L’un des aspects les plus curieux du cloud computing est la controverse persistante autour de l’infrastructure technique. Débattre de la qualité et des avantages de différentes architectures système, avancées dans le domaine des semi-conducteurs et modèles aaS a son utilité, mais revient à s’interroger sur le constructeur des meilleures turbines pour les centrales hydroélectriques. Les questions les plus importantes portent notamment sur la façon dont les services électriques sont utilisés et sur la capacité des fournisseurs à répondre aux exigences critiques pour l’activité de leurs clients.
Dans le cloud, cette question revêt une importance particulière pour les organisations qui ont besoin de bien plus que d’un support pour des processus métier simples ou d’une puissance de calcul polyvalente, comme celles des secteurs fortement réglementés tels que les banques, les assureurs et les autres établissements financiers. IBM Cloud for Financial Services offre un bon exemple de la façon dont un fournisseur innovant peut associer une expertise technique approfondie, des décennies d’expérience sectorielle et de précieux partenariats stratégiques pour proposer de nouveaux services et solutions particulièrement convaincants.
Une activité risquée : les services financiers face aux menaces du monde réel
C’est un mythe urbain : le légendaire braqueur de banques Willie Sutton aurait déclaré qu’il ciblait les établissements financiers « Parce que c’est là que se trouve l’argent », mais cette phrase n’en reste pas moins vraie dans son principe : qu’il s’agisse de pirater des distributeurs automatiques ou des terminaux de paiement, d’attirer des consommateurs crédules dans des campagnes d’hameçonnage en ligne ou de cibler des banques et des coopératives de crédit au moyen d’attaques par rançongiciel, les établissements financiers et leurs clients sont de plus en plus exposés à des cybercriminels sophistiqués.
Tout aussi importante, l’évolution des services financiers a eu tendance à accroître l’exposition aux risques plutôt qu’à la réduire. Les organisations financières figurent parmi les adopteurs les plus actifs des nouvelles technologies, notamment parce qu’elles sont sensibles au risque de voir leurs activités bouleversées par l’émergence de nouvelles offres. Les innovations informatiques ont ainsi considérablement amélioré les processus financiers, en particulier dans les fonctions intermédiaires et administratives, ce qui a fortement accru les possibilités commerciales et économiques. Toutefois, la numérisation des processus a également élargi de manière spectaculaire les cibles et les surfaces d’attaque pour les activités frauduleuses.
Sans surprise, comme les autres entreprises, les acteurs des services financiers étudient la façon dont le cloud peut les aider à se transformer en organisations toujours plus modernes. Mais les problèmes de sécurité, qui ont longtemps freiné l’adoption du cloud public, suscitent l’inquiétude et l’incertitude de nombreuses organisations financières.
Quelles applications et quelles charges de travail se prêtent le mieux aux déploiements cloud ? Quels clouds publics offrent le meilleur accompagnement aux entreprises réticentes à prendre des risques ? Que pensent les innombrables autorités de réglementation, notamment celles des dizaines de marchés mondiaux où opèrent les sociétés de services financiers, des activités bancaires dans le cloud ?
L’histoire d’IBM dans les services financiers
Les initiatives d’IBM dans ce domaine ont commencé avant novembre 2019, lorsque l’entreprise a annoncé le premier cloud public au monde prêt pour les services financiers, conçu spécifiquement pour répondre aux principaux enjeux de risque, et indiqué que Bank of America en serait le premier collaborateur et client engagé. En mai de l’année suivante, IBM a révélé que Howard Boville, dont les 25 années d’expérience dans les services financiers comprenaient huit années au poste de directeur technique de Bank of America, avait été nommé vice-président senior d’IBM Cloud. En avril 2021, l’entreprise a annoncé la disponibilité générale d’IBM Cloud for Financial Services, avec notamment la prise en charge de Red Hat OpenShift et d’autres technologies cloud natives.
Ce sont autant d’étapes clés dans l’évolution des solutions d’IBM pour les services financiers, mais comment s’inscrivent-elles dans les efforts plus larges d’IBM dans ce secteur ? Il faut considérer que ce nouveau portefeuille (construit sur IBM Cloud) n’est que la dernière offre en date de plusieurs décennies de services et de collaboration avec des clients du secteur financier.
IBM est un partenaire stratégique et un fournisseur essentiels des banques et des organisations financières depuis l’époque où ses « machines commerciales » désignaient de sophistiquées calculatrices mécaniques, puis pendant des décennies de développement du traitement transactionnel sur mainframe. Aujourd’hui, IBM Z est la seule plateforme à proposer Hyper Protect Data Controller qui prend en charge le chiffrement et la confidentialité des données de bout en bout, centrés sur les données, en les sécurisant où qu’elles résident, ainsi que des capacités de chiffrement « keep your own key » (KYOK) fondées sur la certification FIPS 140-2 niveau 4, le niveau de sécurité des données le plus élevé, avec notamment la détection et la réponse aux tentatives non autorisées d’accès physique, offrant aux clients un contrôle exclusif de leurs données. Même IBM ne peut pas y accéder.
