les mêmes choses : des jetons durs comme le calculateur de jetons MAC (je les déteste J) et des jetons OTP USB ou SMS. Vous pouvez imaginer à quel point j’ai été surpris lorsque je suis arrivé en Indonésie, où de nombreuses banques utilisent une simple combinaison de Touch ID/Face ID et de mot de passe statique sur les appareils mobiles et vous pouvez même voir des jetons physiques pour les consommateurs utilisant les services bancaires par Internet (ce qui est fou) . Dans le même temps, au Vietnam par exemple, de nombreuses banques ont abandonné leurs services bancaires en ligne et, pour les appareils mobiles, sont passées des SMS OTP aux jetons logiciels OTP intégrés dans l’application bancaire. Je ne parle même pas de la tendance à l’authentification FIDO.
Mais presque tous les pays sont en train de passer d’une authentification basée sur SMS à une authentification non basée sur SMS. Et j’appellerais cela une tendance mondiale en matière de sécurité au sein du BFSI. Vérifier:
- Banque Negara Malaisie a demandé aux institutions financières de cesser d’utiliser SMS OTP comme forme d’authentification pour les activités ou les transactions en ligne connexion
- Afin de prévenir les escroqueries et le phishing, 11 banques commerciales ont cessé d’envoyer des liens SMS à leurs clients, la Banque de Thaïlande (BOT) connexion
- MAS Singapour fixer une date limite à laquelle les banques devront progressivement supprimer les SMS OTP comme seul facteur d’authentification connexion
Autre cas, j’ai eu récemment la chance d’étudier la nouvelle circulaire bancaire sur les exigences de sécurité bancaire Pakistan et j’ai été vraiment surpris : dernièrement, ils ont mis en place une solution absolument judicieuse liée à l’authentification des transactions bancaires. Premièrement, ils ont exclu toute saisie manuelle d’OTP. « Les institutions financières doivent mettre en œuvre une fonctionnalité de récupération ou de remplissage automatique de mot de passe à usage unique (OTP), avec un contrôle contraignant de l’expéditeur limitant la saisie manuelle d’OTP » – j’appelle cela sage comme en réalité tout OTP – Le processus lié la retape ajoute des risques supplémentaires à la sécurité des transactions. Mais ce qui est le plus intéressant dans la nouvelle circulaire au Pakistan, c’est la contrainte relative aux appareils : « Les appareils des clients (tels qu’un ordinateur, un ordinateur portable, une tablette ou un téléphone portable, etc.) doivent être enregistrés à l’aide de l’empreinte digitale de l’appareil/du couplage d’appareils pour authentifier l’accès du client. La fonctionnalité de gestion des appareils par les clients dans leur application bancaire/mobile par Internet sera également fournie.
De ce point de vue, c’est pour moi un réel plaisir de voir que l’adoption d’une tendance technologique majeure peut se produire non seulement dans un haut lieu high-tech bien connu. Et au-delà de cela, c’est un plaisir de voir qu’il y a 5 ans les analystes de McKinsey mentionnaient tous ces principes dans leurs rapports – les mêmes principes que nous utilisons dans notre solution – et que maintenant ces principes sont devenus une norme de facto non pas dans un pays ou une région mais dans différents pays du monde.
Est-ce une nouvelle tendance en matière de cybersécurité ? Je ne sais pas mais j’aime vraiment ça.
