ERIC POUPON Mnétique, sécurité, cnfrmité PCI, LCLF 1 SYNTHESE PROFIL Mr Pupn a rejint l entité ALTI Cnseil spécialisée dans la cnfrmité (Lutte anti-blanchiment, Lutte cntre le financement du terrrisme, Abus de marché, Fraude) grâce à sn expertise sur la sécurité et la mnétique. C est un prfessinnel expérimenté, avec : Une cnnaissance fnctinnelle très cmplète de la mnétique, tant bancaire que privative. Cette expertise cncerne à la fis les cartes, les terminaux, les serveurs d'autrisatins, les utils émetteurs et acquéreurs de surveillance et de lutte cntre la fraude, la réglementatin (PCI ), 3D-Secure, le sans-cntact, le paiement par mbile Une maîtrise de l implémentatin des fnctins cryptgraphiques (symétriques et asymétriques, mise en œuvre de bîtiers cryptgraphiques «HSM»). Une slide culture financière, juridique et bancaire permettant une grande adaptabilité. Une capacité à traiter tut prblème de fraude, même dépassant le périmètre de la mnétique. Mr Pupn est crédacteur de deux standards internatinaux de sécurité qui fnt référence dans la mnétique pétrlière. Anglais curant (TOEIC 930) DOMAINE D EXPERTISE Métiers MONETIQUE EMETTEUR Traitement des cartes à piste ISO 2 (bancaires u privatives), EMV, CPA, M/Chip Advance, PME (Mne), applicatins puces privatives, sans-cntact Serveurs d'autrisatins, systèmes de surveillance et d'analyse cmprtementale MONETIQUE ACQUEREUR Systèmes d acquisitin et d acceptatin (CB5 ), vente à distance Terminaux de Paiement Electrnique (TPE), Cnnexin sus IP Systèmes de surveillance cmmerçants Echange des transactins financières ISO 8583 et variantes : bancaires (CB2A/CB2C ), pétrlières (IFSF) MONETIQUE GENERALE Traitement u préventin des prblèmes de fraude (dmaine de cmpétence applicable en partie à la fraude nn mnétique) Sans-cntact (ISO 14443 et déclinaisns : Paypass ), nuveaux mdes de paiement (GSM, µsd (micr-sd) ) Envirnnement juridique et réglementaire : SEPA, PCI-DSS, litiges AUTRES DOMAINES Cryptgraphie : prpsitin et implémentatin d algrithmes cryptgraphiques, mise en place d architectures de clés (en HSM, hrs HSM) Cmpliance avec les standards et bligatins de sécurité : ISO 27k, PCI, CRBF 97-02, CNIL Envirnnement réglementaire des jeux en ligne (ARJEL ) Cnnaissances juridiques, cmptables et financières étendues. Gestin budgétaire Evlutin de la réglementatin interbancaire, Mastercard, Visa, PCI, participatin à un cmité internatinal de nrmalisatin de la mnétique pétrlière 1 LCLF = Lutte Cntre La Fraude CV_Eric_Pupn_TCS_fr.dc 1/9
Méthdes Management d équipe Gestin de prjet (méthde du Crédit Agricle MCPC V7, prche de Merise) Techniques PRODUITS : HSM Bull BNT/Crypt2Pay, Crypt2Prtect, TIM Risk, TIM Fraude, simulateur Integri. SGBD : Access, Prclarity, tableaux crisés dynamiques Excel. LANGAGES : Visual Basic, divers langages de macr-cmmandes de tableurs. AUTRES : Divers lgiciels de cryptgraphie symétrique u asymétrique (implémentatin de 3DES, AES, RSA, dérivatin de clés, DUKPT, hashage ), PKI, rganisatin et prcédures afférentes Exemples d interventins pssibles Audits de sécurité, évaluatin de la sécurité d un système de paiement et précnisatin de mesures crrectives Cnseil achat Cnseil vis-à-vis de la cnfrmité à PCI-DSS, analyse d écart entre l état d un SI et ce ctandard Identificatin de scénarii de fraude, prpsitin et mise en œuvre de parades rganisatinnelles u techniques Etudes d pprtunités, d impacts, études et cartgraphies de risques. Définitin des cntrôles et paramètres du serveur d aut, sur terminaux, dans la puce, pur un nuveau myen de paiement par exemple Assistance au dépliement de lgiciels (util de surveillance de l activité