Autrement dit, IBM sécurise au maximum les données et les applications métier contre les attaques externes et internes. Faut-il s’étonner qu’IBM Z soit la plateforme choisie par 44 des 50 premières banques mondiales et que 86 % de toutes les transactions par carte bancaire transitent par des systèmes IBM Z ? Existe-t-il par ailleurs un fournisseur plus expérimenté qu’IBM pour proposer des solutions destinées aux fonctions intermédiaires et administratives, capables de répondre aux principaux défis auxquels sont confrontées les entreprises de services financiers qui se tournent vers le cloud ?
L’équation de la conformité
Cependant, les technologies matérielles fondamentales d’IBM, ainsi que les logiciels associés, les intergiciels, les services de conseil et les investissements dans la recherche de l’entreprise et de ses partenaires stratégiques, ne sont que les éléments d’un effort beaucoup plus vaste ayant abouti à IBM Cloud for Financial Services. Pour IBM, l’objectif ultime était de « réduire radicalement les risques » liés aux services cloud afin qu’ils répondent aux besoins essentiels des clients en matière de sécurité et de confidentialité, ainsi qu’aux solides exigences de conformité des acteurs mondiaux du secteur financier et des autorités gouvernementales de réglementation.
Comment IBM s’est-elle attaquée à cette tâche complexe ? En résolvant systématiquement ce que l’on pourrait appeler l’« équation de la conformité » en trois étapes essentielles :
- Collaboration/Consensus —IBM a contacté des clients et partenaires financiers clés, notamment Bank of America et BNP Paribas, tous deux classés parmi les 10 premières banques mondiales en matière d’actifs totaux, afin d’échanger sur leurs approches et leurs cadres visant à garantir la sécurité numérique et la conformité réglementaire. L’entreprise s’est également rapprochée de partenaires stratégiques ISV, SaaS et développeurs spécialisés dans les services financiers, ainsi que d’autorités réglementaires sectorielles et internationales. En travaillant ensemble, IBM, ses clients et ses partenaires sont parvenus à un consensus sur les mesures nécessaires pour réduire efficacement les risques liés aux services et aux transactions cloud.
- Contrôle —À la suite de ces discussions, l’entreprise a travaillé avec Promontory Financial Group, une unité d’IBM Consulting spécialisée dans les services de conseil stratégique en matière de risques et de conformité. Il en a résulté l’IBM Cloud Framework for Financial Services, un ensemble unifié de contrôles de sécurité et de conformité préconfigurés, conçu spécifiquement pour le secteur. Destiné à permettre une surveillance en temps réel et une conformité continue au moyen des outils et solutions IBM Cloud, ce Framework aide également les clients à réduire les risques, les coûts et la complexité associés à la mise à jour face aux changements réglementaires. IBM valide en outre en permanence ces contrôles auprès de conseils sectoriels réunissant les responsables mondiaux de la sécurité des systèmes d’information (CISO), les directeurs techniques (CTO) et les directeurs des systèmes d’information (CIO) de grandes banques, compagnies d’assurance et agences de réglementation.
- Cohérence —L’IBM Cloud Framework for Financial Services ne vise pas simplement à garantir la conformité des clients aux réglementations sectorielles et gouvernementales. Il s’agit d’un ensemble complet de contrôles couvrant également la gestion des accès, la gestion des configurations, la cybersécurité et la protection des données. IBM fournit en outre une documentation et des modèles détaillés destinés à guider et à automatiser les clients dans les processus d’architecture de référence et de mise en œuvre des contrôles. Les banques peuvent ainsi s’assurer que les services et solutions cloud répondent de manière cohérente à leurs objectifs de sécurité et de conformité réglementaire, tout en disposant d’une base solide pour développer et déployer systématiquement de nouveaux services et solutions sécurisés.
Le résultat ? Collaboration/consensus + contrôle + cohérence = conformité.
Une évolution proactive
L’un des aspects les plus intéressants d’IBM Cloud for Financial Services réside dans la façon dont la stratégie collaborative de l’entreprise lui permettra également d’évoluer de manière proactive pour répondre aux futures évolutions du marché, aux changements réglementaires imprévus et aux nouvelles opportunités commerciales.
Au cœur de ces efforts se trouve le Financial Services Cloud Council d’IBM, une organisation collaborative représentée par des CIO, CTO, CISO et responsables de la conformité et des risques issus d’organisations mondiales de services financiers. Ce groupe s’attache à réunir les grandes institutions financières afin de contribuer à orienter le développement de services cloud destinés aux charges de travail financières critiques.
