Page 30 - Lignes directrices pour l'audit de sécurité des services financiers numériques

4�5�23 Le trafic des applications de DFS connec- à clé publique utilisé? Les critères de sélection des
tées à Internet fait-il l'objet d'un suivi adéquat? algorithmes de chiffrement et des longueurs de clé
4�5�24 Les systèmes de DFS sont-ils soumis à des sont-ils fondés sur des normes publiques et éprou-
tests d'intrusion réguliers? vées? (La publication spéciale du NIST 800-57, par
4�5�25 Le protocole de chiffrement TLS utilisé exemple, propose des orientations concernant les
est-il suffisamment sûr (v1.2 ou supérieures en juil- longueurs de clé minimales pour chaque algorithme
let 2020)? L'application utilise-t-elle les dernières et leur durée de validité.)
versions du protocole TLS? L'application utilise-t-elle 4�6�5 Les algorithmes et les clés de chiffrement
une version obsolète du protocole TLS? utilisés sont-ils suffisamment solides pour protéger
4�5�26 La validation des transactions s'opère-t-elle les codes PIN et les données des utilisateurs?
grâce à l'emploi d'un mot de passe à usage unique? 4�6�6 Des processus sont-ils mis en place pour
limiter le partage de données avec des tiers lors-
4�6 Confidentialité qu'une transaction est en cours?
4�6�1 Les applications des DFS ou des fournisseurs 4�6�7 La procédure de suppression des données
tiers ont-elles recours à la signature numérique? Les liées aux DFS s'appuie-t-elle sur des instructions de
signatures numériques sont-elles protégées par des sécurité?
algorithmes de chiffrement solides et des longueurs 4�6�8 Les données sensibles des utilisateurs, telles
de clé suffisantes? La mise en œuvre des algorithmes que les codes PIN, sont-elles susceptibles d'appa-
de chiffrement est-elle sécurisée, actualisée et suffi- raître dans les journaux d'événements?
samment aléatoire? (Les algorithmes de signature 4�6�9 L'application ou le système d'exploitation
numérique les plus solides comprennent notamment sous-jacent prennent-ils en charge la suppression
les clés RSA, DSA et ECDSA. Les algorithmes de chif- à distance des données des DFS ou de l'appareil
frement sur courbes elliptiques peuvent garantir une mobile, et des mécanismes sont-ils mis en place pour
sécurité équivalente aux autres algorithmes tout en assurer le chiffrement des données en cas de perte
s'appuyant sur des clés plus courtes.) ou de vol?
4�6�2 Des procédures sont-elles mises en place 4�6�10 L'ensemble des données sensibles des utili-
pour garantir la fiabilité et la protection des clés sateurs ont-elles été chiffrées par l'application ou
privées et secrètes? Les certificats et autres infor- le système d'exploitation? La version chiffrée des
mations cryptographiques sont-ils protégés par les données est-elle accessible depuis l'appareil, par
mesures de contrôle du système d'exploitation? exemple dans la mémoire ou dans une mémoire
4�6�3 Le processus de signature numérique est-il tampon temporaire? Toutes les informations sont-
utilisé pour identifier les fournisseurs tiers connectés elles envoyées par l'intermédiaire d'une connexion
aux systèmes de DFS? réseau dotée d'algorithmes de chiffrement solides
4�6�4 Les bibliothèques cryptographiques utili- (voir C17 pour en savoir plus sur ce qui constitue un
sées par le système d'exploitation ou par l'applica- algorithme de chiffrement solide)?
tion sont-elles à jour et correctement conçues et 4�6�11 Les données stockées sur l'appareil et les
mises en œuvre? Ces bibliothèques prennent-elles données communiquées aux systèmes internes de
en charge des suites cryptographiques solides et DFS sont-elles protégées par des algorithmes de
permettent-elles d'empêcher ou de décourager l'uti- chiffrement solides et des mécanismes de protec-
lisation de suites cryptographiques faibles? Les algo- tion de l'intégrité des données tels que l'envoi de
rithmes de hachage utilisés sont-ils toujours adap- codes d'authentification (voir C17 pour en savoir plus
tés et prennent-ils en charge des condensés d'une sur la solidité des algorithmes de chiffrement)? Des
longueur suffisante? (À l'heure actuelle, toute fonc- politiques sont-elles mises en place pour garantir la
tion de hachage antérieure à SHA512 est considérée protection des données sensibles et confidentielles
comme obsolète. Les fonctions MD5 et SHA1 ont des utilisateurs?
été compromises.) Les algorithmes de chiffrement 4�6�12 Les données de test et les comptes d'utilisa-
symétrique sont-ils solides et dotés de longueurs de teurs tests ont-ils été supprimés de l'environnement
clé suffisantes? (L'attaque SWEET-32, par exemple, a de production?
rendu l'algorithme 3-DES obsolète et il est désormais 4�6�13 Les données et les formulaires d'inscription
recommandé d'adopter au plus vite la norme AES, des utilisateurs des DFS sont-ils stockés et transmis
considérée comme sûre.) Dans le cas du chiffre- de manière sécurisée, et protégés contre les fuites de
ment à clé publique, les longueurs de clé choisies données grâce au contrôle d'accès basé sur les rôles
sont-elles adaptées à l'algorithme de chiffrement (RBAC), au chiffrement des données, etc.?

28 Lignes directrices pour l’audit de sécurité des services financiers numériques