Evidian

Réduire lesrisques opérationnels
des services
financiersContrôler les risques opérationnels grâce
au management des identités et des accès

Réduire les risques opérationnels
Dans le secteur financier, la protection
des données constitue un véritable enjeu
stratégique. Les risques opérationnels
ont pris une importance considérable
dans un contexte né de la dérégulation,
de l’imbrication des acteurs, du volume
croissant des capitaux manipulés et de lasophistication des produits financiers.
En rationalisant les accès aux données
sensibles et en gérant de manière structuréeet cohérente les accès et les identités, lesentreprises bancaires et financières peuvent
réduire fondamentalement leur exposition
aux risques opérationnels.
Dans un contexte sensible, la gestion
des procédures de sécurité d’accès
aux applications doit être renforcée etsimplifiée. Une gestion proactive du risqueopérationnel permet un gain de productivité
et une sécurité accrue sur l’ensemble de vos
domaines financiers.

02

Des solutions pour diminuer
vos risques opérationnels
Au niveau de la législation, nous pouvonsnous référer à la réglementation de laFederal Reserve’s Operations and Systems
Risk (Gestion des Systèmes d’Information) –Enquête de Contrôle Interne – Article 2040.4.
L’accès aux systèmes automatisés est-il
adéquatement protégé ?
• Les droits d’accès, mots de passe et
identifiants de connexion protègent-ils les
bases de données clés contre
la corruption ?
• Les commandes « écrire ou éditer »sont-elles restreintes à un nombre limitéd’individus ?
• Des commandes spécifiques sontelles assignées à un groupe réduit
d’individus ? Les droits d’accès sont-ils
vérifiés périodiquement ?
• Le système dispose-t-il d’un rapport d’audit
pour contrôler les accès des utilisateurs ?
• Les informations liées aux connexions
sont-elles stockées dans les rapports poursoutenir les pistes d’audit ?

La gestion des risques bancaires va bienau-delà des domaines classiques de risquesde crédits ou risques de marché. Une grandepartie des risques opérationnels concernel’accès à des données informatiques par despersonnes physiques.
L’offre modulaire Evidian Access
Management facilite la gestion des risquesopérationnels en structurant les identités, lesrôles et les accès aux applications sensibles
utilisées dans les systèmes informatiquesbancaires.

Evidian, fournisseur de solutions
sécurisées de gestion desidentités et des accès
Evidian est le leader européen
sur ce segment. Cette offre a été
désignée « Leader » par les analystes
de KuppingerCole.
Avec Evidian Access Management, unesociété bancaire et financière peut maîtriser
de bout en bout sa chaîne de gestion desaccès : des accès utilisateurs internes auxaccès utilisateurs externes et des terminaux
gérés à ceux non gérés. La solution Evidian
permet de faciliter et de contrôler l’accès àl’entreprise « étendue » pour les employés,les partenaires et les clients.
Avec Evidian Identity and AccessGovernance, il est possible de définir etd’appliquer une politique basée sur les rôleset les modèles de risques qui sépare lestâches, assurant ainsi la confidentialité etl’intégrité des données. De cette manière,
l’entité financière s’assure en permanenceque seules les bonnes personnes accèdent
aux bonnes ressources avec les bons droits
et pour les bonnes raisons professionnelles.
La solution Evidian offre la possibilité decertifier le respect des réglementations
et l’implication des employés utilisant lesprocédures de l’entreprise.

Contrôler la fraude interne« L’accord de Bâle III introduit les risquesopérationnels dans l’évaluation des exigences
minimales de fonds propres des banques ».
Evidian offre une gamme complète desolutions pour une gestion optimale desrisques dans les banques d’investissement
et les salles de marchés, réduisant les risquesopérationnels grâce à l’authentification
multiple sécurisée –authentification unique–facile à vérifier et aux rapports d’accès.