mnétique des cmmerçants ) Vérificatin de cahiers de recette et piltage de recettes utilisateurs pur des système réclamant une frte expertise technique (cryptgraphie, sécurité) u/et métier (mnétique), rganisatin et encadrement d alpha tests, cnceptin de tableaux de brd de suivi (dépliement de nuvelles technlgies cartes) Rédactin et mise en place de Prcédures Cnduite du changement Frmatin, Rédactin des dcumentatins Cnduite de prjets TRAVAUX DE NORMALISATION Crédacteur de deux standards internatinaux de sécurité pur la mnétique pétrlière : IFSF RECOMMENDED SECURITY STANDARDS FOR POS TO FEP AND HOST TO HOST EFT INTERFACES IFSF RECOMMENDED KEY MANAGEMENT METHODS FOR POS TO FEP AND HOST TO HOST EFT INTERFACES Cadre juridique et réglementaire : pur le cmpte de TOTAL à l assciatin internatinale des pétrliers «IFSF» - cf. www.ifsf.rg Participatin à la cnstitutin d un crps de règles de prtectin physique des PKI applicable à la mnétique acquéreur bancaire française à l assciatin d acteurs de la mnétique «Cncert Internatinal» - www.cncert.ass.fr PUBLICATIONS ET CONFERENCES Le Currier de la Mnétique n 498 (15 mai 2009) : interview «Sur l authentificatin frte, les banquiers snt partagés» 01 Infrmatique n 1990 (16 avril 2009) : article «Peu de chésin dans la prtectin des dnnées de cartes bancaires» Club CSA (27 mars 2009) : cnférence «Standards et bligatins de prtectin des dnnées cartes : PCI-DSS et autres» CV_Eric_Pupn_TCS_fr.dc 2/9
FORMATION ET LANGUES Frmatin Frmatin académique initiale (1988-1991) : DESCAF (diplôme de fin d'études d'esc btenu à Sup de C Mntpellier, électif "Marchés Financiers" en secnde année, ptin "Cntrôle de Gestin" en trisième année). Majr de l ptin et 2éme de la prmtin 1991 de l ESC. Bac C (1985) Frmatins prfessinnelles pstérieures aux études initiales : 2005-2007 Business Object, bîtiers cryptgraphiques HSM Crypt2pay (par Bull), frmatins managériales (Lgica/Unilg), sécurité du SI. 2001 Frmatin MCPC V7 : méthde de cnduite de prjets du Crédit Agricle, prche de Merise. 1996-2005 Frmatins infrmatiques diverses : Prgiciel de crédit bail immbilier ORFI CBI. Visual Basic. Access, Prclarity, Business Object. 1998-2004 Frmatins techniques : - Réseaux de télécmmunicatin. - Myens de paiement (interne Crédit Agricle), mnétique, EMV. - Cryptgraphie (interne Crédit Agricle). Deux frmatins cmptables par Francis Lefebvre : arrêté des cmptes (2001) et intégratin fiscale (2004). 1996 UV relatins juridiques du DECF (Cnservatire Natinal des Arts et Métiers) : - Drit scial. - Drit cmmercial. - Drit pénal des affaires. - Drit des sciétés. Langues Anglais Espagnl Vietnamien, russe Turc, arabe Curant (TOEIC : 930 pints) Aisé Cnversatin de base Ntins CV_Eric_Pupn_TCS_fr.dc 3/9
EXPERIENCE 2005-2015 TOTAL Directin OCE (Opératins Cartes Eurpe) Expert en cryptgraphie et sécurité mnétique Supprt et cnseil métier en LCLF 2 et sur la cmpsante sécurité de tus les prjets cartes Elabratin d une slutin innvante d authentificatin prteur et carte. Chix des techniques de chiffrement de dnnées mnétiques sensibles. Cnceptin de l architecture cryptgraphique des systèmes mnétiques. Inventaire et descriptin des clés de service, des clés techniques de stckage et de diffusin, du chiffrement, des chix d authentificatin (PKI, chix des primitives (AES vs 3DES) ) Rédactin d une prcédure cmplète de gestin des clés cryptgraphiques dans le système actuel. Descriptin des apprts, impacts et fnctins cryptgraphiques du futur système mnétique (cmparatif entre plusieurs grands chix) et participatin aux chix d arbitrage. Cnseil LCLF 2. AMOA, rédactin des expressins de besins et assistance à la mise en