Authentification en tant que service (AaaS)

Qu'est-ce que l'authentification en tant que service (AaaS) ?

L'authentification en tant que service fournit des capacités d'authentification dans le nuage afin que les institutions financières puissent vérifier en toute sécurité leurs clients en utilisant l'authentification multifactorielle (MFA). Les institutions financières se tournent vers l'informatique en nuage, car elles ont moins besoin d'entretenir, de mettre à niveau et de remplacer leur équipement et leur technologie d'authentification sur place. Aujourd'hui, l'évolution numérique en cours a été accélérée par la pandémie de COVID-19 et les clients attendent désormais davantage d'expériences numériques avec leur banque. L'authentification en tant que service permet aux institutions financières de supprimer les coûts de réparation et de remplacement de l'infrastructure du réseau et d'atténuer la fraude. Ils peuvent également augmenter ou réduire leur taille pour répondre à la demande des clients. L'authentification en tant que service renforce et rationalise l'authentification à travers les applications et les canaux, prend en charge une combinaison de méthodes d'authentification matérielles et logicielles, et peut être mise à niveau pour prendre en charge des solutions d'authentification plus complètes telles que l'authentification adaptative ou l'authentification basée sur le risque.

Authentification en tant que service : Méthodes d'authentification multifactorielle

L'authentification en tant que service utilise l'authentification multifactorielle (AMF) pour la sécurité de la connexion, où deux facteurs d'authentification ou plus sont combinés pour la vérification de l'identité. Cela pourrait être :

• Quelque chose que vous connaissez, comme un code d'accès à usage unique (OTP) ou la réponse à une question secrète
• Quelque chose que vous avez, comme votre appareil mobile
• Quelque chose que vous êtes, comme une empreinte digitale ou un scan facial

Pour réaliser une authentification multifactorielle, au moins deux technologies différentes appartenant à au moins deux groupes technologiques différents doivent être utilisées dans le processus d'authentification. Par conséquent, l'utilisation d'un PIN couplé à un mot de passe ne serait pas considérée comme une AMF, alors que l'utilisation d'un PIN avec la reconnaissance faciale comme second facteur le serait. Il est également acceptable d'utiliser plus de deux formes d'authentification. Cependant, la plupart des gens souhaitent de plus en plus une authentification sans friction (la possibilité d'être vérifié sans avoir à effectuer des étapes de sécurité excessives).

L'authentification en tant que service prend également en charge les dernières technologies telles que les normes ouvertes comme FIDO, la biométrie (y compris la reconnaissance faciale et les scans d'empreintes digitales), l'authentification hors bande, comme Cronto, les codes de type QR et le matériel de nouvelle génération.

Avantages de l'utilisation de l'authentification en tant que service

Au cours de la dernière décennie, on a assisté à une adoption croissante des déploiements de clouds et de clouds hybrides pour les services et les applications informatiques. La pandémie de COVID-19 a accéléré les initiatives de transformation numérique et de modernisation des banques. La pandémie a également accéléré le comportement numérique des clients. Les gens s'attendent désormais à davantage d'interactions numériques avec leurs institutions financières et à ce qu'elles soient transparentes. Ces initiatives sont difficiles à soutenir avec une infrastructure sur site, en particulier pendant la pandémie. C'est une raison qui contribue à l'intérêt pour les solutions basées sur le cloud.

Un rapport d'Aite Group, intitulé The Rise of Digital-First Banking, examine la manière dont les consommateurs deviendront d'abord numériques, quelle que soit leur génération, et si les institutions financières sont prêtes ou non, maintenant que la pandémie de coronavirus a changé la manière dont les consommateurs interagissent dans tous les domaines de leur vie. "La crise COVID-19 pousse la trajectoire d'adoption et d'utilisation du numérique à toute vapeur", déclare Tiffani Montez, analyste principal chez Aite Group. "La banque numérique d'abord est la nouvelle norme, et maintenant plus que jamais, il est important pour les IF de construire une nouvelle expérience numérique et d'optimiser les processus numériques existants pour réduire les frictions."

