Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Point de vue des services financiers : sécurité, confidentialité et conformité

Last reviewed 2026-10-28 UTC

Ce document du Well-Architected FrameworkGoogle Cloud : perspective des services financiers présente les principes et recommandations permettant de répondre aux exigences de sécurité, de confidentialité et de conformité des charges de travail des services financiers dans Google Cloud. Les recommandations vous aident à créer une infrastructure résiliente et conforme, à protéger les données sensibles, à maintenir la confiance des clients, à naviguer dans le paysage complexe des exigences réglementaires et à gérer efficacement les cybermenaces. Les recommandations de ce document sont conformes au pilier de sécurité du Well-Architected Framework.

La sécurité du cloud computing est une préoccupation majeure pour les organisations de services financiers, qui sont très attrayantes pour les cybercriminels en raison des grandes quantités de données sensibles qu'elles gèrent, y compris les informations sur les clients et les documents financiers. Les conséquences d'une brèche de sécurité sont exceptionnellement graves, y compris des pertes financières importantes, des dommages à long terme sur la réputation et des amendes réglementaires importantes. Par conséquent, les charges de travail des services financiers nécessitent des contrôles de sécurité stricts.

Pour garantir une sécurité et une conformité complètes, vous devez comprendre les responsabilités partagées entre vous (les organisations de services financiers) et Google Cloud. Google Cloud est responsable de la sécurisation de l'infrastructure sous-jacente, y compris de la sécurité physique et de la sécurité réseau. Vous êtes responsable de la sécurisation des données et des applications, de la configuration du contrôle des accès, ainsi que de la configuration et de la gestion des services de sécurité. Pour vous aider dans vos efforts de sécurité, l'écosystème de partenairesGoogle Cloud propose des services gérés et d'intégration de la sécurité.

Les recommandations de sécurité de ce document sont mappées aux principes fondamentaux suivants :

Implémenter la conception sécurisée

Les réglementations financières telles que la norme PCI DSS (Payment Card Industry Data Security Standard), la loi Gramm-Leach-Bliley (GLBA) aux États-Unis et diverses lois nationales sur la protection des données financières exigent que la sécurité soit intégrée aux systèmes dès le départ. Le principe de sécurité dès la conception met l'accent sur l'intégration de la sécurité tout au long du cycle de vie du développement afin de minimiser les failles dès le départ.

Pour appliquer le principe de sécurité dès la conception à vos charges de travail de services financiers dansGoogle Cloud, tenez compte des recommandations suivantes :

Assurez-vous que seules les autorisations nécessaires sont accordées en appliquant le principe du moindre privilège via un contrôle des accès basé sur les rôles (RBAC) précis dans Identity and Access Management (IAM). L'utilisation du RBAC est une exigence clé dans de nombreuses réglementations financières.
Appliquez des périmètres de sécurité autour de vos services et données sensibles dans Google Cloud à l'aide de VPC Service Controls. Les périmètres de sécurité permettent de segmenter et de protéger les données et les ressources sensibles, et d'empêcher l'exfiltration de données et les accès non autorisés, conformément aux réglementations.
Définissez les configurations de sécurité en tant que code à l'aide d'outils d'infrastructure as code (IaC) tels que Terraform. Cette approche intègre des contrôles de sécurité dès la phase de déploiement initiale, ce qui permet d'assurer la cohérence et l'auditabilité.
Analysez le code de votre application en intégrant des tests statiques de sécurité des applications (SAST) dans le pipeline CI/CD avec Cloud Build. Établir des contrôles de sécurité automatisés pour empêcher le déploiement de code non conforme.
Fournissez une interface unifiée pour les insights de sécurité à l'aide de Security Command Center. L'utilisation de Security Command Center permet une surveillance continue et une détection précoce des erreurs de configuration ou des menaces susceptibles d'entraîner des violations de la réglementation. Pour répondre aux exigences de normes telles que ISO 27001 et NIST 800-53, vous pouvez utiliser des modèles de gestion de la stratégie.
Suivez la réduction des failles identifiées dans les déploiements en production et le pourcentage de déploiements IaC qui respectent les bonnes pratiques de sécurité. Vous pouvez détecter et afficher les failles et les informations sur la conformité aux normes de sécurité à l'aide de Security Command Center. Pour en savoir plus, consultez Failles identifiées.

Implémenter le modèle zéro confiance

Les réglementations financières modernes mettent de plus en plus l'accent sur la nécessité de contrôles d'accès stricts et d'une vérification continue. Ces exigences reflètent le principe de confiance zéro, qui vise à protéger les charges de travail contre les menaces et les acteurs malveillants internes et externes. Le principe zéro confiance préconise la vérification continue de chaque utilisateur et de chaque appareil, ce qui élimine la confiance implicite et limite les mouvements latéraux.

