Raiffeisen Italie est l'organisation faîtière de 40 entités de la Banque Raiffeisen dans la province italienne du Tyrol du Sud. Supervisant les services informatiques de ces banques membres, le DSI du système d'information de Raiffeisen, Alexander Kiesswetter, a modernisé le système d'authentification de Raiffeisen Italie pour se conformer à la directive révisée sur les services de paiement (DSP2). Dans ce cadre, Raiffeisen Italie a lancé une application mobile qui authentifie et sécurise les utilisateurs - construite à l'aide de la suite OneSpan Mobile Security et marquée en marque blanche avec la marque Raiffesien.

"En Italie, près de 50 % de nos clients utilisent la banque en ligne et 20 % la banque mobile. Mais nous constatons une augmentation beaucoup plus rapide de l'adoption des services bancaires mobiles par rapport aux services bancaires par Internet", explique Alexander Kiesswetter.

Bien que la directive PSD2 ait été le principal moteur, le passage rapide à la banque numérique et mobile a rendu tout aussi important pour Raiffeisen Italie d'offrir à la fois une sécurité forte et une expérience utilisateur plus facile. En clair, les clients ne veulent plus sortir leur carte bancaire et leur jeton matériel pour chaque petite transaction - ils préfèrent s'authentifier par le biais de leur appareil mobile.

"La priorité au mobile est un élément important de notre stratégie de transformation numérique. C'est pourquoi OneSpan était parfait pour nous. Pour la première fois, nous disposons d'une solution qui nous permet de transférer entièrement les services sur le smartphone sans utiliser d'autres outils matériels pour l'authentification. Désormais, nous pouvons utiliser non seulement le code PIN pour l'authentification, mais aussi Face ID et Touch ID

Le défi

En tant que DSI, Alexander Kiesswetter était confronté à deux défis : La conformité PSD2 et un ancien système d'authentification que les clients trouvaient difficile à utiliser.

La conformité à la directive PSD2 est une priorité essentielle pour les institutions financières (IF) dans toute l'Europe. Les IF doivent se conformer aux exigences relatives à l'authentification forte du client et à l'analyse du risque de transaction. En outre, Raiffeisen Italie devait répondre à deux autres exigences :

• Dynamic Linking (liaison dynamique) : Pour les transactions de paiement à distance, la PSD2 exige que les IF appliquent une authentification qui lie dynamiquement la transaction à un montant et à un bénéficiaire spécifiques. Tout au long du processus d'authentification, la confidentialité, l'intégrité et l'authenticité des informations de paiement doivent être protégées, et l'utilisateur doit être informé du montant et du bénéficiaire.
• Protection contre la réplication: Si une banque choisit d'utiliser une application mobile dans le cadre de ses flux d'authentification, elle doit prendre des mesures pour atténuer le risque qu'un attaquant procède à une rétro-ingénierie de l'application pour découvrir et éventuellement reproduire le secret du jeton utilisé pour générer un code d'authentification. Par conséquent, les institutions financières doivent protéger l'élément de possession (dans ce cas, l'application) contre le clonage.

En outre, la banque souhaitait faciliter l'authentification de ses clients. Le problème est qu'elle s'est retrouvée dans le bras de fer classique entre la sécurité et la facilité d'utilisation - la sécurité l'emportant au détriment de l'expérience client. Bien que leur ancien système d'authentification soit très sûr, les clients se plaignaient de sa lourdeur.

"Jusqu'à ce que nous commencions à utiliser OneSpan, notre attention était concentrée sur la sécurité. C'est pourquoi nous utilisions des jetons matériels distincts avec les cartes bancaires, car nous n'étions pas convaincus qu'une autre solution nous offrirait une sécurité suffisante", explique M. Kiesswetter.

Évaluation et sélection

Pour Raiffeisen Italie, le choix des meilleures technologies par le biais du bon réseau de partenaires en sécurité informatique est au cœur de sa réussite. Il n'a jamais été question de créer une solution en interne, et le DSI a donc chargé deux équipes d'évaluer les solutions :

• Pour l'authentification, un groupe de techniciens informatiques a sélectionné le logiciel.
• Pour la sécurité des applications mobiles, l'équipe d'évaluation comprenait le RSSI, un architecte informatique et des représentants des équipes chargées des risques et de la conformité, du développement logiciel et de l'assistance à la clientèle.