Voici les avantages de l'authentification en tant que service :

• Pas besoin d'héberger des équipements sur place : avec l'authentification en tant que service, les institutions financières peuvent réduire les dépenses d'exploitation des services informatiques.
• Pas de personnel informatique supplémentaire : les équipements informatiques nécessitent une maintenance et un remplacement. Avec l'authentification en tant que service, un fournisseur de services tiers est généralement responsable de la maintenance de l'équipement sur lequel une application est hébergée. Par exemple, le personnel hautement qualifié, comme les ingénieurs en infrastructure, peut être réaffecté à d'autres projets informatiques au lieu de consacrer son temps à des travaux de maintenance. Comme l'authentification en tant que service ne nécessite pas de mot de passe, les équipes informatiques ne sont plus obligées de réinitialiser les mots de passe.
• Réduction des coûts d'exploitation, augmentation de l'efficacité opérationnelle : l'authentification en tant que service permet aux institutions financières de réduire les coûts de remplacement permanents des équipements de serveur, de l'infrastructure de réseau, de la maintenance du réseau, de l'hébergement et des procédures de sécurité. Il en résulte des coûts d'exploitation inférieurs à ceux des déploiements sur site et plus cohérents, ce qui accroît l'efficacité opérationnelle tout en assurant un accès sécurisé.
• Capacité d'extension : l'authentification en tant que service offre aux banques la possibilité d'augmenter ou de réduire les effectifs en fonction de la demande actuelle. Il est donc moins compliqué et moins coûteux d'acheter plus de capacité de service en nuage que de déployer de nouveaux équipements de serveur sur place.
• Déploiement rapide et facile : l'authentification en tant que service peut être déployée en quelques semaines sans qu'il soit nécessaire d'acheter, d'approvisionner et de déployer une quelconque infrastructure informatique. À l'inverse, les déploiements sur site peuvent prendre des mois, voire jusqu'à un an, en fonction du budget et d'autres facteurs.
• Options d'authentification flexibles : l'authentification en tant que service prend en charge les technologies d'authentification hybrides logicielles et matérielles, la surveillance continue, le profilage des appareils et des canaux multi-utilisateurs. Elle peut être mise à niveau de manière transparente vers des solutions plus complètes, telles que l'authentification basée sur le risque qui utilise l'apprentissage automatique et un moteur de risque pour aider à réduire la fraude.

Trois études de cas d'organisations utilisant l'authentification en tant que service

Étude de cas n° 1 : une banque japonaise passe à l'authentification en nuage

Le défi : Cette banque japonaise a lancé son application bancaire mobile en novembre 2019. Au départ, la fonctionnalité de l'application était limitée et ne permettait aux utilisateurs que de vérifier leur solde. En outre, l'ancien processus d'authentification utilisé dans le canal en ligne n'offrait pas une expérience mobile satisfaisante. Les clients recevront un mot de passe à usage unique (OTP) par courriel et devront le saisir sur le portail web. Cette expérience ne s'est pas bien traduite sur le mobile. La banque a décidé de mettre en œuvre une authentification basée sur le cloud et la signature des données de transaction pour permettre des transferts d'argent en toute sécurité via l'application. Le calendrier de ce projet était très serré car la banque devait publier la version actualisée de l'application trois mois après le début du projet. En général, l'intégration d'une nouvelle solution d'authentification dans une application existante et le déploiement d'un serveur d'authentification sur site pour la prendre en charge peuvent prendre plus d'un an. Au lieu de cela, la banque a décidé de passer à un serveur d'authentification hébergé dans le nuage.

Résultat : les clients peuvent désormais s'authentifier en recevant leur OTP dans l'application, ou utiliser la biométrie par empreinte digitale. Le résultat est une expérience client fiable, sécurisée et pratique, tout en élargissant les fonctionnalités de l'application bancaire mobile.

