L'Agence des services financiers a annoncé le 15Publication d'un projet de révision partielle des « Lignes directrices complètes pour la surveillance des opérateurs du secteur des instruments financiers, etc. » Nous avons commencé à accepter les commentaires du public sous ce titre. La date limite est le lundi 18 août à 17h00 (les commentaires doivent nous parvenir avant cette date).
Cette modification est apportée à la lumière des cas fréquents d'accès non autorisés et de transactions non autorisées (transactions par des tiers) dans les services de négociation sur Internet utilisant des informations clients (identifiants de connexion, mots de passe, etc.) volées sur des sites de phishing déguisés en sites Web de sociétés de valeurs mobilières, afin de renforcer les méthodes d'authentification et les mesures de prévention de la fraude dans le commerce sur Internet.
Qu'est-ce qui pourrait intéresser les lecteurs de ce blog ? (Annexe 1)
« Lignes directrices pour la cybersécurité dans le secteur financier »やLignes directrices de l'Association japonaise des courtiers en valeurs mobilières pour la prévention des accès non autorisés aux transactions sur InternetSi des mesures de sécurité appropriées sont prises en fonction du contenu des services fournis, en tenant compte de ce qui précède.Attaques de type « Man-in-the-middle » et « Man-in-the-browser »Prenez-vous en considération les éléments suivants ?
(Omis)
Lors d'opérations importantes telles que la connexion, le retrait de fonds et le changement de compte bancaire de retraitAuthentification multifacteur résistante au phishing(Exemple : authentification par clé d’accès, authentification basée sur PKI (infrastructure à clé publique))Mise en œuvre et obligation(défini par défaut)
(Source) Agence des services financiersRévision partielle des « Lignes directrices complètes pour la surveillance des opérateurs du secteur des instruments financiers, etc. » (projet) [Tableau comparatif des anciennes et des nouvelles lignes directrices]
L'authentification anti-hameçonnage est désormais obligatoire. Voici pourquoi elle est importante :« La menace du phishing en temps réel qui ne peut être évitée par des mots de passe à usage unique : la véritable nature de la résistance au phishing utilisant des clés d'accès »Veuillez également vous référer à ce qui précède. Par ailleurs, je pense que la nécessité de l'authentification multifacteur fait débat. Comme je l'ai déjà dit, il est temps de s'éloigner du « fléau de l'authentification multifacteur » et de se concentrer davantage sur les « menaces auxquelles elle répond ».
D'autres matériaux comprennent :
(Annexe 1)Révision partielle des « Lignes directrices complètes pour la surveillance des opérateurs du secteur des instruments financiers, etc. » (projet) [Tableau comparatif des anciennes et des nouvelles lignes directrices]
(Annexe 2)Révision partielle des « Lignes directrices de surveillance des agences de notation de crédit » (projet) [Tableau comparatif des anciennes et des nouvelles]
(Annexe 3)Révision partielle (projet) des « Lignes directrices de supervision des traders à grande vitesse » [Tableau comparatif des anciennes et des nouvelles]
(Annexe 4)Révision partielle (projet) des « Lignes directrices de surveillance des exploitants d'entreprises liées à la gestion d'investissements » [Tableau comparatif des anciennes et des nouvelles lignes directrices]
D’un autre côté, il y a des rapports incompréhensibles : l’authentification biométrique ne sera pas obligatoire !
D'un autre côté, certains rapports sont difficiles à comprendre. Un exemple typique est celui du Nikkei : « L'Agence des services financiers et l'Association japonaise des courtiers en valeurs mobilières publient de nouvelles directives pour rendre l'authentification biométrique obligatoire afin de prévenir le piratage des comptes de titres." Nikkin aussiL'Agence des services financiers propose de renforcer les mesures contre le piratage des comptes de titres en rendant obligatoire l'authentification multifactorielle par biométrie.L'article stipule ce qui suit :
Cependant, les directives de supervision révisées mentionnées ci-dessus ne mentionnent pas l'« authentification biométrique ». Un mot de passe est cité en exemple, mais il ne s'agit pas d'une authentification biométrique. J'aimerais qu'ils abordent ce sujet plus en détail, au lieu de se contenter de nier la simplicité de la compréhension. L'important cette fois-ci est :Authentification multifactorielle obligatoire et résistante au phishingOui, il ne s'agit pas d'une authentification biométrique. Évidemment, vous ne pouvez pas effectuer une « authentification biométrique » locale puis envoyer votre mot de passe au site.
Je voudrais donc demander aux médias d’être très prudents.
L'authentification biométrique peut être locale ou distante. Pour les utilisateurs d'appareils mobiles, l'ISO a normalisé les éléments suivants. Ces deux publications sont du SC27 « Sécurité de l'information, cybersécurité et protection de la vie privée », dont je suis actuellement président du comité technique national compétent.
ISO / IEC 27553-1: 2022 Sécurité de l'information, cybersécurité et protection de la vie privée — Exigences de sécurité et de confidentialité pour l'authentification utilisant la biométrie sur les appareils mobiles — Partie 1 : Modes locaux
ISO / IEC 27553-2: 2025 Sécurité de l'information, cybersécurité et protection de la vie privée — Exigences de sécurité et de confidentialité pour l'authentification utilisant la biométrie sur les appareils mobiles — Partie 2 : Modes distants
ご参考になれば。
D'ailleurs, si vous procédez ainsi, le scraping ne sera plus possible. Les banques fournissent des API, mais le secteur des valeurs mobilières est en retard à cet égard, et l'on craint qu'il ne soit pas possible d'intégrer les données dans des logiciels de comptabilité ou de gestion d'actifs. Il semble donc que cette option soit à envisager, parallèlement à la fourniture d'API.