Finance et coopératives de crédit | Cybersécurité et infrastructure à sécurité quantique

Aperçu

Pourquoi maintenant

La finance est l'un des quatre secteurs nommés dans la Loi sur la protection des cybersystèmes essentiels, qui a reçu la sanction royale en juin 2026; le règlement qui désignera les exploitants et fixera les échéanciers se rédige en ce moment. Les institutions sous réglementation fédérale répondent déjà à la ligne directrice B-13 du BSIF sur la gestion du risque lié aux technologies et du cyberrisque. Les coopératives de crédit et les sociétés de fiducie sous réglementation provinciale répondent à leurs organismes provinciaux, et la plupart ne sont pas encore désignées en vertu du projet de loi C-8, ce qui signifie que personne ne leur demande aujourd'hui quelle cryptographie protège leurs systèmes bancaires de base, leurs rails de paiement et les données de leurs membres. L'ITSM.40.001 du Centre pour la cybersécurité donne à chaque organisme de réglementation le même critère : l'inventaire d'abord, les systèmes hautement prioritaires migrés d'ici 2031, tout le reste d'ici 2035.

Les dossiers financiers sont le cas le plus clair au pays de récolte maintenant, déchiffrement plus tard. Les historiques de comptes, les dossiers de prêt et les relevés de transactions doivent être conservés pendant des années et restent sensibles toute la vie du client. Le trafic capté aujourd'hui entre une succursale, un centre de données et un réseau de paiement pourra être déchiffré quand la capacité arrivera, et l'obligation de le protéger n'aura pas expiré.

Ce qui distingue la finance et les coopératives de crédit

Le modèle de menace est à la fois réputationnel et réglementaire : une atteinte, c'est une première page, une lettre de l'organisme de réglementation et un vote des membres. Les attaquants traitent les institutions régionales comme la porte d'entrée la plus facile, en supposant qu'une coopérative de crédit ou une société de fiducie ne peut pas égaler le budget de sécurité d'une grande banque. Les systèmes bancaires de base, les paiements, les canaux en ligne et mobiles, les réseaux de guichets automatiques et les fournisseurs derrière eux portent chacun leur propre cryptographie, choisie à des moments différents par des gens différents, et l'institution détient rarement une liste unique de tout cela. La consolidation ajoute des réseaux que personne n'a cartographiés. Les conseils signent pour tout cela.

Ce que vous obtenez

Le Programme de découverte automne 2026, cadré sur une institution financière :

Une nomenclature cryptographique des systèmes bancaires de base, des connexions de paiement, des liaisons entre succursales et centres de données, des canaux en ligne et mobiles et des intégrations tierces derrière eux, découverte passivement.
Des constats classés selon leurs conséquences pour les dépôts, les paiements et les dossiers, avec les chemins de données à longue conservation signalés en premier.
Une feuille de route de migration par phases rapportée à l'ITSM.40.001 et aux lignes directrices du NIST, avec un plan d'action de 90 jours et la piste de preuves que le BSIF, un organisme provincial, un auditeur externe ou un conseil attendra en vertu de la B-13 ou de ses équivalents provinciaux.
Un devis écrit, à portée fixe, avant tout début de travaux. Une tarification souple, adaptée à votre budget, avec des versements mensuels offerts.

Après le Programme de découverte, si vous le souhaitez : le renforcement des liaisons qui comptent avec des clés à sécurité quantique livrées, indépendamment des appareils, dans les pare-feu que vous exploitez déjà, et une gouvernance continue pour que l'inventaire reste à jour à mesure que les fournisseurs et les canaux changent.

Notre façon de travailler

Détecter d'abord. Chaque constat est étiqueté fourni par le client, découvert ou notre jugement, et le rapport est écrit pour le responsable des technologies qui doit agir et pour le chef de la direction et le conseil qui doivent signer. Fabric Networks conçoit, fournit, installe et exploite au Canada, depuis Calgary, sur une plateforme validée FIPS 140-3. Les constats sont conservés dans une colocation canadienne neutre exploitée par Fabric. Les démonstrations publiques de la plateforme par d'autres exploitants, y compris un modèle de clés souveraines avec des charges de travail dans le nuage public, sont consignées dans la Bibliothèque, identifiées comme des démonstrations, pas comme nos livrables.

