La nouvelle réalité des technologies financières canadiennes
Si vous concevez, vendez ou exploitez un logiciel utilisé par une institution financière fédérale (IFF) au Canada, qu’il s’agisse d’une banque, d’une compagnie d’assurance ou d’une société de fiducie, le contexte réglementaire a profondément changé le 1er janvier 2024.
Plus précisément, le Bureau du surintendant des institutions financières (BSIF) est passé de « pratiques exemplaires suggérées » à un cadre rigoureux et exécutoire connu sous le nom de ligne directrice B-13 sur la gestion du risque lié aux technologies et du cyberrisque. De plus, la version mise à jour de la ligne directrice B-10 fait porter directement aux institutions la responsabilité des risques liés aux tiers. Celles-ci transféreront donc cette responsabilité à leurs fournisseurs de logiciels.
Pour réussir comme partenaire de confiance sur le marché canadien, les fournisseurs doivent aller au-delà des affirmations générales en matière de sécurité. En définitive, comprendre le passage des audits SOC 2 centrés sur les États-Unis aux résultats précis exigés par le BSIF au Canada est la seule façon de réussir un audit d’une banque de niveau 1.
Qu’est-ce que le BSIF et pourquoi détermine-t-il votre cycle de vente?
Avant tout, le BSIF est le principal organisme fédéral de réglementation du secteur financier canadien. Même s’il ne réglemente pas directement les entreprises de logiciels, il réglemente néanmoins vos clients.
Par exemple, lorsqu’une banque canadienne envisage d’utiliser votre plateforme SaaS, son équipe d’approvisionnement ne se contente pas d’évaluer les fonctionnalités; elle réalise une évaluation des risques selon la ligne directrice B-10. Par conséquent, si l’architecture de votre logiciel ne peut pas soutenir ses exigences de conformité à la ligne directrice B-13, l’entente échouera à l’étape de l’examen juridique, peu importe à quel point votre outil est « novateur ».
Les trois domaines de conformité à la ligne directrice B-13 du BSIF
Le cadre définitif de la ligne directrice B-13 est structuré en trois domaines précis. Pour que votre logiciel soit considéré comme « prêt pour le BSIF », il doit démontrer sa maturité dans chacun de ces domaines.
1. Gouvernance et gestion des risques
Le BSIF exige que les risques technologiques ne soient pas confinés au service des TI, mais qu’ils relèvent plutôt de la haute direction et du conseil d’administration.
- Exigence applicable au fournisseur : votre plateforme doit produire des rapports prêts pour l’audit. Votre tableau de bord fournit-il au conseil d’administration des résumés des exceptions liées aux risques? Peut-il exporter des données compatibles avec le cadre interne de gestion des risques de la banque?
- Le point de vue d’Espace : nous conseillons donc aux fournisseurs d’intégrer directement des « exportations de conformité » dans leurs panneaux d’administration. Les auditeurs veulent constater que votre logiciel permet aux clients d’assumer leurs responsabilités de surveillance sans extraction manuelle de données.
2. Exploitation technologique et résilience
Ce domaine porte sur un environnement « stable, évolutif et résilient ». En résumé, le BSIF veut savoir : si votre logiciel cesse de fonctionner, l’économie canadienne en ressent-elle les effets?
- Gestion des incidents : en plus d’exiger la stabilité, le BSIF impose aux IFF des délais stricts pour déclarer les incidents. Si votre plateforme subit une atteinte à la sécurité, vous devez disposer d’un protocole documenté permettant d’aviser votre client en quelques heures, et non en quelques jours.
- Gestion des actifs : vous devez également tenir un inventaire en temps réel et immuable de tous les actifs technologiques qui soutiennent l’IFF.
- Gestion de la capacité : votre logiciel doit démontrer qu’il peut gérer les charges de pointe, comme le traitement de fin de mois, sans diminution de performance.
3. Cybersécurité : la couche renforcée
C’est ici que les spécifications techniques rencontrent les exigences réglementaires. Ce domaine est notamment celui que les développeurs de logiciels doivent soumettre à l’examen le plus approfondi.
- Gestion des identités et des accès (IAM) : l’authentification multifacteur n’est plus facultative; elle constitue désormais une exigence de base. Le BSIF s’attend à un modèle fondé sur le moindre privilège, selon lequel l’accès est accordé uniquement pendant la période nécessaire.
- Gestion des vulnérabilités : vous devez également fournir la preuve qu’une évaluation des vulnérabilités et un test d’intrusion (VAPT) sont réalisés chaque année par un tiers indépendant.
- Chiffrement des données : le BSIF s’attend à ce que les données soient chiffrées tant « au repos » que « pendant leur transmission » à l’aide de protocoles cryptographiques reconnus dans l’industrie, comme AES-256 ou une norme supérieure.
