Aujourd’hui, la banque mobile est devenue un outil très apprécié d’aide à la gestion des finances personnelles : les utilisateurs peuvent réaliser plus facilement leurs opérations bancaires, et les banques s’appuyer sur des smartphones pour mieux échanger avec leurs clients.
Néanmoins, une récente étude de RateWatch montre que 36 % des clients persistent à ne pas utiliser la banque mobile en raison des risques de sécurité, réels ou supposés. Les établissements financiers n’ignorent pas qu’une expérience utilisateur sécurisée harmonieuse est primordiale, et prennent les devants pour mettre en œuvre des règles et stratégies de sécurité rigoureuses… applicables à leurs services bancaires en ligne classiques.
Mais la banque mobile présente des enjeux qui lui sont propres. Par conséquent, toute tentative d’adapter les outils et l’infrastructure dédiés à la banque en ligne aggraverait considérablement le profil de risque. Des mesures spécifiques aux mobiles doivent être prises en matière de sécurité.
La banque mobile soulève là 5 grandes problématiques :
- Face à la montée en puissance des paiements mobiles et des clés numériques, il est fort probable que les appareils mobiles se substitueront un jour, purement et simplement, aux portefeuilles et aux clés physiques. Concrètement, cela signifie que la sécurité mobile endosse une importance capitale en cas de perte ou de vol d’appareil, mais qu’elle permet également aux banques de faire du mobile un élément phare de leur stratégie d’authentification des utilisateurs, grâce à la diversité des caractéristiques disponibles ― GPS, capteurs de pression et lecteurs biométriques, etc.
- L’usage du mobile a avant tout pour but de proposer aux utilisateurs une expérience constructive. Il est donc plus important que jamais de parvenir à un juste équilibre entre sécurité et expérience utilisateur.
- En règle générale, les appareils mobiles proposent un mode ‘always-on’ pour la messagerie électronique, les SMS et la navigation, ainsi qu’un mode d’utilisation basé sur le mouvement. Ce qui peut inciter les utilisateurs à ouvrir des e-mails et pièces jointes non sollicités, à visiter des sites web jugés non dignes de confiance, à télécharger des applications tierces et à utiliser les mêmes identifiants de connexion sur différentes plateformes. .
- Avec la croissance des recours au Wifi non sécurisées plutôt qu’à des réseaux câblés classiques, les utilisateurs sont plus susceptibles de compromettre par inadvertance la sécurité de leurs équipements.
- Le paysage des menaces mobiles est en pleine mutation, avec des cybercriminels aux méthodes de plus en plus habiles.
Les banques n’ont d’autre choix que de proposer une sécurisation à plusieurs niveaux. Leurs solutions doivent s’adapter aux difficultés susceptibles de se poser d’un bout à l’autre de la transaction, aussi bien en ‘front office’ (interface des clients) qu’en ‘back-office’ (systèmes bancaires qui identifient et facilitent les requêtes des utilisateurs légitimes sur des appareils mobiles), de même qu’au niveau du canal reliant l’un et l’autre.
Les banques doivent privilégier certains critères essentiels dans le choix de leur solution :
- Une solution d’aide intégrée et à plusieurs niveaux
Les solutions qui font appel à une multitude de méthodes d’authentification permettant d’identifier le client et qui assurent une protection de bout en bout : au niveau de l’appareil, de l’application, de la connexion et du serveur ‘back-end’, sont d’ordinaire les plus robustes.
- La capacité de facilement assigner et configurer des méthodes diverses d'identification
C’est-à-dire une solution ultra-configurable, multi-entités, capable d’appliquer tout type de combinaison de méthodes d’authentification à des catégories d’utilisateurs, canaux et divisions bancaires multiples, en fonction du rôle et des règles en vigueur. Cette approche permettra à la banque de réduire ses coûts d’exploitation en gérant l’ensemble de ses besoins d’authentification à partir d’une plate-forme unique, même si elle exerce ses activités via de nombreuses divisions bancaires et entités implantées aux quatre coins du monde. Cette solution permettra également aux clients détenteurs de plusieurs comptes dans un établissement bancaire de se connecter à ceux-ci au moyen d’une méthode d’authentification unique (SSO
- La sécurité des applications mobiles
Les solutions envisageables comprendront, entre autres méthodes de protection des applications mobiles, des fonctions de détection de débogueur, d’émulateur, de fraude et d’obscurcissement de code (code obfuscation).
- La collecte de renseignements pour parer à de potentiels problèmes grâce à une analyse des risques avant et après infiltration du système et des appareils des utilisateurs.
Les meilleures solutions de sécurité sur mobiles anticipent et identifient les menaces potentielles, nouvelles ou non, elles peuvent exploiter des informations contextuelles pour mettre en corrélation l’exposition aux menaces avec les comportements clients escomptés, les configurations d’appareils et le profil des menaces.
- Le renforcement des cadres de conformité.
La conformité aux normes PCI, par exemple, renforce l’entièreté de la chaîne de sécurité applicable à la banque mobile, en réduisant le risque supporté par les banques et en améliorant la confiance côté clients. La solution de banque mobile choisie doit prendre en charge les cadres de conformité de manière intégrée, et non les traiter en tant que compléments.
- Le renforcement de l’authentification sans impacter l’expérience client.
S’il est logique de recourir à l’authentification à deux facteurs (ou davantage) dans le processus de sécurisation de la banque mobile, les utilisateurs refusent de perdre trop de temps à valider leur identité et leurs droits pour pouvoir consulter leur solde ou effectuer un virement. Ces tensions côté utilisateurs peuvent être réduites, sans nuire à la sécurité, en exécutant la plupart des méthodes d’authentification ‘en coulisses’ : l’utilisateur n’est alors sollicité, pour une authentification renforcée, que si cela s’avère absolument nécessaire, en fonction des paramètres de la charte et du profil de risque.
Par Olivier Thirion de Briel, Directeur Marketing Monde des solutions d’identité et de gestion des accès chez HID Global.
