Aller au contenu
XFA
Se connecterCommencer gratuitement

La sécurité des appareils pour les équipes fintech.

Avant que votre back-office se charge, XFA vérifie l’ordinateur au regard des paramètres que demandent PCI DSS et DORA, ordinateurs des prestataires compris. Vous décidez quels contrôles avertissent et lesquels bloquent.

Commencer gratuitementContactez-nous

Gratuit pour toute votre équipe : 4 contrôles d’appareil à chaque connexion, et vos utilisateurs sont guidés pour corriger eux-mêmes les problèmes, automatiquement ou à la main.

Lecture d’un document imprimé à un bureau avec un ordinateur portable, dans un service financier

Cela vous parle ?

  • Notre banque partenaire veut savoir qui peut accéder au back-office, et depuis quel ordinateur.

  • L’auditeur veut la preuve que chaque ordinateur avec accès est chiffré et à jour. Nous avons un tableur.

  • La moitié de l’équipe télétravaille une partie de la semaine. Les prestataires sont venus avec l’ordinateur qu’ils avaient.

  • DORA s’applique à nous désormais. Il veut chaque ordinateur dans le registre des actifs.

PCI DSS et DORA, reliés aux contrôles sur l’ordinateur.

Votre auditeur lit PCI DSS ou DORA comme une liste de mesures. Quelques-unes concernent les ordinateurs sur lesquels vos équipes travaillent. Le tableau associe chacune d’elles au contrôle que XFA effectue à la connexion.

PCI DSS v4.0.1

Pour quiconque stocke, traite ou transmet des données de carte, ou peut atteindre les systèmes qui le font.

  • Exigence 1.5.1

    Des mesures de sécurité sur tout appareil, de l’entreprise ou d’un employé, qui accède à la fois à internet et à l’environnement des données de titulaires de carte.

    Le pare-feu est activé.

  • Exigence 5.2.1

    Une protection contre les logiciels malveillants sur chaque composant du système, sauf si une évaluation périodique montre qu’il n’est pas exposé.

    La protection contre les logiciels malveillants est installée et active.

  • Exigence 6.3.3

    Les correctifs de sécurité installés, les critiques dans le mois qui suit leur publication.

    Aucune mise à jour du système d’exploitation n’est en attente, et les mises à jour automatiques sont activées.

  • Exigence 8.2.8

    Une session inactive depuis plus de 15 minutes demande à la personne de se reconnecter.

    Le verrouillage de l’écran est activé, avec un délai défini.

  • Exigence 8.4.2

    Une authentification multifacteur pour tout accès hors console à l’environnement des données de titulaires de carte.

    Built-in Passkey peut servir de second facteur auprès de votre fournisseur d’identité. C’est une MFA résistante au phishing, à laquelle l’application de XFA répond en arrière-plan, et l’appareil est vérifié au même moment.

  • Exigence 12.5.1

    Un inventaire à jour des composants du système dans le périmètre.

    Une liste de chaque appareil trouvé dans les journaux de connexion de votre fournisseur d’identité, avec son propriétaire et les résultats de ses contrôles.

DORA

Pour les entités financières de l’UE, dont les établissements de paiement, les établissements de monnaie électronique et les prestataires de services sur crypto-actifs. Leurs prestataires de services TIC s’y conforment par leurs contrats.

  • Article 8(1)

    Les actifs TIC identifiés et documentés, ordinateurs portables compris.

    La liste des appareils du dashboard montre chaque ordinateur trouvé dans vos journaux de connexion, à qui il appartient et quels contrôles il réussit.

  • Article 9(1)

    La sécurité des systèmes de TIC surveillée et contrôlée.

    Si le contrôle des vulnérabilités connues est activé, le système d’exploitation et les navigateurs de chaque appareil sont examinés à la recherche de ces vulnérabilités.

  • Article 9(2)

    La confidentialité des données, y compris au repos.

    Le chiffrement du disque est activé.

  • Article 9(4)(c)

    L’accès aux actifs TIC réservé aux fonctions approuvées.

    Réglez un contrôle sur le blocage : un ordinateur qui y échoue attend à la connexion jusqu’à ce que le paramètre soit corrigé.

  • Article 9(4)(f)

    Les correctifs et mises à jour gérés selon une politique documentée.

    Les mises à jour du système d’exploitation sont installées, les mises à jour automatiques sont activées et le navigateur est à jour.

Des preuves là où votre auditeur regarde

La liste des appareils du dashboard montre chaque ordinateur et les contrôles qu’il réussit. XFA exporte ces données vers Vanta ou Drata, pour que chaque ordinateur figure à côté de vos autres mesures.

