Approche de sécurité de l'échange Flipster : Questions-Réponses sur les certifications de sécurité, les primes pour bogues et la protection des utilisateurs

Dans un marché crypto volatil et en évolution, les échanges de cryptomonnaies font face à un adversaire plus grand déterminé à compromettre les données et les fonds des utilisateurs. Cette semaine, nous avons rencontré Justin Hong, Directeur de la Sécurité de l'Information (CISO) de Flipster, pour une interview exclusive. Hong a ouvert son cœur sur la façon dont la plateforme de trading crypto se fortifie grâce aux certifications, à l'innovation produit et à la réponse en temps réel aux menaces.

Selon Hong, Flipster a déployé plus de 15 mises à jour de sécurité au niveau des produits cette année seulement. Ces mises à jour, associées à leur certification ISO/IEC 27001 et à une note « AA » de CER.live, assurent aux utilisateurs un environnement de trading sûr et sécurisé.

Travailler chez Flipster

Q : Bonjour Justin, veuillez commencer par nous parler un peu de vous, de votre rôle de Directeur de la Sécurité de l'Information et de pourquoi il est essentiel pour les entreprises Web3. 

R : J'ai passé les 16 dernières années dans la cybersécurité, avec de l'expérience dans la banque, la fintech et la blockchain. Chaque secteur apporte ses défis, et ensemble, ils ont façonné ma façon d'aborder la sécurité, en particulier dans le Web3, où les enjeux sont unique élevés. Le niveau d'exposition ici est sans précédent dans la finance traditionnelle. Il y a plus de contrôle utilisateur, plus d'innovation et, malheureusement, plus d'attention de la part des acteurs malveillants.

Chez Flipster, je dirige la fonction de sécurité mondiale, qui couvre tout, de la gestion des risques et de la conformité à la réponse aux incidents, en intégrant des cadres internationaux comme l'ISO/IEC 27001 dans nos opérations. La crypto évolue rapidement, et les menaces évoluent tout aussi vite. Nous construisons en tenant compte de cela – en pensant toujours à l'avance, pas seulement en réagissant.

Q : Comment est-il de travailler chez Flipster dans le monde rapide et à haut risque des plateformes de trading crypto ?

R : Il y a beaucoup d'enjeux, ce qui est exactement ce qui rend le travail si gratifiant. La sécurité dans ce domaine n'est pas passive. Vous êtes face à certains des adversaires les plus créatifs et déterminés de la technologie. Cela vous garde affûté et vous force à continuer d'évoluer.

Ce qui se distingue chez Flipster, c'est l'alignement de tout le monde. La mission est claire : nous sommes ici pour construire une plateforme de trading sécurisée et fiable sur laquelle les gens peuvent compter. Vous voyez cette concentration dans notre façon de travailler – une collaboration étroite, des boucles de rétroaction rapides et des tests constants. 

Q : Comment définissez-vous la confiance chez Flipster, et comment votre équipe travaille-t-elle à la construire et à la maintenir ?

R : La confiance se construit dans le temps grâce à la cohérence – être transparent, clair et responsable. Nous communiquons sur la façon dont nous gérons les risques, protégeons les fonds des utilisateurs et répondons aux incidents. Si quelque chose tourne mal, les utilisateurs méritent de savoir ce qui s'est passé et comment cela est résolu.

En arrière-plan, nous appliquons un modèle de « confiance zéro » (zero-trust). Chaque système et utilisateur est traité avec la même vigilance, qu'il soit interne ou externe. Cette mentalité nous aide à rester en avance sur les menaces de phishing et autres risques internes. Mais la sécurité ne peut pas se faire au détriment de l'expérience utilisateur. Nous affinons constamment les fonctionnalités pour rendre les choses plus sécurisées et plus intuitives. Lorsque ces deux aspects fonctionnent en harmonie, les utilisateurs n'ont pas à choisir entre sécurité et facilité d'utilisation.

Certification ISO/IEC 27001 et CER.live de Flipster

Q : Les plateformes crypto deviennent un « foyer » d'incidents de sécurité, qui dans la plupart des cas entraînent la perte de sommes d'argent substantielles. En travaillant chez Flipster, avez-vous rencontré une telle tentative, et comment l'avez-vous contenue ?

R : Nous avons connu notre part d'incidents – attaques DDoS, campagnes de phishing et tentatives d'usurpation d'identité, pour n'en citer que quelques-unes. Ces menaces sont réelles et constantes.

Prenons les DDoS, par exemple. Les attaquants ont essayé de perturber notre plateforme et ont même tenté des tactiques de rançon. Mais nous avons des contrôles de détection et d'atténuation intégrés à chaque couche, et nos équipes de réponse sont formées pour agir rapidement. Dans les scénarios de phishing, des acteurs malveillants se sont fait passer pour des candidats à l'emploi ou des partenaires pour essayer de tromper notre équipe et la pousser à ouvrir des fichiers nuisibles. Nos systèmes sont conçus pour détecter rapidement ces menaces, et nous suivons d'une analyse approfondie post-incident pour renforcer encore nos défenses.

