Le Pilote de vos projets informatiques La signature bancaire Mardi 25 Octobre 2011 Le Pilote de vos projets informatiques

Agenda 14h00 - Accueil 14h15 - La signature bancaire Rappel sur la signature électronique bancaire EBICS TS, le protocole pour la signature bancaire Les impacts pour l'entreprise (SI, Administratif, Utilisateur) Les avantages de la signature electronique Démonstrations filmées 15h45 - La solution SAGE / DWS 16h00 - Cocktail

Agenda La fin des protocoles Etebac Rappel sur la signature électronique bancaire La Politique d’Acceptation Commune (PAC) Les protocoles pour la signature bancaire Les impacts pour l’entreprise (SI, Administratif, Utilisateur) La solution Sage avec FRP Treasury Universe Les avantages pour votre entreprise de la signature electronique Démonstrations filmées

La fin des protocoles ETEBAC Les 2 protocoles ETEBAC 3 et ETEBAC 5 s’appuient sur le réseau X25, géré par Orange Business Services. Obsolescence du réseau X25; Obsolescence du protocole ETEBAC 3 (arrivée des formats variables SEPA); Prépondérance du réseau IP (Internet Protocole).

Rappel sur la signature électronique bancaire L’idée ici de donner notre vision pour réussir efficacement la migration des protocoles et le passage vers les formats SEPA

Les principes de la signature électronique Signature de Transport Signature Bancaire Banques Authentification réciproque : processus garantissant à une personne l'identité de son partenaire (Signature de transport) Intégrité : garantit aux 2 parties en présence la non altération des données lors du transfert (Chiffrement) Confidentialité : service assurant aux parties en présence que les informations communiquées ne peuvent être connues d'aucune autre personne (Scellement) Non répudiation : preuve fournie aux deux parties en présence lors d'un transfert de données que l'envoi/réception de données s'est bien effectuée (Signature personnelle)

Quelle Signature pour remplacer celle d’ETEBAC 5 ? Dans le cadre du remplacement d’ETEBAC 5 et pour répondre au besoin d’une signature Electronique Personnelle Multi-bancaire les points suivants sont mis en œuvre : Définition par le CFONB de la Politique d’Acceptation Commune (PAC) et règles pour l’interopérabilité. Référencement à la PAC des Autorités de Certification qui souhaitent répondre à ces exigences Signature Electronique basée sur les certificats X509 ( Authentification et Signature) Support de la signature bancaire sur les protocoles EBICS/TS, SwiftNet/FileAct ainsi que les autres protocoles (FTPs, Pesit IP, HTTPs..) et solutions de Web Banking

La Politique d’Acceptation Commune (PAC) L’idée ici de donner notre vision pour réussir efficacement la migration des protocoles et le passage vers les formats SEPA

Les bases de la Politique d’Acceptation Commune (PAC) Le CFONB (Comité Français d’Organisation et de Normalisation Bancaires) a fondé sa PAC (Politique d’Acceptation Commune) sur la base de la RGS et la PRIS Le RGS (Référentiel Général de Sécurité ) publié au JO du 4 février 2010 et rédigé par l’ANSSI (Agence Nationale de la Sécurité des SI) fixe les règles de sécurité (identification, signature électronique et horodatage) que les SI des Autorités Administratives (AA) devront appliquer pour assurer la confidentialité et l’intégrité des informations échangées, leur propre disponibilité et intégrité et l’identification de leurs utilisateurs. La PRIS ( Politique de Référencement Intersectorielle de Sécurité ) qui définit les exigences sur les services de certification.

Autorité de Certification et Autorité d’Enregistrement Une autorité de certification (AC) fournit 4 services principaux : - Fabrication de bi-clés - Certification de clé publique et publication de certificats - Révocation de certificats - Gestion de la fonction de certification Une Autorité d’enregistrement (AE) est responsable de : - L’identification et de l’authentification d’un demandeur de certificat - L’autorité d’enregistrement peut intervenir pour l’attribution d’un certificat, pour sa révocation ou pour les deux. Note : Les rôles d’AC et d’AE peuvent être assurés par des entités distinctes ou confondues… Dans de nombreux cas les banques feront office d’AE

Liste des certificats compatibles EBICS/TS (4 fév 2011) A vérifier auprès de votre banque quels certificats sont acceptés !

La signature electronique au-delà des banques APPELS d'OFFRES (réponse électronique aux) BIOCIDES (télédéclaration) COMPTE-FISCAL PRO CVAE DUCS NET ENTREPRISES NUMERO UNIQUE  PRO DOUANES SIV TVA URSSAF Vos certificats peuvent servir par extension à d’autres usages. Télédéclaration Télérèglement Téléchargement ….

