Cloud FinSec

Définition

Cloud FinSec (Financial Services Cloud Security) désigne les exigences et frameworks de sécurité spécifiques au secteur des services financiers opérant dans le cloud. Les régulateurs financiers internationaux ont publié des directives et des exigences auxquelles les banques, assurances, et sociétés de gestion d'actifs doivent se conformer lorsqu'elles migrent vers le cloud. En Europe, les principales réglementations financières cloud incluent : DORA (Digital Operational Resilience Act), entré en vigueur en janvier 2025, imposant des exigences strictes de résilience opérationnelle pour les entités financières incluant des tests de résilience obligatoires (TLPT - Threat-Led Penetration Testing) et la gestion du risque ICT des prestataires tiers. L'EBA (European Banking Authority) a publié des guidelines sur l'outsourcing incluant les services cloud. La BCE supervise les institutions significatives et impose ses propres attentes de sécurité cloud. En France, l'ACPR (Autorité de Contrôle Prudentiel et de Résolution) a publié une doctrine sur l'externalisation cloud pour les institutions financières françaises. Les entités sous supervision de l'ACPR doivent notifier l'externalisation cloud d'activités critiques ou importantes, maintenir une stratégie de sortie (exit plan) documentée permettant de migrer vers un autre fournisseur ou de réinternaliser les activités, et effectuer des due diligences approfondies sur leurs prestataires cloud. Les contrôles techniques requis pour la conformité FinSec cloud incluent : le chiffrement de toutes les données financières (at-rest et in-transit), la conservation des logs d'audit pendant 7 ans minimum (selon MiFID II), les controls d'accès privilégiés sur toutes les données clients, la segmentation entre les environnements de trading, de risk management, et de back-office, et les tests de résistance des systèmes incluant les défaillances du cloud provider. Les exigences de localisation des données dans le secteur financier varient selon la juridiction : les données des clients européens doivent généralement rester dans l'UE (RGPD + réglementations bancaires), certains pays imposent une résidence locale des données (data residency requirements) allant jusqu'à exiger des solutions cloud on-shore.