O open banking permite que provedores terceirizados de serviços financeiros acessem dados de clientes de bancos e outras instituições financeiras. Os clientes controlam quem pode acessar as informações deles e devem concordar em compartilhar seus dados com terceiros. Esses dados compartilhados, acessados por meio de interfaces de programação de aplicações (APIs), impulsionam a inovação e a concorrência no setor financeiro, possibilitando o surgimento de fintechs e novos serviços financeiros. O valor total de transações de pagamentos globais de open banking deve aumentar de quase US$ 40 bilhões em 2025 para US$ 288 bilhões até 2033.

Um open banking seguro e em conformidade é desenvolvido sobre uma base de segurança que protege dados financeiros confidenciais compartilhados entre entidades. Abaixo, explicaremos como o open banking funciona e os dados de clientes são protegidos, incluindo segurança de APIs e estratégias de identificação e proteção.

Principais conclusões

• O open banking moderno depende de APIs padronizadas e tokenizadas e do OAuth 2.0, em vez da antiga captura de tela, garantindo que os usuários nunca compartilhem senhas bancárias originais com terceiros.

• Os usuários têm controle total sobre os próprios dados ao conceder permissões explícitas e com prazo determinado para informações específicas, que podem ser revogadas instantaneamente por meio do banco ou de aplicativos conectados.

• Um open banking seguro combina a Autenticação forte de cliente (SCA), a criptografia de ponta a ponta em trânsito e em repouso e a verificação rigorosa de provedores terceirizados para reduzir a exposição a fraudes e esclarecer a responsabilidade.

Para que o open banking é utilizado?

O open banking facilita o compartilhamento de dados, aprimorando os serviços financeiros para clientes e empresas.

O open banking possibilitou uma série de ferramentas e recursos financeiros, incluindo:

• Aplicativos de orçamento e poupança: o open banking possibilitou a criação de aplicativos de terceiros que agregam dados de contas bancárias de usuários e oferecem recomendações personalizadas de orçamentos e poupanças.

• Melhores decisões de crédito e empréstimos: os credores podem acessar e analisar mais dados financeiros rapidamente pelo open banking, o que pode levar a melhores decisões de crédito e aprovações de empréstimos mais rápidas.

• Serviços bancários personalizados: as instituições financeiras podem usar os dados acessados pelo open banking para oferecer aos clientes produtos e serviços personalizados, como taxas de juros sob medida.

• Pagamentos diretos de contas: as APIs de open banking podem ser usadas para iniciar pagamentos diretamente de uma conta bancária, ignorando os sistemas de pagamento tradicionais, como cartões de crédito, o que pode reduzir as taxas de transação.

• Detecção aprimorada de fraudes: o acesso a dados em tempo real ajuda as instituições financeiras e os provedores de serviços a aprimorar suas capacidades de detecção de fraudes, reduzindo o risco de transações não autorizadas.

• Gestão de fluxo de caixa: as empresas podem usar soluções de open banking para integrar dados de contas diferentes em uma só plataforma, obtendo uma melhor compreensão do próprio fluxo de caixa.

• Informações de mercado: as empresas podem analisar os dados bancários disponibilizados pelo open banking para obter informações sobre o comportamento do cliente, as tendências de mercado e as condições econômicas.

Como open banking funciona?

O open banking usa APIs para compartilhar dados financeiros entre bancos e provedores terceirizados autorizados. O consentimento do cliente, regulamentado por diversas estruturas, é necessário para o compartilhamento de dados.

Veja como o open banking funciona:

• Os bancos criam APIs padronizadas: os bancos desenvolvem ou adotam APIs padronizadas que permitem que os provedores terceirizados acessem dados financeiros. Essas APIs funcionam como gateways seguros para solicitações e respostas de dados.

• Os clientes dão consentimento: um cliente dá consentimento explícito a um provedor terceirizado para acessar seus dados financeiros. Em geral, o consentimento é gerenciado por uma interface segura e exigido por lei que seja informado e explícito.