Étude de cas n° 2 : Une FinTech fournit une authentification en nuage à toutes les banques norvégiennes

Le défi : Dans ce cas d'utilisation, une organisation fintech norvégienne offre aux banques norvégiennes une solution d'authentification sécurisée et rentable pour l'identification et les signatures électroniques. Pour s'authentifier, les utilisateurs devaient utiliser des authentificateurs matériels, qui offraient la sécurité nécessaire à l'utilisateur final. Cependant, les commentaires des clients ont montré qu'ils souhaitaient une solution d'authentification logicielle qui leur permette d'utiliser leurs appareils mobiles. L'organisation a décidé de lancer une nouvelle application mobile pour authentifier les utilisateurs afin d'améliorer l'expérience client et de mettre en œuvre la biométrie. L'organisation est partiellement détenue par toutes les banques de Norvège, qui utilisent toutes ce service. Par conséquent, l'organisation ne pouvait pas envisager une solution d'authentification sur site, car cela obligerait chaque banque norvégienne à déployer un nouveau serveur d'authentification sur site.

Résultat : en utilisant l'authentification basée sur le cloud, les banques pourraient facilement adopter l'application d'authentification pour l'authentification des utilisateurs. Une fois l'application déployée, les utilisateurs ont eu accès à l'authentification multifactorielle (MFA) avec biométrie par empreinte digitale et notifications push. La nouvelle expérience s'est avérée beaucoup plus pratique pour les clients et ceux qui ont téléchargé l'application d'authentification ont pu retirer leurs authentificateurs matériels en toute sécurité.

Étude de cas n° 3 : un organisme de santé introduit l'authentification en nuage pour réduire les coûts

Le défi : Cette société de développement de logiciels de soins de santé a récemment modernisé sa stratégie de sécurité en adoptant l'authentification en tant que service. L'entreprise vend une solution de prescription électronique de substances contrôlées (EPCS) qui aide les médecins et les professionnels de la santé à mettre leurs patients en contact avec les médicaments réglementés dont ils ont besoin. En raison des données sensibles en jeu, à la fois des problèmes de confidentialité des informations médicales et du risque de mauvais usage des médicaments, l'authentification et l'identité de l'utilisateur sont des éléments extrêmement importants de la solution.

Résultat : l'entreprise est passée d'une mise en œuvre sur site à un fournisseur de services d'authentification en nuage pour éviter les coûts liés à l'achat, au support et à la maintenance des serveurs permettant l'authentification. L'entreprise souhaitait également intégrer un processus d'authentification dans son produit existant avec une solution qui facilite le déploiement, l'évaluation et la vérification de la conformité à toutes les réglementations.

 

Comment l'authentification en tant que service permet d'atténuer la fraude

Les institutions financières peuvent contribuer à protéger leurs clients contre les menaces de fraude grâce à l'AMF basée sur le cloud computing sur une infrastructure de sécurité fiable et éprouvée. Jusqu'à présent, en 2020, des violations de données importantes ont eu lieu chez Twitter, Zoom et Marriott, qui a subi sa deuxième violation en autant d'années [JM2] . Étant donné qu'un grand nombre de personnes utilisent encore les mêmes mots de passe statiques comme seul moyen d'authentification pour plusieurs comptes, toute violation des données relatives aux mots de passe et aux adresses électroniques peut avoir de graves conséquences pour les consommateurs.

Suite à la pandémie de COVID-19, les cybercriminels ont redoublé d'efforts : le nombre de sites d'hameçonnage a augmenté de 350 % depuis le début de l'année et 16,6 millions de livres sterling (20,8 millions de dollars américains) ont été perdus en achats frauduleux depuis le début du verrouillage. Le phishing reste le moyen privilégié

selon le rapport 2020 de Verizon sur les enquêtes relatives aux violations de données, les attaquants utilisent la méthode la plus efficace pour voler des informations d'identification. En outre, avec plus de 15 milliards d'identifiants circulant sur le Dark Web, les cybercriminels disposent de tout ce dont ils ont besoin pour commettre des attaques par prise de contrôle de compte et d'autres formes de fraude.

