Diagnostic de cyber-préparation pour banques et microfinance

La direction a-t-elle approuvé une politique de sécurité de l'information écrite, revue au moins une fois par an ?

Une personne nommément désignée est-elle responsable de la sécurité de l'information, avec le temps et l'autorité nécessaires ?

Tenez-vous à jour un inventaire de vos serveurs, ordinateurs, équipements réseau et logiciels, agences et agents compris ?

Un audit indépendant de la sécurité de vos systèmes d'information a-t-il été réalisé au cours des 12 derniers mois ?

Chaque employé utilise-t-il un compte personnel (aucun identifiant partagé) sur le core banking et les autres applications ?

Appliquez-vous une politique de mots de passe sur tous les systèmes (mots de passe longs, mots de passe par défaut changés, pas de réutilisation) ?

L'authentification multifacteur est-elle exigée pour l'accès à distance, la messagerie et les comptes administrateurs ?

Les droits d'administration, y compris l'accès direct à la base de données du core banking, sont-ils limités à quelques personnes nommées utilisant des comptes d'administration séparés ?

Les droits d'accès sont-ils revus au moins deux fois par an, et retirés le jour du départ d'un employé ?

Les opérations au-delà de seuils fixés, les annulations et les modifications de données clients ou de comptes exigent-elles la validation d'une seconde personne dans le système ?

Les connexions entre votre core banking et vos partenaires mobile money ou de paiement sont-elles protégées (chiffrement, notifications vérifiées, restriction d'adresses IP, clés hors du code) ?

Les soldes du core banking sont-ils rapprochés chaque jour avec les relevés mobile money et des partenaires de paiement, chaque écart étant analysé ?

Les données du core banking et de la comptabilité sont-elles sauvegardées automatiquement au moins une fois par jour, avec détection des échecs ?

Au moins une copie de sauvegarde est-elle conservée hors ligne ou isolée, hors de portée d'un rançongiciel et d'un compte administrateur compromis ?

Avez-vous testé une restauration de vos systèmes depuis les sauvegardes au cours des 6 derniers mois, et votre plan de continuité inclut-il des scénarios de cyberattaque ?

Les journaux de sécurité (connexions, actions d'administration, forçages d'opérations) sont-ils centralisés dans un espace protégé et conservés au moins 12 mois ?

Quelqu'un examine-t-il chaque jour ouvré les alertes d'activité suspecte (échecs de connexion, connexions à des heures inhabituelles, nouveaux comptes administrateurs) ?

Les mises à jour de sécurité des serveurs, ordinateurs et équipements réseau sont-elles appliquées dans un délai fixé (par exemple 30 jours, plus vite pour les failles critiques) ?

Une protection anti-malware est-elle installée et tenue à jour sur chaque serveur et ordinateur ?

Un test d'intrusion autorisé et indépendant de vos systèmes exposés sur Internet et de vos canaux web ou mobiles a-t-il été réalisé au cours des 12 derniers mois ?

Tenez-vous une liste de vos fournisseurs et prestataires informatiques (éditeur du core banking, hébergeur, agrégateurs mobile money) et des accès dont chacun dispose ?

Les contrats des prestataires incluent-ils des obligations de sécurité (confidentialité, notification des incidents, règles d'accès, droit d'audit) ?

L'accès à distance des éditeurs à vos systèmes n'est-il activé qu'en cas de besoin, protégé par MFA et supervisé ?

Disposez-vous d'une procédure écrite de réponse aux incidents indiquant qui décide, qui enquête et qui informe le superviseur, les clients et les partenaires, et a-t-elle été testée au cours des 12 derniers mois ?

Le personnel peut-il signaler facilement un incident suspect ou un message d'hameçonnage, et sait-il comment le faire ?

Tout le personnel, agences et agents compris, suit-il une sensibilisation à la sécurité au moins une fois par an ?

Organisez-vous des exercices d'hameçonnage simulé avec un suivi des personnes piégées ?