Q : Flipster a récemment reçu une certification AA de CER.live. En quoi consiste cette certification, et que signifie-t-elle pour les utilisateurs ?

R : Depuis 2018, CER.live évalue des centaines d'échanges en utilisant une méthodologie rigoureuse basée sur plus de 18 indicateurs de sécurité. C'est l'une des références indépendantes les plus fiables dans ce domaine.

Pour les utilisateurs, ce type de certification est un signal clair. Cela vous dit qu'une tierce partie a vérifié notre plateforme et validé la qualité de notre sécurité. Associez cela à notre certification ISO/IEC 27001, et vous commencez à voir l'image d'une entreprise qui prend la confiance au sérieux, non seulement dans ce qu'elle dit, mais aussi dans la façon dont elle opère.

Q : Au-delà de la certification CER.live, quelles pratiques ou protocoles de sécurité clés Flipster a-t-il récemment mis en œuvre dont les utilisateurs devraient être conscients ?

R : Nous avons déployé plus de 15 fonctionnalités de sécurité au niveau des produits cette année. Certaines mises à niveau clés incluent le support des clés d'accès (passkeys), les verrous de retrait et la liste blanche d'adresses. Chacune donne aux utilisateurs plus de contrôle et ajoute une couche de protection supplémentaire.

Je recommande toujours d'activer à la fois les clés d'accès et le carnet d'adresses pour les retraits. Ces étapes simples font une réelle différence. Nous construisons également de nouveaux outils de gestion des appareils qui permettront aux utilisateurs de suivre et de gérer les appareils accédant à leurs comptes – une autre façon de les aider à rester maîtres de leur situation.

Q : Certaines plateformes ont obtenu une note AAA de CER.live. Est-ce un objectif pour Flipster ? Quelles mesures de sécurité mettez-vous en œuvre pour y parvenir ?

R : C'est dans nos radar, et nous progressons régulièrement. Nous nous concentrons maintenant sur le renforcement des protections des serveurs, le déploiement d'outils anti-phishing et la donne aux utilisateurs un contrôle accru grâce à des fonctionnalités de gestion des appareils améliorées.

Au final, nous ne courons pas après des badges, mais après ce qui améliore réellement la plateforme pour nos utilisateurs. Si quelque chose ajoute de la valeur réelle et renforce nos défenses, nous le construisons. La note AAA est une étape, pas la ligne d'arrivée.

Prime pour bogues et plus de fonctionnalités de sécurité

Q : Comment Flipster s'assure-t-il que les hackers éthiques sont incités d'une manière qui s'aligne sur les objectifs de confiance et de transparence à long terme de l'échange ?

R : Nous travaillons avec Hackenproof sur un programme public de prime pour bogues (bug bounty), offrant aux chercheurs un chemin clair et fiable pour partager leurs découvertes avec nous. Leur équipe examine les soumissions pour leur impact et leur qualité, et nous fournissons des récompenses équitables en fonction de la gravité.

Au-delà de la découverte de bogues, il s'agit d'engager la communauté mondiale de la sécurité dans notre mission. Lorsque les chercheurs savent que leur travail est valorisé et pris en compte, ils sont plus susceptibles d'aider à renforcer l'écosystème. C'est une victoire pour tout le monde.

Q : En tant que CISO et leader d'opinion dans le domaine, quels conseils donneriez-vous aux autres entreprises qui travaillent à améliorer leurs normes de sécurité ?

R : Maîtrisez d'abord les bases. La plupart des violations se produisent en raison de négligences élémentaires – correctifs manquants, permissions ouvertes, contrôle d'accès faible. Maîtrisez ces aspects, et vous éliminerez une grande partie de vos risques.

Au-delà de cela, investissez dans vos équipes et vos processus. Vous pouvez disposer de tous les outils du monde, mais si vos équipes ne sont pas formées ou si vos plans d'intervention ne sont pas testés, vous êtes vulnérables. Créez une culture où la sécurité est l'affaire de tous, et pas seulement du DSI. Ce changement d'étprit peut prendre du temps, mais il vaut tous les efforts consentis.

Q : Enfin, les attaques d'ingénierie sociale sont également très répandues dans ce domaine. Quelles mesures avez-vous mises en place pour garantir que les utilisateurs sont protégés, ou plutôt informés des tentatives de compromission de leurs comptes ?

R : Nous considérons l'ingénierie sociale sous deux angles : les prises de contrôle de comptes et les transferts frauduleux. Premièrement, nous avons intégré des protections solides telles que les passkeys, l'authentification à deux facteurs (2FA), des alertes de connexion en temps réel et la liste blanche des adresses. Bientôt, nous ajouterons également la gestion des appareils.

L'éducation des utilisateurs joue un rôle majeur dans la prévention de la fraude. Nous partageons régulièrement des mises à jour de sécurité et développons des outils qui signalent les adresses suspectes ou connues comme étant des arnaques. L'objectif est de fournir aux utilisateurs à la fois les connaissances et les outils pour rester en sécurité. Un utilisateur bien informé est l'une des meilleures lignes de défense.