œuvre (en particulier pur les réseaux de HSM). Prpsitin de slutins de sécurisatin cmpatibles avec le matériel d acceptatin hétérgène de différents pays (Prtugal, Russie, Afrique du Sud ) Assistance à l achat du matériel cryptgraphique (rédactin de l appel d ffre, shrt-listage des furnisseurs, participatin au chix final en tant qu expert métier), cnseil achat pur des systèmes mnétiques nn dédiés à la sécurité (participatin aux cmmissins d appels d ffres). Participatin à la définitin des cntrôles des serveurs d autrisatins eurpéens SAE & SAA. Participatin à des travaux relatifs à PCI-DSS. Travaux cmmunautaires sur la prise en cmpte d EMV et du sans-cntact dans le cntexte internatinal du mnde pétrlier. Participatin à des négciatins avec d autres acteurs mnétiques : nrmalisatin internatinale de la mnétique pétrlière, négciatins sur le cntenu du SEPA Cards Standardisatin Vlume, négciatins directes avec PCI-SSC, interpérabilité avec des partenaires dans le cadre d acceptatins crisées Cnseil métier sur les prcessus mnétiques actuels : prcédures dégradées Envirnnement : Mnétique privative, implémentatins à base de primitives cryptgraphiques symétriques et asymétriques, EMV, applicatins de paiement privatives, nrmes pétrlières IFSF, HSM (Bull Crypt2Pay et autres). 2 LCLF = Lutte Cntre La Fraude CV_Eric_Pupn_TCS_fr.dc 4/9
2013-2014 CREDIT AGRICOLE CARDS & PAYMENTS (anciennement CEDICAM) Gestin des clés et dépliement de HSM pur le Département Sécurité et cntrôle des Risques Design et règles de gestin des clés cryptgraphiques pur les prjets nuveaux Créatin de clés de test Rédactins de règles de gestins afférentes Rédactin des actins à faire en cérémnie de clés de prductin Assistance au dépliement d un réseau de HSM piltés à distance Dcumentatin des paramètres de persnnalisatin et de cnnexin Rédactin des prcédures d explitatin Supprt technique Prestatin générale de cnseil en cryptgraphie : analyse et suggestin de remarques sur des dcuments supprts des réunins au Grupement des Cartes Bancaires (GCB) par exemple Envirnnement : mnétique bancaire EMV, dématérialisatin, KMC & HSM Bull Crypt2Pay et Crypt2Prtect, plus marginalement Thales CM 2xx & IBM 4764, Cardink. 2013 UN EMETTEUR DE CARTES DE PAIEMENT (CLIENT CONFIDENTIEL) Missin de cnseil pur la créatin d une nuvelle carte à puce Cnseils crrectifs quant aux chix technlgiques et à la cnceptin générale. Encadrement d un autre cnsultant sénir affecté à plein temps sur la missin. Mise en place d une PKI. Envirnnement : mnétique privative, ISO 7816 et applicatins de paiement assciées, PKI. CV_Eric_Pupn_TCS_fr.dc 5/9
2012 2013 CREDIT AGRICOLE CARDS & PAYMENTS (anciennement CEDICAM) Missin PCI-DSS pur le Département Sécurité et cntrôle des Risques Cnfrmité PCI-DSS des systèmes mnétiques du Grupe nn centralisés à Crédit Agricle Cards & Payments. Accmpagnement des Caisses Réginales et filiales du Grupe. Les filiales cncernées snt surtut les filiales eurpéennes (langue de travail = Anglais) : Banka, Cariparma, Friuladria, Credit Agricle Bank Plska, Crédit Agricle Serbie et Crédit Agricle Ukraine. Nature de l interventin : cnseil sur la méthdlgie de cnfrmité, frmatin, analyse d écarts pur certains systèmes mnétiques réginaux. Adaptatins pnctuelles de la plitique de sécurité Crédit Agricle Cards & Payments Assistance pnctuelle à la cmmunicatin et à la négciatin avec des interlcuteurs anglphnes. Cnseil achat dans les acquisitins de systèmes u slutins mnétiques Interventin seul en 2012 et en piltage d un autre cnsultant en 2013 et jusqu en janvier 2014. Envirnnement : mnétique bancaire, sécurité des pératins cartes, cntexte juridique et réglementaire asscié. 