Les protocoles pour la signature bancaire L’idée ici de donner notre vision pour réussir efficacement la migration des protocoles et le passage vers les formats SEPA

EBICS, la connexion directe aux banques Entreprise HTTPs Réseau public internet ou VPN (réseau privé) Solution De Communication et de Signature Banques Respecte au minimum ce qui existe en Etebac 3/5 (réception, émission par fax, signature électronique..). Utilisation des standards de l’Internet (XML, HTTPS, SSL..) Adopté par la France et l’Allemagne dans un 1er temps Consortium Franco - Allemand (CFONB, ZKA) ouvert à d’autres pays et communautés bancaires… Adoption en cours par d’autres pays de la zone SEPA (Autriche, Suisse, Hollande , …). Accepte la volumétrie, la compression des fichiers, les formats variables et fixe! Pour expliquer le gros inconvénient d’utiliser Alliance Lite (la clé USB de swiftnet)

La signature bancaire EBICS TS Vous EBICS TS Signature de Transport Signature Personnelle Signature personnelle Banques Clé RSA (signature/authentification/chiffrement) de 2048 bits Dispositif de signature (Token USB (clé) / Certificats X509) Signature compatible avec toutes les Autorités de Certifications (AC) Signature de transport incluse dans le protocole EBICS Pour expliquer le gros inconvénient d’utiliser Alliance Lite (la clé USB de swiftnet)

La signature interne ou bancaire sous EBICS T ou TS Vous EBICS/T confirmé par fax Signature de Transport certificats Réseau Internet Proxy/Firewall Signature Interne Banques Vous Pour expliquer le gros inconvénient d’utiliser Alliance Lite (la clé USB de swiftnet) Réseau Internet Signature de Transport certificats Proxy/Firewall Signature Bancaire EBICS:TS Signature bancaire (pas de confirmation fax)

Les impacts pour l’entreprise SI, Administratif, utilisateur L’idée ici de donner notre vision pour réussir efficacement la migration des protocoles et le passage vers les formats SEPA

Procédures pour mettre en œuvre EBICS/TS Demande solution de communication bancaire + Licence protocole EBICS/TS Demande de E Token avec Certificats X509 auprès d’une banque La banque fournit les dispositifs (elle-même si elle est AC+AE ou elle les demande à une AC si elle n’est que AE) La banque transmet les dispositifs (vierge ou non) au client et éventuellement les codes PIN séparément. Si les Token sont vide, le client se connecte à l’AC pour télécharger les certificats X509 et choisir son code PIN (ex 3SKEY) Le client ouvre les contrat EBICS/TS auprès de ses autres banques: (transmission des informations des Token utilisés) (comptes concernés, flux concernés, liste des signataires, pouvoirs bancaires..) Paramétrage EBICS/TS Auto-génération des 3 certificats à faxer Test de connexion en EBICS T (validation de la signature de Transport) Transmission des 3 lettres de confirmation à chaque banque (Fax, Mail..).. Paramétrage de la signature (signataires+ dispositif Clé USB + pouvoirs bancaires). Test signature des paiements + émission en banque. Validation avec la banque de la date de mise en production. EBICS/TS

Les contrats EBICS/TS Les contrats télématiques EBICS TS : Définir les flux à signer et les pouvoirs bancaires pour les personnes habilitées à l’exécution d’opérations.  

Cas des certificats 3SKEY et les E Tokens pour EBICS TS L’activation des certificats 3SKey s’appuie sur les phases suivantes : SWIFT délivre les certificats sur Etoken numérotés et anonymes aux Banques Le client commande les Etoken et certificats 3SKey auprès d’une de ses banques Le client active son certificat via le portail 3SKey et obtient un unique ID Les banques enregistrent le clients et associent les signataires aux certificats activés et aux Unique ID Le client peut Révoquer les certificats via le Portail (et doit prévennir ses banques)

Exemple de lettre d’initialisation Editer et à envoyer (signé) à la banque pour valider l’échange des certificats lors des tests de connexion.

En résumé ce qu’il faut retenir… Organisation Souscrire une demande pour les nouveaux dispositifs de signature (E Token) Souscrire ou faire évoluer les contrats télématiques actuels, reconduire ou modifier les pouvoirs bancaires Auto générer dans FRP Communication les 3 certificats (Partie Transport sous EBICS) Communiquer les Lettres d’Initialisation (3 certificats) à chaque banque. Application Faire évoluer les applications de communication bancaire vers EBICS TS…. Adapter les échanges avec les applications source et cible (ERP, Trésorerie, Paie, etc.). Prévoir le fonctionnement en double « run » pendant la période de recouvrement ETEBAC/EBICS  Infrastructure Les serveurs (application et stockage de données). Equipements de télécommunication TCP/IP (carte¨Ethernet). Identifier les accès au réseau IP externe (VPN, LS, Internet). Sécuriser l’accès externe (Firewall/Proxy, HTTPs).

