.jpg)
La norme de sécurité des informations de l'APRA couvre déjà les API sur lesquelles vos agents fonctionnent. La plupart des institutions ne sont pas encore en mesure d'en apporter la preuve.
Toutes les institutions australiennes réglementées par l'APRA sont tenues de respecter la norme CPS 234. Il s'agit de la norme prudentielle en matière de sécurité des informations. Qu'il s'agisse d'une banque, d'un assureur ou d'un fonds de retraite, toutes ces entités sont soumises à la CPS 234, tout comme leurs prestataires tiers. Ensemble, ces institutions détiennent des milliers de milliards de dollars d'actifs. La CPS 234 existe depuis un certain temps déjà et de nombreuses équipes de sécurité informatique la connaissent bien.
Ce qui a changé, ce sont les charges de travail que ces institutions exécutent. Les agents résument, enquêtent et mettent désormais à jour les systèmes. Toutes ces tâches impliquent l'utilisation d'une API. Cela n'exempte pas les agents de la CPS 234. En revanche, cela signifie qu'une grande partie des activités de ces institutions relèvera de la CPS 234, et ce n'est pas un hasard si cette norme a été conçue pour couvrir ce domaine.
Depuis lors, d'autres normes de l'APRA sont entrées en vigueur, continuant d'élargir le champ d'application. La gestion des risques opérationnels, CPS 230, est entrée en vigueur le 1er juillet 2025. Les attentes concernant les prestataires de services tiers se sont accrues et continueront de croître à mesure que davantage de systèmes deviendront dépendants de ces agents et API.
Les API sont couvertes par la CPS 234
Comme mentionné précédemment, la CPS 234 exige qu'une entité réglementée maintienne une capacité de sécurité des informations proportionnelle à l'ampleur et à la nature des menaces pesant sur ses actifs informationnels. Les actifs informationnels peuvent inclure les logiciels et le matériel utilisés au sein de l'entreprise. Une API est considérée comme un actif informationnel. Les données transitent par les API, de plus en plus souvent via des agents plutôt que par des utilisateurs.
La CPS 234 impose de nombreuses exigences qui s'appliquent directement aux API. Les actifs informationnels doivent être classés en fonction de leur criticité et de leur sensibilité. Des contrôles doivent être mis en place et testés. Il est également nécessaire de disposer d'un plan d'intervention en cas d'incident de sécurité, et vous devez être en mesure d'en apporter la preuve. Tout cela repose sur la connaissance des actifs informationnels dont vous disposez.
Là où la plupart des institutions échouent
De nombreuses institutions ne seront pas en mesure de prouver qu'elles ont mis en place les contrôles appropriés pour leurs API. La CPS 234 exige que vous démontriez l'efficacité de vos contrôles. Vous devrez être en mesure de fournir ces preuves à vos auditeurs et, si nécessaire, à l'APRA. Voici quelques raisons pour lesquelles cela est difficile à réaliser pour les API.
Il est possible que vous n'ayez pas un inventaire complet de vos API. Les développeurs créent et exposent des API plus rapidement que vous ne pouvez les suivre. Cela signifie qu'il existe des actifs informationnels que vous devriez classer, mais dont vous ignorez même l'existence. Vous avez peut-être effectué une documentation et des examens avant la mise en service de votre API, mais une fois en production, son comportement peut être très différent. Comme nous l'avons appris avec l'utilisation des agents d'IA, il existe désormais des consommateurs de votre API qui ne sont peut-être pas sous votre contrôle.
Sans connaître les API dont vous disposez, vous ne pouvez pas les classer. Vous ne pouvez pas garantir la mise en place de contrôles pour protéger une API si vous ignorez son existence. Vous ne pouvez pas prouver que vos contrôles fonctionnent si vous ne savez pas ce qui se passe sur cette API.
Voici comment vous pouvez répondre à cette exigence :
- Maintenez une liste à jour de toutes vos API et assurez-vous que tout est classifié,
- Identifiez les agents et les services qui consomment vos API ainsi que les autorisations dont ils disposent,
- Vérifiez que vos contrôles sont réellement opérationnels en production, et
- conservez un historique de toutes les informations consultées afin de pouvoir prouver l'efficacité de vos contrôles.
Ces étapes ne sont rien d'extraordinaire. C'est simplement ce que nous attendons de tous nos actifs informationnels. Il n'en va pas autrement lorsque des agents IA consomment ces actifs.
La norme CPS 234 s'applique à vos API et à vos agents.
Avec les agents IA, nous avons ajouté une dimension supplémentaire à la norme CPS 234 dont il faut tenir compte. Si vous souhaitez vous assurer de respecter les exigences de la CPS 234, vous devez savoir ce que vous possédez. Salt peut vous y aider. En découvrant toutes vos API et en comprenant qui les consomme, vous pouvez commencer à fournir la preuve que vos contrôles sont en place et qu'ils fonctionnent. Cela ne vous rendra pas conforme en soi, mais cela peut vous aider à relever certains des défis auxquels vous pourriez être confronté pour répondre aux exigences de la CPS 234.
Si vous souhaitez en savoir plus sur Salt et sur la façon dont nous pouvons vous aider, veuillez nous contacter, planifier une démonstration, ou visitez notre site web.