Page 51 - Cadre de garantie de la sécurité des services financiers numériques

8�14 Menace: attaques zero-day
Ce sous-ensemble de menaces liées aux logiciels malveillants est considéré avec une attention particulière,
car les moyens traditionnels de protection contre les logiciels malveillants sont inefficaces contre une menace
inédite.

Entité affectée Risques et vulnérabilités Mesures de contrôle
Le risque d'accès non autorisé aux don- M109: Les MNO et les fournisseurs de DFS et de services de
nées confidentielles des utilisateurs et paiement doivent appliquer des correctifs à leurs systèmes
de modification non autorisée de don- pour se mettre au niveau des dernières versions proposées
nées utilisateur est dû à la vulnérabilité par l’éditeur et se défendre contre les attaques qui ont été
MNO, fournis- suivante: créées à partir de vulnérabilités plus anciennes.
seurs de DFS et - Découverte de nouveaux exploits M110: Les fournisseurs et les MNO doivent mettre au point
fournisseurs tiers contre les systèmes existants et inca- des plans d’urgence en collaboration avec les éditeurs, afin
pacité à déployer des solutions pour de bénéficier rapidement de correctifs et de mesures de
combattre ces exploits (DS: confi- correction en cas d’attaque de type zero-day. Cette straté-
dentialité des données, contrôle des gie repose notamment sur un usage avisé des procédures
accès, disponibilité) de sauvegarde.

8�15 Menace: appareils non autorisés
Les périphériques non autorisés peuvent représenter une menace pour l'infrastructure de réseau des DFS.

Entité affectée Risques et vulnérabilités Mesures de contrôle
Les risques de fraude et de modification M111: Les MNO doivent assurer le suivi des appareils utilisés
des données sont dus à la vulnérabilité pour se connecter ou accéder au système de DFS afin de
suivante: s’assurer que ces appareils bénéficient des derniers correc-
MNO - Connexion d’appareils non sécurisés à tifs et d’un logiciel antivirus à jour, qu’ils sont analysés pour
l’infrastructure des DFS (DS: intégrité détecter la présence d’outils de dissimulation d’activité
des données) (rootkits) et d’enregistreurs de frappe et qu’ils ne prennent
pas en charge la fonction d’extension de réseau.

Cadre de garantie de la sécurité des services financiers numériques 49