Module Communication/Signature La solution Sage avec Sage FRP Treasury Module Communication/Signature

Une plateforme unique pour tous vos échanges sécurisés Utilisateurs web Autres protocoles FTPs… Banques Une signature via le web... Sage FRP Communication bancaire Signature électronique Utilisateurs nomades Service Bureau SI, ERPs Banques Autres Etablissements Douanes, Urssaf…

Workflow des flux en émission Importation automatique des fichiers bancaires (AFB, MTXXX, XML20022,…) Contrôles sur le fichier (doublon, format, syntaxe…) Applications règles signatures (montant, devises, listes comptes fermés, banques..) Signature interne Signature interne Signature bancaire Signature bancaire Nécessite une confirmation (fax..) Pas de confirmation (fax..) Pas de confirmation (fax..) Transmission en banque sécurisée ( automatique ou manuel)

Gérez toutes vos échanges bancaires Appels automatiques / manuels Calendriers d’appel sur les banques Contrôle des doublons Alertes Mail Moniteur de supervision Nombreuses tâches paramétrables Purge automatique et paramétrable Archivage crypté des fichiers Traçabilité des échanges

La signature web pour les utilisateurs Signature de validation, signature bancaire... Module Signature Signature personnelle bancaire ou interne (simple ou double) Règles de signature (plafonds, seuils, comptes, flux, banque, sociétés..) Transport manuel ou automatique..

La signature web pour les utilisateurs Le signataire peut voir d’un seul coup d’œil: Le contrat télématique, le montant total, le nombre de transaction, la 1ere date d’éxecution du fichier, le statut urgent du paiement. Il peut refuser totalement ou partiellement le contenu d’un fichier de paiement Il peut être restreint dans l’affichage des flux sensibles comme les salaires Des alertes mail permettent de notifier à chaque étape du workflow.. Des audits permettent de savoir qui fait quoi et de connaitre le statut des fichiers

Recommandations Sarbanes Oxley Procédures d’authentification Support Active Directory, LDAP et gestion locale Ségrégation des tâches d’administration Règles de gestion des mots de passe (gestion locale) Règles des 4 yeux (double validation) Le mot de passe doit être changé à la première connexion • Règles sur la longueur et les caractères • Fréquence de modification des mots de passe • Compte désactivé après plusieurs tentatives • Compte activé sur une période Contrôles des mécanismes d’attaque (Hacker) Gérez de manière fine les habilitations de vos utilisateurs !

Audit complet d’Administration Pour vos audits, un reporting complet sur toute l’activité de la solution ! Audit par produit, module, user,… et description des tâches effectuées

Gestion des règles de signature Administration de la signature bancaire/interne Gestion des règles de signature

Liste des certificats (E Token) Administration des dispositifs de signature Liste des certificats (E Token)

Suivi du workflow de signature - Information sur les précédents workflow de signature et Tickets Savoir qui fait quoi et quand !

Editer les règles de signature Signature Web Audit signature précis Editer les règles de signature

Les avantages pour l’entreprise SI, Administratif, utilisateur L’idée ici de donner notre vision pour réussir efficacement la migration des protocoles et le passage vers les formats SEPA

Les possibilités de la signature electronique… Un certificat référencé et agréé pour être interopérable, conformes au Référentiel Général de Sécurité (RGS) et à la Politique d’Acceptation Commune (PAC) Le RGS est le référentiel de sécurité adopté en 2010 et vers lequel toutes les administrations doivent converger : vos téléprocédures (TéléTVA, cartes grises, URSSAF, etc...) La PAC a été adoptée par les banques de manière à ce que les certificats de signature puissent être utilisés pour signer des fichiers à destination de l'ensemble des banques adhérentes au CFONB. Une solution parfaitement adaptée à EBICS TS EBICS TS (Transport + Signature) exige l'utilisation de certificats de signature.

Les possibilités de la signature electronique… Dans le cadre d'un contrat EBICS TS avec la banque, vous définissez clairement les droits de chacun de vos collaborateurs en fonction de leur rôle, de la nature des flux, des plafonds fixés... En équipant chacun d'eux d'un certificat personnel, les tâches sont affectées et tracées par les logiciels de communication EBICS TS. Vous sécurisez et optimisez ainsi les traitements de vos flux financiers. Le certificat devient un maillon central pour accélérer la dématérialisation des échanges Les applications informatiques exploitant les possibilités nouvelles liées à la signature électronique vont se multiplier. L'administration comme les acteurs privés cherchent à dématérialiser les échanges et les contrats, afin de générer gain de temps et réduction de coûts

Les possibilités de la signature electronique… La sécurisation des flux Seule l’application accède aux fichiers, notion de coffre fort sur les fichiers Règles de signature (plafonds, seuils, montant, devises, flux, banques, sociétés, liste fermée des comptes, restriction à l’affichage des flux sensibles, simple ou double signature...) Une automatisation des flux de bout en bout. Le fichier une fois généré, est pris en signature, et ensuite transmis automatiquement en banque Pas de risque d’interception ou de manipulation sur le fichier en réseau.. Une traçabilité complète du workflow et des utilisateurs Qui a signé, quel fichier, quel montant, quand la banque a t elle reçu le fichier… Conformité Sox, règles de sécurité de l’entreprise. Convergence vers la dématérialisation Suppression du papier, du fax… Une signature electronique pour toutes vos téléprocédures Télédéclaration, Télérèglement, Téléchargement..)

Signature non bancaire (Interne) Démo signature Signature non bancaire (Interne) Signature avec ou sans Token Signature bancaire Signature avec Token (reconnu de la banque) Signature partielle (Paraphage) Signature partielle d’un fichier

Merci de votre attention présentation DWS/Sage Questions/Réponses Merci de votre attention présentation DWS/Sage www.sage.fr/mge