Salles de marché
Les salles de marché sont inscrites dans unenvironnement risqué, aussi bien à traversles données et applications « sensibles »en jeu, que par les positions spéculatives
prises en salle de marché. Les opérations
effectuées sont étroitement surveillées etcontrôlées en back office. Mais comments’assurer de l’identité réelle de ceux qui
effectuent ces opérations ?
Le travail des traders constitue un véritableenjeu stratégique pour une banque. Leurrôle clé dans la salle des marchés nécessite
une attention constante et une bonne
gestion du stress. Leur activité est maîtrisée,pilotée et contrôlée de façon précise.
Pourtant, le contrôle des identités est
souvent un maillon faible car la multiplicationde périphériques d’identification diminuerait
la productivité des traders.
Dans les salles de marchés, les bureaux destraders sont caractérisés par la nécessitéd’utiliser des « grappes » de stations detravail avec plusieurs écrans leur permettant
d’accéder aux applications disponibles
localement ou dans le cloud.
Le partage des accès aux applications (lescomptes) et aux postes de travail est uncomportement courant chez les traders mais
il introduit plusieurs risques opérationnels.
Les principaux risques opérationnels sont :• Des accès fragilisés par des mots de passe
trop faibles : même s’ils sont changés
régulièrement, beaucoup de traders dansles banques utilisent encore #Password1
pour se connecter à leurs applications lesplus utilisées, et choisir #Password2 nechangera rien à ce risque.
• Une traçabilité insuffisante des accès
utilisateurs aux postes de travail,applications et comptes : les outils
analytiques utilisent les données en ligne
et les historiques pour fournir des KPIs,
analysant et contrôlant les processus,
et contribuant à l’optimisation desprocédures et de la politique de sécurité.
Une identification et une vérification
personnelles permettent d’établir un audit
fiable, sans risque de répudiation.

Professionnels malhonnêtes
Quelles mesures les banques ont-elles prises
pour protéger les activités de la salle desmarchés contre les opérations frauduleuses ?
Entre autres, les exigences de sécurité lesplus courantes concernent la maîtrise desrisques et de l’informatique, la ségrégation
des tâches, l’examen interne, l’audit et lereporting, la certification périodique desdroits, une politique et un contrôle forts, lesprocédures, ainsi que la supervision de lahaute direction.

• Des mots de passe divulgués entre
employés, le libre accès aux sessions del’utilisateur (bureaux, postes de travail,applications accessibles sans aucune
possibilité d’identifier la personne ni
de restreindre les privilèges), l’absencede systèmes « préventifs » malgré leurimportance capitale pour la gestion
des risques.

Title of the document text03

L’authentification multiple pour contrôler et faciliter les accès des traders
Evidian Access Management pour les sallesde marchés est spécialisé dans les solutions
d’authentification et de gestion des accès
utilisées principalement dans les grandes
institutions financières comme les banques,les bourses et les sociétés d’investissement.
Avec la solution Evidian, une seuleauthentification forte (carte à puce, carte deproximité, biométrie, mot de passe à usage
unique, smartphone, etc.) suffit à un trader
pour accéder à l’ensemble de ses moniteurs,
serveurs et applications financières.
Lorsque le trader s’identifie, toute sa« grappe » d’écrans s’active et lui permetd’accéder à ses applications. Et quand il retiresa carte, ses écrans deviennent inaccessibles.

Cependant, ses applications financières
peuvent toujours être surveillées par d’autres
collègues grâce au verrouillage transparent.
La solution Evidian offre la même expérienceutilisateur avec l’authentification biométrique,l’authentification « tap and go » avec une
carte de proximité, et tout autre moded’authentification compatible avec Windows.

Une seule authentification par mot de passe, carte à puce, biométrie, mot de passe à usage unique,smartphone... est nécessaire pour ouvrir la session Windows. Une seule action est nécessaire pourverrouiller les sessions Windows sur tous les postes de travail.

Une solution conçue pour la productivité des traders
Evidian a élaboré ses solutions de sécuritédes accès et de maîtrise des risques avec
de nombreuses banques internationalesd’investissement et de gestion de
patrimoine. L’expérience d’Evidian lui apermis de prendre en compte les scénarios
quotidiens de la vie réelle, permettant

04

aux traders de travailler en toute sécurité,
tout en augmentant leur efficacité et leurproductivité avec une nette amélioration del’expérience utilisateur.
Ainsi, le logiciel Evidian authentifie l’utilisateur
et affiche son environnement applicatif.

Ce système simplifie l’organisation
quotidienne du trader et permet un contrôle
total de l’utilisateur et du lieu de la tentatived’accès au système et aux applications.

Access a delegated session

Delegate a session

Une seule action est nécessaire pour déléguer une des sessions au sein de la grappe de PC.