2011 MASTERCARD PSI - Plitique de Sécurité de l Infrmatin Examen de l ensemble des dcuments et prcédures de sécurité de Mastercard Wrldwide et de Mastercard France. Analyse critique en termes de pertinence et de cnfrmité aux nrmes sectrielles (PCI-DSS en particulier), et frmulatin des améliratins à apprter. Réécriture de certains des dcuments. Envirnnement : règles juridiques et réglementaires du dmaine bancaire (PCI-DSS et autres). 2011 CREDIT AGRICOLE CARDS & PAYMENTS (anciennement CEDICAM) Intérim d un Chargé d Etudes Sénir et Expert Sécurité en cngé lngue durée Adaptatins des paramètres EMV de persnnalisatin carte et des serveurs d autrisatins aux évlutins réglementaires Mastercard. Etude risques et spécificatin de paramètres d un nuveau myen de paiement sur téléphne mbile utilisant une micr-sd (µsd) plutôt que la carte SIM. Etude sur les pssibilités ffertes par le futur standard EMV Mastercard M/Chip Advance. Cnseil pur la sécurisatin des implémentatins EMV cntact et sans cntact. Etudes et expressins de besins cncernant l implémentatin de 3D-Secure (internet sécurisé) Suivi du dépliement et de la fraude en mde 3D-Secure. Envirnnement : EMV, M/Chip, VSDC, PayPass, VCPS, paiement sur téléphne mbile, 3D-Secure, µsd. CV_Eric_Pupn_TCS_fr.dc 6/9
2010-2011 PMU Accmpagnement en matière de sécurité d un prgramme de refnte du SI client, dans le nuveau cntexte réglementaire applicable aux jeux en ligne Analyses de risques sur chaque prjet du prgramme de refnte du SI. Accmpagnement des prjets en matière de sécurité, adapté à leur stade d avancement en début de missin : Audit sécurité sur un prjet de gestin des campagnes marketing déjà en curs de dévelppement au mment du début de la missin et précnisatin de mesures crrectives. Analyses de risques. Participatin à la rédactin d un appel d ffres pur un prjet supprt client via un util de supprt en ligne puis participatins au dépuillement (analyse et ntatins des répnses pur les aspects sécurité). Accmpagnement d un prjet de en début de cycle, relecture crrective de l expressin de besins pur prendre en cmpte les impératifs de sécurité et réglementaires (ARJEL ) Cnseils pnctuels sur certains aspects réglementaires spécifiques (ARJEL, PCI ) 2009-2010 CREDIT AGRICOLE CARDS & PAYMENTS (anciennement CEDICAM) Suivi des risques sur l ensemble des chantiers d une refnte cmplète des fnctins mnétiques et myens de paiement du Grupe Crédit Agricle, y cmpris LCL et filiales étrangères Travaux d rganisatin et de piltage pur s assurer du traitement exhaustif des aspects risques et sécurité de chaque chantier de la refnte. Animatin de cmités de suivi des risques Relecture de livrables sécurité (vérificatin des analyses de risques ) Cnseil métier sur certains chantiers : Accmpagnement dans le chix de systèmes de gestin du risque et de détectin de fraude, y cmpris participatin à des cmmissins d appel d ffres Relecture crrectives de cahiers des charges Cmpatibilité des slutins avec PCI-DSS 2009 ibp (Infrmatique des Banques Ppulaires) Expertise PCI-DSS Supprt à la demande à une équipe GFI Mnetic en charge d évaluer le cût de la cnfrmité au standard de sécurité des dnnées cartes PCI-DSS. 2009 UN FOURNISSEUR DE SERVICES DE PAIEMENT (CLIENT CONFIDENTIEL) Accmpagnement d un nuvel entrant sur le marché de l acquisitin mnétique Accmpagnement / dssier CECEI de créatin d un Etablissement de Paiement tel que prévu par la récente directive eurpéenne sur les services de paiement (2007/64/CE). Etat des lieux, cnstitutin du dssier en binôme avec un autre cnsultant senir. Traitement de tus les aspects liés aux bligatins de sécurité. Première phase du dssier acceptée par la Banque de France. CV_Eric_Pupn_TCS_fr.dc 7/9