• Os provedores solicitam acesso a dados: após a concessão do consentimento, o provedor terceirizado integra APIs de open banking para solicitar ao banco o acesso aos dados financeiros do cliente. Essas APIs processam as solicitações de forma segura e consistente.

• Os bancos gerenciam a autenticação e a autorização: o banco verifica a identidade do cliente e a autorização do provedor terceirizado para acessar os dados. Com frequência, o processo envolve etapas de autenticação, como fazer login pelo portal do banco ou outras verificações de segurança.

• Os bancos compartilham dados: após a autenticação e autorização bem-sucedidas, o banco compartilha os dados solicitados com o provedor terceirizado por meio da API. Os dados podem incluir saldos de contas, históricos de transações, capacidades de iniciação de pagamentos e mais.

• Os dados são fornecidos em tempo real: as APIs permitem que os aplicativos recuperem dados atualizados diretamente do banco do cliente, seja pelas últimas transações ou verificando a titularidade da conta. Isso facilita uma ampla variedade de serviços de tecnologia financeira, incluindo aplicativos de orçamentos e aprovações de empréstimos automatizadas.

• Os provedores usam os dados: o provedor terceirizado usa os dados para oferecer serviços ao cliente, como gestão financeira, conselhos financeiros personalizados, processos de empréstimos mais fáceis ou serviços de pagamento.

• Os clientes fornecem consentimento contínuo: os clientes podem gerenciar ou retirar o consentimento a qualquer momento. Os bancos e os provedores terceirizados devem cumprir medidas de segurança rígidas para proteger os dados e garantir a privacidade.

• Os reguladores definem e aplicam as regras: o open banking é regulamentado por agências governamentais e legislações nacionais, que determinam as normas de segurança, os procedimentos de consentimento de clientes e os tipos de dados que podem ser compartilhados no open banking. Os reguladores monitoram bancos e provedores terceirizados de forma contínua para garantir que eles cumpram os regulamentos do open banking.

• A comunicação é padronizada: as APIs de open banking seguem padrões específicos, o que significa que falam um "idioma comum" usado por diferentes bancos e aplicativos. Isso garante que os aplicativos e os serviços possam funcionar sem problemas com diferentes bancos e instituições financeiras.

Principais desafios de segurança do open banking

O open banking aumenta a exposição de dados financeiros confidenciais e exige medidas de segurança avançadas para proteger esses dados contra o acesso não autorizado. Os desafios de segurança exigem uma combinação de tecnologia avançada, processos de segurança bem elaborados e vigilância contínua.

Os desafios de segurança no open banking incluem:

Gestão do consentimento do cliente

Os dados financeiros pessoais só podem ser acessados quando os clientes concordam com isso claramente, e eles podem revogar esse acesso a qualquer momento.

Soluções

• Implemente sistemas de ponta para gerenciar o consentimento.
  
• Ofereça aos clientes opções diretas para controlar os próprios dados.
  
• Mantenha a conformidade com leis de privacidade rígidas, como o Regulamento Geral sobre a Proteção de Dados (GDPR).
  

Proteção de APIs contra o acesso não autorizado

As APIs abrem portas para os dados e devem ser bem protegidas contra acessos não autorizados e ataques.

Soluções

• Use métodos de autorização modernos, como o OAuth 2.0.
  
• Certifique-se de que as APIs estejam fortalecidas usando ferramentas como o mutual Transport Layer Security (TLS) para autenticação.
  
• Monitore o uso para prevenir e detectar atividades incomuns.
  

Verificação e monitoramento de provedores terceirizados

Os serviços de terceiros apresentam níveis variados de segurança.

Soluções

• Avalie as medidas de segurança de todos os provedores externos de forma minuciosa.
  
• Monitore os provedores terceirizados continuamente.
  
• Exija a conformidade com altos padrões de segurança.
  

Criptografia de dados em trânsito e em repouso

Os dados devem ser criptografados para evitar que sejam adulterados ou lidos, se interceptados.

Soluções

• Use técnicas fortes de criptografia para dados em repouso e em trânsito.
  