De plus, un trader peut déléguer ou partager
tout ou partie de sa grappe de PC avec
un assistant, un collègue ou le support,sans devoir fermer puis rouvrir sa session
Windows.

en toute sécurité une partie ou l’ensemble desa grappe de PC. Un collègue peut ensuite
attacher les ordinateurs disponibles à sa
propre grappe de PC et ouvrir de nouvelles
sessions Windows.

d’incidents opérationnels générateursde pertes. Reposant sur le référentiel deMicrosoft Active Directory, la solution estéconomique et ne nécessite pas de créer un
référentiel spécifique.

L’accès à la session Windows et aux
applications peut être délégué, de manière
permanente ou temporaire, avec desrestrictions pour le(s) compte(s) de(s)l’application(s). Aussi, un trader peut détacher

Tous les événements d’accès sont stockés
dans une base de données, qui peut êtreutilisée pour vérifier les accès aux ordinateursde la grappe et aux applications. La solution
Evidian contribue à diminuer le nombre

La solution Evidian est basée sur une
configuration standard du logiciel : vousn’avez pas besoin de développer ou modifier
des applications, ni même d’introduire descomposants matériels et des dispositifs dans
votre domaine.

Access the session

Attach a workstation
Detach a workstation

Une seule action est nécessaire pour détacher un poste de travail et permettre à un collègue d’y accéder

Title of the document text05

Services financiers en ligne etréseaux de succursales

par des applications sur smartphone, Grid
card, Evidian QRentry…

Le nombre croissant de services financiers
sur internet et de réseaux de succursales
répartis sur plusieurs zones géographiques
impose des contraintes en matière degestion des accès pour les employés,partenaires et clients.

Simplifier et renforcer votre
politique de sécurité• Comment s’assurer que votre politique desécurité est bien appliquée ?
• Comment gérer les comptes applicatifs demilliers d’employés ?
• Comment laisser les succursales gérer
leurs propres utilisateurs de manière
sécurisée ?
• Quelle procédure mettre en œuvre poursécuriser et simplifier l’arrivée de nouveaux
utilisateurs ?

Gérer les accès dans les agences
Le personnel des agences pense souvent
que les règles de sécurité, de plus enplus exigeantes, sont contraignantes. En
réponse, Evidian Access Management
simplifie et rationalise la sécurité d’accès
en se substituant à l’utilisateur lors del’authentification applicative. Désormais, lesemployés se conforment naturellement à lapolitique de sécurité.
A partir d’une console centrale, lesadministrateurs modifient, suppriment ou
ajustent les droits d’accès. Ils les attribuent enfonction du rôle des employés dans l’agence,
en respectant les contraintes de séparation
des tâches.
Un circuit (workflow) d’approbation intégré auprovisionnement des applications automatise
les autorisations et accélère la disponibilité
des applications.
Les événements d’accès sont stockés defaçon centralisée pour faciliter les audits.

Services en ligne sécurisés etaccès mobiles
Avec Evidian Access Management, lesutilisateurs accèdent en toute sécurité à
l’entreprise étendue (applications locales,
Cloud et SaaS), en utilisant la fédération
d’identité basée sur les protocoles standards
de l’industrie comme le SAML, l’OAUTH,
l’OpenID Connect et l’identité sociale.
La solution permet nativement de définir
des politiques d’authentification adaptatives
avec des méthodes innovantes améliorant leniveau de sécurité requis pour se connecter
aux services sensibles.
Les méthodes d’authentification prises encharge sont : mots de passe, certificats, cartes
à puce, cartes de proximité, mots de passe àusage unique délivrés par SMS, par email ou

06

Avec la suite IAM Evidian, le management desidentités devient courant et systématique,ce qui rend les procédures de contrôle plus
faciles à maintenir et documenter.
Lors de mouvements de personnel(embauches, mutations, départs), la suite
IAM Evidian peut déclencher la création ou lasuppression de comptes. Ces derniers sontattribués de telle sorte que la convergence
est facilitée entre les droits d’applications etvotre politique de sécurité. Les responsables
des applications sont soulagés des tâches
répétitives et propices aux erreurs.

le responsable a approuvé la demande, lecompte est activé automatiquement pour lapériode requise.
La solution Evidian permet à l’entreprised’avoir des utilisateurs finaux, des responsables
opérationnels et des agents de sécurité
responsables des processus de gestion desidentités et des droits d’utilisation.
L’efficacité de la politique de sécurité est
mesurable à tout moment, par exemple
en déterminant les applications réellement
utilisées par un profil d’employés. Par
conséquent, vous pouvez régulièrement
optimiser vos procédures de sécurité.

