Banques et cybersécurité quantique : anticiper le risque avant qu’il ne devienne réel

La menace post-quantique n’est plus théorique

La cryptographie actuelle repose en grande partie sur des algorithmes comme RSA ou ECC, qui sont sûrs… tant que seuls des ordinateurs classiques les attaquent. Mais l’émergence annoncée de l’informatique quantique va rebattre les cartes. Avec des capacités de calcul inédites, un ordinateur quantique suffisamment puissant pourrait briser en quelques heures des clés de chiffrement aujourd’hui considérées comme inviolables.

Fin 2024, l’ANSSI publiait deux premières études sur les solutions et services liés au chiffrement post-quantique. Six mois plus tard, un troisième rapport est venu compléter l’analyse, cette fois en évaluant le niveau de sensibilisation des entreprises françaises, les mesures déjà envisagées et les plans de transition en cours. L’enquête révèle qu’une majorité des organisations interrogées — sans précision sur leur nombre — se disent exposées à des risques liés aux futurs systèmes quantiques.

La menace est double :

• Des données sensibles chiffrées aujourd’hui peuvent être déchiffrées demain (« harvest now, decrypt later ») : des attaquants stockent des données volées dans l’attente de pouvoir les déchiffrer avec des technologies futures.
• Des infrastructures cryptographiques critiques, notamment dans la finance, pourraient s’effondrer sans préavis, rendant caducs certificats, identifiants ou systèmes de validation de transactions.

Un contexte réglementaire en mutation

Face à ces risques, les autorités commencent à réagir. Le NIST (National Institute of Standards and Technology) a lancé un processus de sélection d’algorithmes résistants au quantique. Les premières normes sont attendues d’ici fin 2024.

En Europe, des réglementations comme DORA ou NIS2 exigent déjà des entreprises qu’elles renforcent leur résilience opérationnelle, y compris face aux risques cryptographiques émergents.

Dans ce contexte, les banques, fortement exposées par la nature de leurs données et de leurs flux, ne peuvent plus attendre.

Cartographier avant de corriger : la méthode Guardium Quantum Safe

a. Explorer son patrimoine cryptographique

Impossible de migrer vers une cryptographie post-quantique sans savoir où se trouvent les mécanismes cryptographiques à risque.

IBM Quantum Safe Explorer, intégré à la suite Guardium, répond à ce besoin critique :

• Il scanne l’ensemble du code, des objets techniques et des flux applicatifs,
• Il identifie les artefacts cryptographiques utilisés (algorithmes, bibliothèques, certificats),
• Il cartographie les interdépendances entre systèmes.

Le résultat : un CBOM (Cryptography Bill of Materials) complet, qui structure le plan d’action.

b. Évaluer les risques et les priorités

L’étape suivante consiste à analyser les dépendances identifiées pour en évaluer la criticité et prioriser les actions de modernisation.

IBM Quantum Safe Advisor automatise cette phase d’analyse :

• Il enrichit le CBOM avec des métadonnées sur l’environnement IT,
• Il permet de croiser les dépendances techniques avec les exigences métier et réglementaires,
• Il s’adapte aux politiques internes de sécurité pour fournir une vue claire sur les zones à risque.

c. Tester les impacts et passer à l’action

La migration vers une cryptographie post-quantique doit être progressive et sans rupture.

IBM Quantum Safe Remediator permet aux équipes de :

• Simuler l’intégration de nouveaux algorithmes sans modifier les systèmes en production,
• Choisir les bons certificats ou services de gestion de clés,
• Gérer en parallèle la cryptographie actuelle et post-quantique, facilitant une cohabitation temporaire et une transition douce.

L’expertise de BECYCURE pour une transition sécurisée

Chez BECYCURE, nous accompagnons les institutions financières à chaque étape de cette transition critique, avec une approche basée sur :

• L’audit du patrimoine cryptographique (avec IBM Guardium Quantum Safe),
• La gestion des priorités via une lecture croisée technique / métier / conformité,
• L’intégration sécurisée des technologies post-quantiques dans les SI existants.

Nos équipes permettent de transformer une contrainte réglementaire en avantage stratégique, tout en préservant les opérations et la confiance des clients.