• Verifique a integridade dos dados regularmente usando técnicas como assinaturas digitais.
  

Detecção de fraude

Um acesso ampliado aos dados pode levar a novos tipos de fraude.

Soluções

• Use machine learning avançado para detectar fraudes no momento em que ocorrem.
  
• Configure um sistema para monitorar e reagir rapidamente a ações suspeitas.
  

Mantenha a conformidade

As regulamentações podem variar por região e mudar com o tempo, afetando a forma como os dados devem ser tratados.

Soluções

• Crie uma estratégia de conformidade que possa se ajustar rapidamente a novas leis.
  
• Certifique-se de que sua equipe permaneça informada sobre os requisitos mais recentes.
  
• Conheça as regulamentações da sua região. A UE e o Reino Unido têm exigências centralizadas para open banking, enquanto as regulamentações de open banking nos EUA são em grande parte voluntárias e orientadas pelo setor.
  

Verifique identidades e gerencie acessos

Usuários individuais devem ser verificados, e o acesso aos seus dados deve ser rigorosamente controlado.

Soluções

• Implemente sistemas de verificação de identidade com SCA e autenticação multifator (MFA).
  
• Defina controles de acesso precisos.
  
• Esclareça a estrutura de responsabilidade jurídica e financeira quando ocorrerem pagamentos não autorizados ou violações. Por exemplo, diferentes entidades serão responsabilizadas dependendo se uma transação foi não autorizada ou autorizada (por exemplo, por meio de engenharia social).
  

Como responder a incidentes

Os serviços devem funcionar sem problemas, mesmo quando ocorrem problemas. As violações de segurança devem ser resolvidas rapidamente para minimizar os danos.

Soluções

• Prepare e atualize regularmente os planos de resposta a incidentes.
  
• Certifique-se de que haja sistemas de backup em funcionamento.
  
• Execute simulações de segurança regularmente.
  

Como proteger APIs de open banking

A segurança de API no open banking requer um sistema em várias camadas para garantir que todas as interações entre bancos, provedores terceirizados e clientes sejam seguras, e que a integridade dos dados seja mantida.

As principais considerações de segurança de API incluem:

Autenticação e autorização

Protocolos de autenticação e autorização, como a Financial-grade API (FAPI), garantem que as APIs sejam acessíveis apenas por usuários e serviços legítimos.

• OAuth 2.0: o OAuth 2.0 é um método de autorização que usa tokens em vez de credenciais. Cada token concede acesso a um conjunto específico de recursos por um período limitado, o que reduz o risco de roubo de tokens.

• OAuth: o OAuth fornece métodos para obter tokens para diferentes cenários, como códigos de autorização para aplicativos e credenciais de cliente para interações de servidor para servidor.

Criptografia

A criptografia é usada para proteger os dados quando eles se movem entre sistemas (em trânsito) e quando estão armazenados (em repouso). O uso de protocolos criptográficos fortes e atualizados evita a interceptação por invasores.

• TLS: o TLS protege dados em trânsito, criptografando os dados trocados entre clientes e servidores.

• AES: os Padrões Avançados de Criptografia (Advanced encryption standards ou AES) são aplicados a entradas de banco de dados e outros armazenamentos para proteger dados em repouso.

Gateways de API

Os gateways de API gerenciam e protegem o tráfego para as APIs. Um gateway de API atua como um proxy reverso para aceitar todas as chamadas da API, agregar os serviços necessários para atendê-las e retornar o resultado apropriado. Ele lida com limitação de taxa, lista de permissões de IP e controle de acesso. Os gateways podem fornecer insights sobre padrões de tráfego e alertar os administradores sobre possíveis ameaças à segurança.

Práticas seguras de desenvolvimento de APIs

As APIs são seguras por design. Os desenvolvedores devem aderir ao API Security Top Ten do Open Web Application Security Project (OWASP), um documento de conscientização para segurança de API.

• Validação de entradas: a validação de entradas evita ataques de injeção de SQL e cross-site scripting (XSS).

• Geração de logs de transações de API: a geração detalhada de logs de transações de API garante a sua preparação em caso de auditoria.