Déléguer aux agences etpartenaires la gestion de leursutilisateurs de manière sécurisée

La suite IAM Evidian met en œuvre
des procédures critiques telles que ledéprovisionnement de comptes et laséparation des tâches basée sur les rôles.
Les comptes inutilisés sont détectés etsi nécessaire, supprimés. De plus, l’audit
centralisé vous indique précisément qui dansl’agence a utilisé un compte générique.

Ouvrir les services financiers en ligne aux
agences et partenaires implique de gérer
les utilisateurs et leurs droits dans lesorganisations qui pourront accéder aux
services. La suite IAM Evidian vous permetde déléguer cette gestion, de manière
sécurisée, aux personnes adéquates danschaque organisation.

Lors d’un mouvement de personnel,
le circuit d’approbation de la suite IAM
Evidian informe par email la hiérarchie. Les
responsables peuvent ensuite approuver
ou rejeter l’attribution des nouveaux droits
en seulement quelques clics. Une fois que

En mettant en œuvre une politiquesécurisée de gestion des utilisateurs,chaque requête devra être validée parle correspondant identifié dans chaqueorganisation et, une fois définie, validée aussi
par un responsable central.

Avec cette procédure, la gestion desutilisateurs dans les agences et chezles partenaires peut être déléguée au
responsable le plus proche sans prendre
aucun risque.

Faciliter l’arrivée de nouveaux
utilisateurs de manière sécurisée
Afin de simplifier l’arrivée prévue denouveaux employés ou utilisateurs dansles agences ou chez les partenaires, lescomptes peuvent être créés à l’avance enmode désactivé. A la date prévue d’arrivée,ou même parfois avant, le processus

d’activation proposé par la suite IAM Evidian
informera cette personne qu’elle doit activer
son compte via un lien temporaire envoyé
par email. En cliquant sur ce lien, l’utilisateur
peut définir son mot de passe pour accéderau système, ce qui active également soncompte et ses applications. L’utilisateur estprêt à travailler.
Bien sûr, ce mot de passe doit respecter unformat défini par l’entreprise. Par ailleurs,
ce processus peut aussi être associé àl’activation d’un dispositif d’authentification
forte, auparavant donné à l’utilisateur.

EvidianBasé sur près de 20 ans d’expérience, Evidian
est l’offre de gestion des identités et des accès(IAM) d’Atos.
Plus de 5.000.000 d’utilisateurs actifs
se connectent quotidiennement à leursapplications métiers en utilisant une solution
logicielle Evidian. Evidian est la solution
de gestion des identités et des accès dedouzaines de banques et assurances
aux Etats-Unis, en Europe, Afrique,Asie et Moyen-Orient. Ces entreprises
respectent ainsi leurs exigences légales
de confidentialité et d’intégrité, rendent
leurs employés efficaces et autonomes etaméliorent le service aux clients.

Title of the document text07

BrochureÀ propos d’Evidian
Evidian est la suite logicielle de gestion des identités etdes accès (IAM), d'Eviden.
Evidian IAM est le leader européen des logiciels de gestion des identités et des accès, avec une présence enpleine croissance en dehors du continent européen etnotamment aux Etats-Unis et au Japon.

CT_191021_LPM_Evidian_BR_Finance_Banking_fr

Plus de 5.000.000 d’utilisateurs dans plus de 900 organisations dans le monde entier se connectent tous lesjours à leur entreprise et gèrent leurs droits d’accès avec
les solutions de gestion des identités et des accès d’Evidian.

Plus d’information : evidian.com© Eviden. Evidian est une marque déposée, propriétéd'Eviden. Tous les produits, noms, marques et autres éléments, cités dans ce document appartiennent à leurs propriétaires respectifs et peuvent être protégés au titre des lois etrèglements régissant la propriété intellectuelle. Evidian se réserve le droit de modifier les caractéristiques de ses produitssans avis préalable.