"Au cours du processus de sélection, nous avons évalué plusieurs entreprises. La grande différence que nous avons constatée entre OneSpan et les autres fournisseurs est que les solutions de OneSpan combinent un haut niveau de sécurité et de conformité avec un haut niveau de convivialité

Dans le cadre du processus d'évaluation, Raiffeisen s'est tourné vers d'autres banques de son réseau, principalement en Allemagne et en Autriche, afin de bénéficier de l'expérience de ses pairs. Enfin, la banque a également effectué des tests internes pour évaluer la technologie et l'expérience utilisateur. Elle a réalisé une enquête auprès des clients, des ateliers internes et une démonstration de faisabilité (POC).

"Ce que nous avons constaté, c'est que les clients étaient très favorables à l'utilisation d'une solution basée sur un smartphone", explique le directeur des systèmes d'information.

Exigences clés et critères d'évaluation

Une double solution

En utilisant la bibliothèque d'API de OneSpan Mobile Security Suite, Raiffeisen Italie a ajouté la signature des transactions pour sécuriser les transactions en ligne des clients contre la fraude. Elle a également intégré un bouclier d'application mobile pour protéger son application d'authentification mobile. Cette solution a permis à la banque de se conformer aux exigences de la PSD2 pour :

• Dynamic Linking : La banque a mis en œuvre la technologie Cronto, qui utilise un cryptogramme graphique composé de points colorés pour crypter les détails des transactions. Utilisée par des banques en Europe et dans le monde entier, Cronto répond aux exigences de la PSD2 en matière d'authentification et de liaison dynamique pour sécuriser les transactions financières avec un impact minimal sur l'expérience de l'utilisateur.
• Protection de la réplication : Dans le cadre de sa stratégie " mobile-first ", Raiffeisen Italie a lancé une application bancaire mobile qui authentifie et sécurise les utilisateurs. La banque a joué un rôle de leader en étant la première sur le marché italien à protéger son application à l'aide d'un bouclier d'application mobile (mobile app shielding).

L'aspect innovant du bouclier d'application mobile de OneSpan avec protection du runtime a été l'une des raisons qui ont poussé la banque à choisir cette technologie.

"C'est la première fois que nous utilisons un système basé sur le smartphone, car jusqu'à ce produit, nous étions convaincus que le smartphone était par définition un appareil non sécurisé. Lorsque nous avons vu la manière dont OneSpan renforce la sécurité sur le smartphone, ainsi que les mises à jour continues du logiciel du smartphone, nous avons été convaincus qu'il s'agissait enfin d'un produit que nous pouvions offrir à nos clients et qui nous garantissait un niveau de sécurité élevé."

Les avantages

Raiffeisen Itay a reçu des commentaires positifs de la part de ses clients et a connu une forte adoption de la nouvelle application d'authentification.

"Les clients perçoivent une fois de plus Raiffeisen comme une banque innovante", déclare le DSI. "Les commentaires qui me sont parvenus indiquent que les clients sont très satisfaits de la nouvelle fonctionnalité. Nous avons également organisé un lancement marketing pour la nouvelle application d'authentification. Lors de ce lancement, nous avons constaté que l'effort marketing avait créé beaucoup d'attentes chez les clients. Lorsque nous l'avons lancée, la demande a été forte et l'activation élevée, autant de signaux positifs de la part du marché qui ont montré qu'ils l'avaient très bien acceptée."

En outre, Raiffeisen Italie est prête pour la PSD2, bien avant la date limite de septembre 2019. Kiesswetter explique que, "en ce qui concerne les exigences de la PSD2, nous sommes en avance sur le marché."

Conclusion

"Après avoir travaillé sur ce projet, je conseille aux autres banques de commencer leur transformation numérique en première ligne, au point de contact avec le client. C'est là que l'innovation est la plus importante. Choisissez un partenaire solide qui a une vision stratégique de la direction que votre transformation numérique peut prendre à l'avenir. Commencez par les premières lignes, travaillez sur les points de contact avec le client et choisissez un partenaire qui a une vision claire de la direction que prendra la transformation numérique au cours des prochaines années."

"La vision du partenaire est importante. Après avoir travaillé avec OneSpan, nous voyons les choses différemment. Ce projet a changé notre état d'esprit. Au lieu de devoir choisir entre la sécurité et l'expérience client, il est vraiment possible de faire les deux. Je pense que c'est la plus grande surprise. À l'avenir, nous continuerons à innover et à travailler sur notre système en sachant que nous pouvons avoir un système sécurisé et une expérience client très simple et positive. C'est donc ce principe qui guidera désormais notre vision de l'avenir