2009 CLUB MED Missin de cnseil sur la plitique de sécurité du Grupe Directeur de missin Etat des lieux, écarts entre l existant et les différents standards prfessinnels de sécurité (PCI-DSS en particulier) et bligatins légales. Cntexte d acceptatin de cartes de paiement dans 40 pays avec autant d envirnnements juridiques et réglementaires. Identificatin des scénarii pssibles, recmmandatins. 2008-2010 Interne emplyeur (GFI à l épque) Respnsable Offre Sécurité Frmalisatin, gestin et prmtin de l ffre sécurité & LCLF (lutte cntre la fraude) Identificatin et fédératin des cmpétences. Cnceptin des dcumentatins à usage cmmercial et interne. Frmatin interne. Représentatin de GFI à diverse instance natinales d acteurs de la prfessin (Cncert ) Cnceptin et enseignement de frmatins cmmercialisées Cryptgraphie. PCI-DSS et standards de sécurité des dnnées mnétiques. 1997-2005 CREDIT AGRICOLE CARDS & PAYMENTS (anciennement CEDICAM) Chargé d Etudes Senir - pste «en interne» Fnctins d'assistance à la maîtrise d'uvrage et d'expert en sécurisatin cntre la fraude par cartes bancaires Etudes préalables, cllecte et expressin des besins, cahiers de charges, cahiers de recettes fnctinnelles, rganisatin d alpha tests, accmpagnement au dépliement d utils mnétiques... Etudes et prpsitins de systèmes de cuverture (assurances, prvisins ) des scénarii de fraudes les plus graves, en cllabratin avec les équipes en charge de la cnfrmité aux nrmes prudentielles Bâle 2, participatin aux travaux interbancaires relatifs à ce dssier. Définitin, pur le Crédit Agricle, de tus les paramètres risque des cartes et terminaux en cnfrmité avec le nuveau standard internatinal EMV. Créatin et enseignement d'une frmatin interne Crédit Agricle à la gestin du risque en mde EMV. Supprt aux autres entités de CREDIT AGRICOLE CARDS & PAYMENTS et du Grupe Crédit Agricle en matière d'expertise risque et EMV. Expertise et assistance vers le Crédit Agricle (services de maîtrises d'uvrage et de gestin bancaire de CREDIT AGRICOLE CARDS & PAYMENT, Caisses Réginales) en matière de lutte cntre la fraude par cartes en général, réalisatin de dcumentatins risque, représentatin du Crédit Agricle à des travaux et négciatins interbancaires (évlutin de la réglementatin ) Envirnnement : EMV 96, EMV 2000, B0', ISO 2, CB5, Mne, SSL, 3D, Mne, méthdes de cntrefaçn cartes, fraude cmmerçant, fraude VAD (Internet ), cadre juridique et réglementaire interbancaire CB, Mastercard, Visa. CV_Eric_Pupn_TCS_fr.dc 8/9
1991-1997 CRÉDIT AGRICOLE LEASING (GROUPE CREDIT AGRICOLE SA) Directin Infrmatique : chef de prjet (1996-1997) pste «en interne» Crrectin d'une reprise des dnnées suite au changement d'un prgiciel de crédit-bail immbilier. Crrectin des déversements des chaînes de gestin vers la cmptabilité. Envirnnement : Orfi CBI, Règles du jeu, SIGA Cmptabilité. Directin Financière, puis rattaché la Directin Générale (1991-1996) : cntrôleur budgétaire pste «en interne» Mise en place d'une cmptabilité analytique. Rédactin de prcédures cmptables. Etablissement et cntrôle des budgets de dépenses de fnctinnement (frais généraux du Grupe Crédit Agricle Leasing ramenés de 217 à 182 MF en tris ans). Suivi et prévisins du Prduit Net Bancaire et des risques. Reprting et supprts de cmmunicatin utilisés par le Directeur Général de Crédit Agricle Leasing. Planificatin à myen terme. Encadrement et frmatin d une persnne sur le suivi budgétaire. Envirnnement : SIGA Cmptabilité, lgiciels de reprting internes au Crédit Agricle, Macr-cmmandes Excel. CV_Eric_Pupn_TCS_fr.dc 9/9