Normes de conformité essentielles au-delà de la ligne directrice B-13
Même si la ligne directrice B-13 constitue le principal point de référence, l’architecture de votre logiciel doit tenir compte d’un ensemble complexe de normes canadiennes et internationales qui se chevauchent :
| Norme | Champ d’application | Exigence essentielle pour les fournisseurs |
|---|---|---|
| BSIF B-10 | Risques liés aux tiers | Preuve de la sécurité de votre propre chaîne d’approvisionnement et identification de vos fournisseurs. |
| LPRPDE / projet de loi C-26 | Souveraineté des données | Garantie que les données financières canadiennes sensibles demeurent en sol canadien. |
| PCI DSS 4.0 | Paiements | Obligatoire si votre logiciel traite ou stocke des numéros de carte de crédit. |
| ISO 27001 | Confiance mondiale | La norme de référence pour votre système interne de gestion de la sécurité de l’information. |
L’« écart de conformité » : pourquoi SOC 2 ne suffit pas
Dans de nombreux cas, les fournisseurs américains ou internationaux commettent l’erreur courante de se fier uniquement aux rapports SOC 2 de type II. Bien que SOC 2 constitue un excellent point de départ, il ne remplace aucunement la conformité aux exigences du BSIF.
- Portée géographique : SOC 2 est un cadre centré sur les États-Unis. Il ne répond donc souvent pas aux exigences de souveraineté des données canadiennes.
- Notification : de plus, le BSIF impose des exigences précises de « signalement des incidents liés à la technologie et à la cybersécurité » qui vont au-delà de la période habituelle de 72 heures prévue dans de nombreux contrats américains.
- Caractère prescriptif : SOC 2 est flexible, tandis que le BSIF est très prescriptif en ce qui concerne les rapports destinés au conseil d’administration.
La solution de confiance zéro : créer une plateforme à l’épreuve des audits
Pour combler ces lacunes, l’architecture de confiance zéro constitue le moyen le plus efficace de satisfaire aux exigences du BSIF. Chez Espace Infotech, nous préconisons une approche « Ne jamais faire confiance, toujours vérifier » pour tous les logiciels réglementés.
Correspondance entre la confiance zéro et les exigences du BSIF :
- Microsegmentation : cette approche limite la portée des dommages causés par une atteinte à la sécurité et répond ainsi à l’exigence de résilience de la ligne directrice B-13.
- Authentification continue : de la même façon, chaque demande est vérifiée afin de satisfaire à l’exigence relative à la gestion des identités et des accès.
- Surveillance automatisée : enfin, la journalisation continue fournit la « piste d’audit immuable » recherchée par les organismes de réglementation bancaire.
Ce que cela signifie pour votre stratégie de vente
Si vous souhaitez conclure des ententes avec de grandes entreprises au Canada, votre documentation technique doit mettre la conformité au premier plan.
Conseil de pro : n’attendez pas que l’équipe juridique du client vous envoie un questionnaire de sécurité comportant 200 questions. Préparez un livre blanc sur la ligne directrice B-13 du BSIF. Présentez dès le départ vos rapports VAPT, votre lettre de transition SOC 2 et votre carte de souveraineté des données. Cette approche établit immédiatement votre fiabilité, soit le « T » du modèle E-E-A-T.
Pourquoi collaborer avec Espace Infotech Canada Inc.?
Respecter les lignes directrices du BSIF tout en maintenant un cycle de développement rapide exige un juste équilibre. Dans cette optique, notre équipe se spécialise dans l’établissement d’un lien entre un code haute performance et une conformité réglementaire rigoureuse. En résumé, nous ne créons pas seulement des fonctionnalités; nous bâtissons des écosystèmes prêts pour la conformité.
Ne construisez pas en direction d’un écart de conformité
Si vous développez un logiciel pour le secteur réglementé canadien sans vous appuyer sur les principes de confiance zéro, vous vous dirigez vers un écart de conformité. À mesure que les organismes de réglementation comme le BSIF et le projet de loi C-26 en évolution resserrent leurs exigences, les fournisseurs qui font de la sécurité une fonction fondamentale de leur produit, plutôt qu’une réflexion après coup, seront ceux qui domineront le marché.
Prêt à évaluer la conformité de votre plateforme aux exigences du BSIF?
N’attendez pas l’échec d’un audit pour découvrir les failles de votre architecture.
Suggestions de liens internes pour le groupe thématique :
- Prochaine lecture : [Solutions SaaS à confiance zéro pour les entreprises canadiennes réglementées : le guide complet]
- Ressource : [Liste de vérification des fournisseurs de logiciels pour la LPRPDE et le projet de loi C-26]