Pour mettre en œuvre le modèle de confiance zéro, tenez compte des recommandations suivantes :

Activez l'accès contextuel en fonction de l'identité de l'utilisateur, de la sécurité de l'appareil, de l'emplacement et d'autres facteurs en combinant les contrôles IAM avec Chrome Enterprise Premium. Cette approche garantit une vérification continue avant d'accorder l'accès aux données et aux systèmes financiers.
Fournissez une gestion des identités et des accès sécurisée et évolutive en configurant Identity Platform (ou votre fournisseur d'identité externe si vous utilisez la fédération des identités des employés). Configurez l'authentification multifacteur (MFA) et d'autres contrôles essentiels pour mettre en œuvre le modèle Zero Trust et assurer la conformité réglementaire.
Implémentez l'authentification multifacteur pour tous les comptes utilisateur, en particulier ceux qui ont accès à des données ou des systèmes sensibles.
Facilitez les audits et les enquêtes liés à la conformité réglementaire en mettant en place une journalisation et une surveillance complètes de l'accès des utilisateurs et de l'activité réseau.
Activez la communication privée et sécurisée entre les services dans les environnementsGoogle Cloud et sur site sans exposer le trafic à l'Internet public à l'aide de Private Service Connect.
Mettez en œuvre des contrôles d'identité précis et autorisez l'accès au niveau de l'application à l'aide d'Identity-Aware Proxy (IAP) plutôt que de vous appuyer sur des mécanismes de sécurité basés sur le réseau, tels que les tunnels VPN. Cette approche permet de réduire les mouvements latéraux au sein de l'environnement.

Implémenter la sécurité Shift Left

Les régulateurs financiers encouragent les mesures de sécurité proactives. L'identification et la correction des failles au début du cycle de vie du développement permettent de réduire le risque d'incidents de sécurité et le risque de pénalités pour non-conformité. Le principe de la sécurité "shift-left" favorise les tests et l'intégration de sécurité précoces, ce qui permet de réduire le coût et la complexité de la correction.

Pour mettre en œuvre la sécurité shift-left, tenez compte des recommandations suivantes :

Assurez des contrôles de sécurité automatisés dès le début du processus de développement en intégrant des outils d'analyse de sécurité, tels que l'analyse des failles des conteneurs et l'analyse de code statique, dans le pipeline CI/CD avec Cloud Build.
Assurez-vous que seuls les artefacts sécurisés sont déployés en utilisant Artifact Registry pour fournir un répertoire central sécurisé pour les packages logiciels et les images de conteneurs avec analyse des failles intégrée. Utilisez des dépôts virtuels pour limiter les attaques par confusion de dépendances en donnant la priorité à vos artefacts privés par rapport aux dépôts distants.
Analysez automatiquement les applications Web pour détecter les failles courantes en intégrant Web Security Scanner, qui fait partie de Security Command Center, dans vos pipelines de développement.
Mettez en œuvre des contrôles de sécurité pour le code source, le processus de compilation et la provenance du code à l'aide du framework SLSA (Supply-chain Levels for Software Artifacts). Appliquez la provenance des charges de travail qui s'exécutent dans vos environnements à l'aide de solutions telles que l'autorisation binaire. Assurez-vous que vos charges de travail n'utilisent que des bibliothèques de logiciels Open Source vérifiées à l'aide d'Assured Open Source Software.
Suivez le nombre de failles identifiées et corrigées au cours de votre cycle de vie de développement, le pourcentage de déploiements de code qui réussissent les analyses de sécurité et la réduction des incidents de sécurité causés par des failles logicielles. Google Cloud fournit des outils pour vous aider à suivre ces métriques pour différents types de charges de travail. Par exemple, pour les charges de travail conteneurisées, utilisez la fonctionnalité d'analyse de conteneurs d'Artifact Registry.

Implémentation d'une cyberdéfense préemptive

Les institutions financières sont des cibles privilégiées pour les cyberattaques sophistiquées. Les réglementations exigent souvent des renseignements solides sur les menaces et des mécanismes de défense proactifs. La cyberdéfense préemptive se concentre sur la détection et la réponse proactives aux menaces à l'aide d'analyses avancées et de l'automatisation.

Tenez compte des recommandations suivantes :

Identifiez et atténuez de manière proactive les menaces potentielles en utilisant les services de renseignement sur les menaces, de réponse aux incidents et de validation de la sécurité de Mandiant.
Protégez les applications Web et les API contre les failles Web et les attaques DDoS à la périphérie du réseau à l'aide de Google Cloud Armor.
Regroupez et hiérarchisez les résultats et les recommandations de sécurité à l'aide de Security Command Center, qui permet aux équipes de sécurité de gérer de manière proactive les risques potentiels.
Validez les défenses préventives et les plans de réponse aux incidents en effectuant régulièrement des simulations de sécurité et des tests d'intrusion.
Mesurez le temps nécessaire pour détecter les incidents de sécurité et y répondre, l'efficacité des efforts d'atténuation des attaques DDoS et le nombre de cyberattaques évitées. Vous pouvez obtenir les métriques et les données requises à partir des tableaux de bord Google Security Operations SOAR.