L'évolution numérique en cours a également entraîné l'essor du mobile, l'élargissement des canaux numériques et l'augmentation du nombre d'applications et de produits. Cela s'est souvent traduit par une approche cloisonnée de la sécurité de l'authentification, faisant peser sur le personnel informatique la charge de gérer différentes solutions. L'authentification en tant que service offre une sécurité centralisée et permet aux banques de protéger leurs clients contre les attaques frauduleuses, notamment les attaques par ingénierie sociale et le phishing.

Comment l'authentification en tant que service améliore l'expérience client

Compte tenu du paysage menaçant des menaces, l'authentification en tant que service (AaaS) aide les banques à maintenir la sécurité de l'authentification des utilisateurs, augmentant ainsi la confiance de leurs clients de la banque numérique. Les clients peuvent être authentifiés à l'aide d'options d'authentification mobile conviviales, telles que la biométrie et la notification push in-app, pour une expérience utilisateur sans friction. Les clients adoptant un comportement de plus en plus numérique, ils bénéficient d'une authentification sécurisée via le cloud.

Comment il répond à la conformité réglementaire

L'authentification en tant que service est conçue pour répondre aux exigences de la directive PSD2 en matière d'authentification forte du client (SCA ) pour les paiements en ligne sécurisés. Elle y parvient grâce à l'authentification multifactorielle, à la liaison dynamique (pour contrer les attaques de type "Man-in-the-Middle"), à la sécurité mobile et à la technologie biométrique. Les exigences du SCA permettent de limiter la fraude et de renforcer la sécurité des paiements en ligne, car les clients doivent être authentifiés par deux des trois éléments d'authentification :

• Quelque chose que le client connaît (par exemple, NIP, mot de passe, question de sécurité)
• Quelque chose que le client possède (par exemple, un appareil)
• Quelque chose que le client est (par exemple, des données biométriques telles que les empreintes digitales ou la reconnaissance faciale)

La liaison dynamique aide également les institutions financières à se mettre en conformité car, au moment de la transaction, la valeur de la transaction et l'identité du destinataire doivent être affichées et au moins deux éléments de possession doivent être utilisés. Ces éléments de possession doivent relier dynamiquement la transaction à un montant et à un bénéficiaire spécifiés par le payeur, lors de l'initiation et de la vérification de la transaction.

Importance stratégique

L'authentification en tant que service utilise l'authentification multifactorielle basée sur le cloud pour assurer la sécurité, une conformité réglementaire stricte et une expérience client transparente qui contribue à stimuler la croissance. L'authentification en tant que service est une façon moderne d'aborder la gestion des identités et des accès, qui tire parti des ressources de l'informatique en nuage et offre également une meilleure expérience et gestion des utilisateurs. Elle permet aux banques de réaliser des gains d'efficacité immédiats grâce à une solution qui peut être déployée rapidement. L'authentification en tant que service favorise également un déploiement rapide, car la plupart des fournisseurs d'AaaS disposent de plugins et d'API (services RESTful, etc.) permettant une intégration facile dans les applications d'entreprise.

L'AaaS ajoute des couches supplémentaires de sécurité en fournissant non seulement une authentification forte, mais aussi des politiques de contrôle d'accès. La confidentialité dans le nuage est obtenue en appliquant différents algorithmes ainsi que des procédures de cryptage et de décryptage, le hachage, les signatures numériques, les certificats ainsi que la gestion des échanges de clés. L'AMF basée sur le cloud prend également en charge le comportement de plus en plus numérique des clients. En abandonnant l'infrastructure sur site au profit d'un fournisseur de services dans le nuage, les institutions financières et autres organisations jettent les bases d'une personnalisation et de solutions d'authentification plus complètes, telles que l'authentification basée sur le risque ou l'authentification adaptative.