Le volet ordinateur, rien d’autre

XFA couvre les mesures qui relèvent de l’appareil. Chaque ligne nomme un contrôle qui appuie une mesure. Il ne prouve pas que la mesure est remplie, car cela dépend aussi de la configuration de votre fournisseur d’identité et de vos systèmes. Vos politiques, vos fournisseurs et votre processus de gestion des incidents restent entre vos mains et celles de votre auditeur.

Vérifié avant que le back-office se charge.

Rédigez une seule politique de sécurité pour le back-office et l’environnement des données de carte. Elle dit quels contrôles avertissent, lesquels bloquent, et après combien de jours. Chaque ordinateur qui se connecte à l’un ou à l’autre est vérifié au regard de cette politique de sécurité.

Comment fonctionne la vérification à la connexion
Gateway.fm

Gateway.fm construit une infrastructure Web3 et n’est pas une entreprise financière. Son équipe est répartie, avec de nombreux prestataires sur des ordinateurs personnels. Elle a préparé SOC 2 et ISO 27001 avec Vanta.

“Je l’ai d’abord installé sur mon propre appareil pour voir comment il fonctionne. Une fois vérifié qu’il fait vraiment ce qu’il promet (aucune atteinte à la vie privée), il a été plus facile d’en être l’ambassadeur et de l’expliquer à toute l’équipe.”
Alex Ulyanov, Responsable de la sécurité chez Gateway.fmAlex UlyanovResponsable de la sécurité chez Gateway.fmLire le témoignage de Gateway.fm

Leur vie privée reste la leur.

XFA vérifie les paramètres de sécurité, rien d’autre. Rien ne change sur l’ordinateur sans l’accord de son propriétaire.

Consulter notre Trust Center (s’ouvre dans un nouvel onglet)

Ce que votre organisation voit

  • Les résultats des contrôles de sécurité
  • Le nom, le modèle et le système d’exploitation de l’appareil
  • La date de la dernière connexion de l’appareil
  • L’adresse e-mail professionnelle qui lui est associée

XFA ne collecte jamais ces données

  • Messages privés ou e-mails
  • Fichiers ou contenus personnels
  • Historique de navigation
  • Enregistrements ou captures d’écran
  • Mots de passe ou identifiants
  • Données de localisation
  • Certifié ISO 27001
  • Conforme au RGPD
  • Développé en Belgique
  • Chiffré au repos et en transit

Découvrez comment fonctionne chaque élément

Les premières questions des équipes financières

Comparer les offres
Un coup d’œil au téléphone en remplissant des documents à côté d’un ordinateur portable
XFA nous rend-il conformes à PCI DSS ou à DORA ?

Aucun outil n’y arrive seul. XFA couvre le volet ordinateur. Il vérifie chaque appareil à la connexion au regard des paramètres que ces référentiels visent, et vos utilisateurs corrigent ce qui n’est pas en ordre depuis l’application de XFA. Vos politiques, vos fournisseurs et le reste du référentiel restent entre vos mains et celles de votre auditeur.

XFA et la conformité
Un ordinateur qui échoue à un contrôle peut-il encore atteindre le back-office ?

Seulement si vos règles le permettent. Vous réglez chaque contrôle sur avertissement ou blocage, après le nombre de jours de votre choix. Un ordinateur sous avertissement peut toujours se connecter. Dès qu’un contrôle bloque, « Je ferai cela plus tard » disparaît jusqu’à ce que le paramètre soit corrigé.

Comment fonctionne la vérification à la connexion
Built-in Passkey compte-t-il comme MFA pour PCI DSS ?

Built-in Passkey est une MFA résistante au phishing auprès de votre fournisseur d’identité. L’application de XFA y répond en arrière-plan, sans rien à saisir, et l’appareil est vérifié au même moment. Votre évaluateur confirme comment elle s’inscrit dans votre configuration.

Les prestataires viennent avec leur propre ordinateur. XFA peut-il le vérifier ?

Oui. L’ordinateur d’un prestataire passe le même contrôle à la connexion qu’un ordinateur de l’entreprise. XFA vérifie les paramètres de sécurité et ne collecte ni fichiers, ni messages, ni historique de navigation. Il ne prend pas le contrôle de l’ordinateur.

BYOD et freelances
Combien cela coûte-t-il ?

XFA est facturé par utilisateur. La page des tarifs indique ce qui est en supplément.

Voir les tarifs

D’abord les ordinateurs. L’audit ensuite.

Commencez par les ordinateurs qui atteignent votre back-office. Ensuite, XFA les vérifie à nouveau à chaque connexion, et votre réponse à l’auditeur reste à jour.

Commencer gratuitementContactez-nous
Un ordinateur portable que l’on referme à côté d’un terminal de paiement et de documents