Par ailleurs, IBM entretient un dialogue ouvert avec les autorités de réglementation sectorielles d’Amérique du Nord, du Royaume-Uni, d’Europe, d’Asie-Pacifique et d’Australie, afin de garantir que l’IBM Cloud Framework for Financial Services permette une conformité complète aux règles et directives réglementaires régionales et locales. L’entreprise travaille également en étroite collaboration avec plus de 100 ISV, fournisseurs SaaS et autres prestataires pour valider les solutions destinées à Cloud for Financial Services, ajoutant ainsi un niveau de confiance supplémentaire pour les clients réticents à prendre des risques.
Il convient de noter que, comme toutes les autres solutions IBM Cloud, Cloud for Financial Services prend en charge les déploiements cloud ouverts, hybrides et multicloud que les entreprises plébiscitent largement. Outre les offres fondées sur Red Hat OpenShift et d’autres technologies cloud natives, IBM Cloud Satellite propose aux clients une couche sécurisée et unificatrice prenant en charge les services cloud dans différents environnements, quel que soit l’endroit où résident leurs données. En substance, les clients d’IBM Cloud peuvent utiliser Cloud Satellite pour écrire une application une seule fois, puis l’exécuter dans n’importe quel environnement, des centres de données sur site à la périphérie, en passant par d’autres clouds publics comme AWS, Azure, Google Cloud et Alibaba.
L’entreprise met également en correspondance IBM Cloud for Financial Services avec plus de 1 000 contrôles du National Institute of Standards and Technology (NIST) en matière de cybersécurité et pour d’autres fonctions. Le NIST fournit une sorte de « pierre de Rosette » qui permet à IBM de faire correspondre ses solutions aux cadres de contrôle existants et émergents, notamment ISO (International Organization for Standardization), C5 en Allemagne, ISMAP au Japon et d’autres. Les clients qui utilisent IBM Cloud for Financial Services peuvent ainsi choisir les normes NIST les mieux adaptées à leurs besoins de conformité et de sécurité, puis y faire correspondre leurs applications.
Enfin, IBM travaille avec d’autres fournisseurs et groupes spécialisés dans les services financiers et partageant des missions similaires, comme la Cloud Security Alliance, afin d’assurer la cohérence et l’harmonisation des cadres de contrôle.
En conclusion
IBM est réputée et reconnue pour sa réussite à aider les entreprises à impulser et à réaliser des transformations technologiques dans un large éventail d’applications et de cas d’usage commerciaux. Il ne fait aucun doute que les fondations d’IBM Cloud for Financial Services sont profondément ancrées dans IBM Public Cloud et les technologies ouvertes.
En réalité, bien que les nouveaux services puissent être déployés dans des environnements hybrides et multicloud, les clients trouveront leurs fonctionnalités les plus avancées et leurs niveaux d’intégration les plus élevés sur IBM Cloud, grâce à des solutions uniques comme Hyper Protect Data Controller et le chiffrement KYOK.
Cependant, si IBM Cloud for Financial Services témoigne clairement de l’immense profondeur technologique de l’entreprise, il ne constitue que le socle de solutions conçues pour répondre aux principaux défis métier.
Cela souligne l’importance cruciale des décennies consacrées par IBM au service des institutions financières, ainsi que des connaissances sur les processus des fonctions intermédiaires et administratives acquises au fil de dizaines de milliers de collaborations avec ses clients.
Au-delà de ces éléments, pourquoi les organisations de services financiers et leurs clients devraient-ils s’intéresser aux efforts considérables déployés par l’entreprise et ses partenaires stratégiques autour d’IBM Cloud for Financial Services ? Après tout, IBM est loin d’être le seul fournisseur à développer et à proposer ce type d’offres, notamment des services cloud.
Lors d’une récente présentation, Howard Boville, vice-président senior d’IBM Cloud, a déclaré : « Si les solutions IBM Cloud for Financial Services suscitent un tel engouement chez les clients récents, notamment CaixaBank, Luminor Bank et les établissements financiers de toute l’Afrique, c’est parce qu’ils comprennent que le cloud n’est pas correctement géré avec un ensemble cohérent et approprié de contrôles.
Que veux-je dire par là ? Il existe des processus métier critiques que les banques assurent — paiements, opérations sur les marchés de capitaux, échanges commerciaux, transferts financiers, etc. — et sur lesquels repose l’économie mondiale. Si des problèmes opérationnels informatiques, de cybersécurité ou de confidentialité des données venaient à affecter la chaîne d’approvisionnement qui sous-tend ces processus, cela introduirait un risque systémique dans le système financier mondial. »
La question fondamentale n’est pas de savoir pourquoi les banques, les assureurs, les émetteurs de cartes de paiement et les autres organisations financières devraient s’intéresser aux efforts d’IBM pour réduire les risques du cloud appliqué aux charges de travail critiques, ou utiliser IBM Cloud for Financial Services. C’est de savoir pourquoi ils ne le feraient pas.