À qui cela s'adresse

Les coopératives de crédit et leurs centrales, les sociétés de fiducie sous réglementation provinciale et fédérale, les banques régionales et les nouvelles banques, les exploitants de paiement et de règlement, et les responsables des technologies, de la sécurité et du risque qui répondent à un conseil et à un organisme de réglementation des systèmes qui détiennent l'argent des autres.

Sur ce site

Services pour ce secteur

Lignes directrices

Pour commencer

Principaux défis

Désignation en vertu du projet de loi C-8 qui arrive pour les institutions fédérales alors que les provinciales sont laissées à une deuxième vague
La B-13 du BSIF et ses équivalents provinciaux qui demandent déjà des preuves sur le risque technologique et le cyberrisque
Systèmes bancaires de base, paiements et canaux dont la cryptographie a été choisie à des moments différents par des fournisseurs différents
Conservation des dossiers mesurée en années face à une capture qui se produit maintenant
Consolidation qui ajoute des réseaux que personne n'a cartographiés
Des conseils qui signent pour tout cela

Comment Fabric peut aider

Systèmes bancaires de base et rails de paiement : inventaire et renforcement
Liaisons entre succursales, centres de données et nuage : protection des chemins qui transportent les dossiers
Canaux en ligne et mobiles : revue de la cryptographie des API et des canaux
Dépendances envers les fournisseurs et les intégrations : ce qui se trouve dans les boîtes noires, consigné
Intégration de fusion : évaluation avant que les réseaux se joignent
Rapports au conseil et à l'organisme de réglementation : selon la B-13 et l'ITSM.40.001

Questions de ce secteur

Nous sommes sous réglementation provinciale, pas sous le BSIF. Le projet de loi C-8 s'applique-t-il à nous?

Pas dans la première vague, qui désigne les institutions sous réglementation fédérale. C'est la fenêtre. Votre organisme provincial attend déjà des preuves sur le risque technologique et le cyberrisque, et l'inventaire que vous bâtissez maintenant est la réponse aux deux organismes quand la deuxième vague arrivera.

Pouvez-vous travailler autour des systèmes bancaires de base et de paiement sans les perturber?

Oui. La découverte est passive : rien n'est reconfiguré, aucun agent ne s'exécute sur un système de base, et les connexions de paiement sont observées, pas interrompues. Tout renforcement que vous choisirez plus tard s'exécute sous son propre contrôle des changements, sur les pare-feu que vous avez déjà.

Nos systèmes bancaires de base et de paiement sont exploités par des fournisseurs. Pouvez-vous quand même inventorier la cryptographie?

Oui. Les systèmes exploités par des fournisseurs sont une grande partie de l'intérêt. Nous cartographions la cryptographie aux frontières que vous contrôlez et consignons ce qui est fourni par le client, ce qui est découvert et ce qui se trouve dans la boîte noire d'un fournisseur, pour que la dépendance soit consignée et dans la feuille de route.

Que reçoit le conseil?

Un rapport écrit pour deux lecteurs à la fois : le responsable des technologies qui doit agir et les administrateurs qui doivent signer, avec des constats classés selon leurs conséquences pour les dépôts, les paiements et les dossiers, et une piste de preuves qu'un organisme de réglementation ou un auditeur externe peut suivre.

Nous sommes en pleine fusion. Est-ce le bon moment?

C'est l'un des meilleurs moments. Une évaluation d'intégration inventorie la cryptographie de l'autre institution avant que les réseaux se joignent, pour que les tunnels non cartographiés et les échanges de clés faibles soient trouvés avant de devenir les vôtres.

Les attaquants supposent qu'une institution régionale est la cible la plus facile. Prouvez-leur le contraire, par écrit.