Utiliser l'IA de manière sécurisée et responsable, et utiliser l'IA pour la sécurité

L'IA et le ML sont de plus en plus utilisés pour les cas d'utilisation des services financiers, tels que la détection des fraudes et le trading algorithmique. Les réglementations exigent que ces technologies soient utilisées de manière éthique, transparente et sécurisée. L'IA peut également vous aider à améliorer vos capacités de sécurité. Tenez compte des recommandations suivantes pour utiliser l'IA :

Développez et déployez des modèles de ML dans un environnement sécurisé et régi à l'aide de Gemini Enterprise Agent Platform. Des fonctionnalités telles que l'explicabilité des modèles et les métriques d'équité peuvent aider à répondre aux préoccupations liées à l'IA responsable.
Exploitez les fonctionnalités d'analyse et d'opérations de sécurité de Google Security Operations, qui utilise l'IA et le ML pour analyser de grands volumes de données de sécurité, détecter les anomalies et automatiser la réponse aux menaces. Ces fonctionnalités vous aident à améliorer votre stratégie de sécurité globale et à surveiller la conformité.
Établissez des règles de gouvernance claires pour le développement et le déploiement de l'IA et du ML, y compris des considérations liées à la sécurité et à l'éthique.
S'aligner sur les éléments du framework d'IA sécurisé (SAIF), qui fournit une approche pratique pour répondre aux problèmes de sécurité et de risque des systèmes d'IA.
Suivez la précision et l'efficacité des systèmes de détection des fraudes optimisés par l'IA, la réduction des faux positifs dans les alertes de sécurité et les gains d'efficacité de l'automatisation de la sécurité basée sur l'IA.

Répondez aux exigences réglementaires, de conformité et de confidentialité

Les services financiers sont soumis à un large éventail de réglementations, y compris des exigences de résidence des données, des pistes d'audit spécifiques et des normes de protection des données. Pour s'assurer que les données sensibles sont correctement identifiées, protégées et gérées, les entreprises de services financiers ont besoin de règles de gouvernance des données et de schémas de classification des données robustes. Tenez compte des recommandations suivantes pour vous aider à respecter les exigences réglementaires :

Configurez des limites de données dans Google Cloud pour les charges de travail sensibles et réglementées à l'aide d'Assured Workloads. Cela vous aide à respecter les exigences de conformité gouvernementales et sectorielles, telles que FedRAMP et CJIS.
Identifiez, classez et protégez les données sensibles, y compris les informations financières, en mettant en œuvre Sensitive Data Protection. Cela vous aide à respecter les réglementations sur la confidentialité des données, telles que le RGPD et la CCPA.
Suivez les détails des activités d'administration et de l'accès aux ressources à l'aide de Cloud Audit Logs. Ces journaux sont essentiels pour répondre aux exigences d'audit stipulées par de nombreuses réglementations financières.
Lorsque vous choisissez des régionsGoogle Cloud pour vos charges de travail et vos données, tenez compte des réglementations locales liées à la résidence des données. L'infrastructure mondiale de Google Cloud vous permet de choisir des régions qui peuvent vous aider à répondre à vos exigences de résidence des données.
Gérez les clés utilisées pour chiffrer les données financières sensibles au repos et en transit à l'aide de Cloud Key Management Service. Ce chiffrement est une exigence fondamentale de nombreuses réglementations sur la sécurité et la confidentialité.
Mettez en œuvre les contrôles nécessaires pour répondre à vos exigences réglementaires. Vérifiez que les contrôles fonctionnent comme prévu. Faites valider à nouveau les contrôles par un auditeur externe pour prouver à l'organisme de réglementation que vos charges de travail sont conformes aux réglementations.

Hiérarchiser les initiatives de sécurité

Compte tenu de l'ampleur des exigences de sécurité, les institutions financières doivent prioriser les initiatives basées sur l'évaluation des risques et les mandats réglementaires. Nous vous recommandons de procéder par étapes :

Établir une base de sécurité solide : concentrez-vous sur les principaux domaines de la sécurité, y compris la gestion de l'authentification et des accès, la sécurité réseau et la protection des données. Cette approche permet de créer une stratégie de sécurité robuste et d'assurer une défense complète contre les menaces en constante évolution.
Respecter les réglementations critiques : donnez la priorité à la conformité avec les réglementations clés telles que PCI DSS, le RGPD et les lois nationales applicables. Cela permet de garantir la protection des données, d'atténuer les risques juridiques et de renforcer la confiance des clients.
Mettre en œuvre une sécurité avancée : adoptez progressivement des pratiques de sécurité avancées telles que le modèle zéro confiance, les solutions de sécurité basées sur l'IA et la recherche proactive des menaces.

Excellence opérationnelle

Fiabilité

Point de vue des services financiers : sécurité, confidentialité et conformité Restez organisé à l'aide des collections Enregistrez et classez les contenus selon vos préférences.