La connectivité et les connaissances sont les pierres angulaires de notre société numérique en plein essor. Tant les utilisateurs d'applications mobiles que les entreprises qui les gèrent bénéficient sans cesse des communications bidirectionnelles qui permettent d'offrir, d'améliorer et d'étendre les services.

Dans cet esprit de connectivité, les entreprises telles que les institutions financières ne devraient plus hésiter à surveiller de manière proactive et cohérente ce que font leurs applications sur les appareils non gérés des consommateurs ou des utilisateurs.

Pourquoi les banques doivent-elles prendre plus au sérieux la surveillance des applications mobiles ?

Il est évident que les banques ont l'énorme responsabilité de se conformer aux lois et réglementations relatives à la protection de la vie privée et des informations des clients. L'autocontrôle d'une application pour détecter les attaques n'est pas la même chose que la surveillance d'un appareil géré ou des activités de l'utilisateur. Les observations sont basées sur l'établissement d'une liste blanche et l'ignorance de toutes les actions légitimes, ce qui constitue une distinction importante.

Et pour réitérer cette distinction, les smartphones appartenant à l'employeur, par exemple, peuvent être entièrement surveillés sans que l'on s'attende à ce qu'ils respectent la vie privée. Ces solutions de surveillance doivent avoir une vision globale pour comparer toutes les activités aux profils d'attaque connus.

Une banque qui propose simplement une application à télécharger peut surveiller en toute confiance les actions de cette instance qui appartiennent à la catégorie d'attaque de l'application sans entrer dans le domaine des informations privées ou des préoccupations relatives à la vie privée. Il n'y a pas de "big brother". Au lieu de cela, ils se contentent d'examiner leur propre offre, limitée aux schémas d'utilisation illégitimes, et non les données extérieures. Toutes les données collectées sont ciblées et anonymisées, un point c'est tout.

Les avantages liés à l'obtention de renseignements sur les comportements suspects des applications, sur le moment où ils se produisent, etc., permettent aux entreprises de maintenir une posture de cybersécurité beaucoup plus solide, capable d'identifier les menaces et d'y remédier avant qu'elles ne causent beaucoup de tort, voire aucun, à l'application ou à l'entreprise qui lui est liée. Cela n'est dû qu'à l'interconnexion de l'écosystème des applications mobiles.

De nombreuses autres industries et secteurs ont adopté la surveillance des applications mobiles pour répondre au besoin d'une entreprise la plus protégée et la mieux informée possible. Qu'il s'agisse d'applications de paiement, d'applications de vente au détail ou de bien d'autres encore, ils tirent profit d'une connaissance approfondie des activités de leurs applications, minute par minute, même sur un appareil non géré. Il n'y a aucune raison pour qu'une banque ne puisse pas bénéficier des mêmes avantages.

Les préoccupations typiques d'une banque en termes de conformité et de risque

Toutes les exigences et règles de conformité connues depuis des années sont probablement à l'origine de l'hésitation actuelle des banques à se connecter à chaque instance d'application mobile, sans parler d'un fournisseur tiers de cybersécurité. Elles sont également très habituées à garder les choses en main et ne veulent rien faire qui puisse les mettre à la merci d'un fournisseur de sécurité ou d'une autre entité.

Les principales préoccupations sont souvent les suivantes :

- GDPR

Les banques pourraient craindre que les données collectées par une solution de cybersécurité ne soient pas conformes. Elles peuvent également craindre que leurs utilisateurs ou clients ne fournissent pas les autorisations nécessaires. 

Toutefois, compte tenu de l'expérience acquise dans d'innombrables autres secteurs, il s'est avéré que les autorisations et les préoccupations relatives aux données n'ont pas entravé la vie privée des entreprises ou des utilisateurs.

- Perte de contrôle

Au départ, les banques peuvent penser qu'il n'est pas sûr, par exemple, de fournir à un fournisseur tiers de cybersécurité leur paquet Android au cours du processus de sécurisation de leur application. Toutefois, cela devient un mythe lorsqu'il est souligné que les banques téléchargent constamment leurs applications non protégées dans les magasins d'applications. 

Il n'y a aucune différence, si ce n'est qu'en fournissant leur APK à leur fournisseur de sécurité, ils deviennent plus sûrs, contrairement à leur décision de fournir l'application non sécurisée au public ou au magasin d'applications.

- Espionnage

Les banques ne veulent pas créer un scénario dans lequel les mesures de cybersécurité qu'elles emploient pourraient être utilisées contre elles par des concurrents ou des acteurs malveillants. Étant donné que toutes les données sont anonymisées et bénéficient d'une séparation solide, ce problème ne se pose pas avec des solutions telles que Verimatrix XTD. En outre, toutes les mesures de lutte contre les menaces dont dispose la banque restent au sein de la banque et sous son contrôle.

Les perceptions susmentionnées figurent parmi les principales hésitations qui semblent encore conduire à proposer autant d'applications bancaires non protégées aujourd'hui.

Les banques devraient utiliser les solutions Extended Threat Defense (XTD) pour la surveillance des applications mobiles.

La plupart des banques d'aujourd'hui ne profitent pas de l'intelligence et de la proactivité associées à la surveillance de leurs applications. En effet, grâce à cette surveillance, les banques sont souvent en mesure de recevoir des indications très précoces sur les menaces qui pèsent sur leurs applications et de se préparer en conséquence.

L'ironie est que la plupart des banques utilisent des services de détection et de réponse étendus (XDR) proposés par des fournisseurs de confiance tels que Palo Alto Networks et CrowdStrike, qui offrent une protection globale contre les cyberattaques, les accès non autorisés et les utilisations abusives de toutes les sources de données. 

D'autres banques utilisent des solutions de détection et de réponse (EDR) de fournisseurs tels que SentinelOne et Sophos, qui sont des solutions de sécurité des points d'accès qui surveillent les appareils des utilisateurs finaux afin de détecter les cybermenaces et d'y répondre. Les fournisseurs de solutions EDR et XDR collaborent avec les plus grandes banques du monde pour recueillir des données sur les terminaux et d'autres données télémétriques, et pour contrôler et partager ces données avec leurs clients. Cela montre bien comment fonctionnent les solutions de cybersécurité modernes d'aujourd'hui.

Les banques peuvent et doivent être les maîtres d'œuvre de la sécurité de leurs applications mobiles. Mais la télémétrie in-app au niveau de l'appareil et le partage de renseignements sur les menaces sont les directions que prennent la protection des applications et l'industrie mobile threat defense .

En prenant des mesures précoces et cohérentes, les banques n'ont plus à attendre qu'un laboratoire identifie une nouvelle vague de menaces pour une application mobile, ce qui nécessite la mise en œuvre d'une nouvelle analyse basée sur les signatures. 

Solutions étendues Threat Defense comme Verimatrix XTD fonctionnent comme les principales solutions XDR et EDR du marché, apportant une protection, une détection, une réponse et des capacités de prédiction fiables à l'écosystème des applications mobiles, au bénéfice des banques et des industries.