• Revisões regulares de código: as revisões regulares de código identificam vulnerabilidades antes que causem violações de segurança.

Limitação de fluxo

Rate limiting e throttling (Limitação de taxa e controle de uso) evitam o abuso de APIs. O processo envolve limitar quantas solicitações um usuário ou serviço pode fazer em um determinado período. Se o número exceder o limite, as solicitações adicionais serão atrasadas ou bloqueadas. O throttling ajuda a gerenciar a carga e garante que os serviços permaneçam disponíveis, mesmo em cenários de alto tráfego ou ataques.

Auditorias de segurança e testes de penetração regulares

As auditorias de segurança e os testes de penetração regulares avaliam continuamente a postura de segurança das infraestruturas de API. Essas práticas devem fazer parte de um protocolo de segurança regular e cumprir padrões e requisitos de conformidade do setor. Auditorias e testes de penetração rotineiros podem encontrar vulnerabilidades antes que elas sejam exploradas.

Sistemas de detecção e resposta a anomalias

Esses sistemas detectam e respondem a atividades incomuns que podem indicar uma violação de segurança. Usando machine learning e outras análises avançadas, eles monitoraram padrões de tráfego de APIs e sinalizam automaticamente atividades discrepantes. Muitas vezes, eles são integrados a mecanismos de resposta a incidentes para isolar e mitigar rapidamente possíveis ameaças.

Como criar uma estratégia de segurança baseada em riscos

Uma estratégia de segurança baseada em riscos envolve priorizar esforços e recursos de segurança com base na probabilidade e no impacto potencial de várias ameaças. Isso ajuda a organização a permanecer ágil e responsiva a novas ameaças, e a focar os recursos onde são mais necessários. Isso é particularmente importante quando os orçamentos de segurança são limitados ou em meio a cenários tecnológicos em rápida evolução.

Veja como é o funcionamento normal de uma estratégia de segurança baseada em risco:

• Avalie os riscos: identifique e avalie os riscos com base em seu impacto potencial e probabilidade de ocorrência. Mapeie os ativos da organização e determine as ameaças que cada ativo enfrenta para avaliar vulnerabilidades e os possíveis impactos dessas ameaças. Use técnicas como modelagem de ameaças e verificações de vulnerabilidade.

• Priorize os riscos: determine quais riscos precisam de atenção imediata, quais podem ser monitorados e quais são aceitáveis. Classifique os riscos com base em sua gravidade e probabilidade, e priorize os riscos de alto impacto e alta probabilidade para mitigação imediata.

• Implemente controles: aplique os controles mais adequados e econômicos para gerenciar e mitigar os riscos de maior prioridade. Implemente diferentes tipos de controles (por exemplo, preventivos, detectivos ou corretivos), dependendo do risco. Os controles podem incluir soluções tecnológicas (por exemplo, firewalls e criptografia), políticas e procedimentos, além de programas de treinamento e conscientização.

• Monitore os sistemas de segurança: monitore continuamente as medidas de gestão de riscos para garantir a eficácia. Isso pode envolver auditorias regulares de segurança, sistemas de detecção de intrusões, monitoramento de logs de acesso e de outros eventos de segurança.

• Aprenda e melhore: ajuste as medidas em resposta a novas ameaças, mudanças na organização ou lições aprendidas com o monitoramento contínuo. Use o feedback da fase de monitoramento e revisão para fazer melhorias nas práticas de segurança. Atualize as avaliações de risco e os controles à medida que os incidentes ocorrem e as vulnerabilidades são identificadas.

Como implementar políticas de segurança zero trust

Embora os modelos de segurança tradicionais presumam que tudo dentro da rede de uma organização é confiável, as políticas zero trust (confiança zero) nunca presumem confiança. A política zero trust exige uma verificação de identidade rigorosa para qualquer pessoa que tente acessar os recursos da rede, seja dentro ou fora do perímetro da rede.

Veja como as políticas zero trust geralmente são implementadas:

• Verifique explicitamente todas as solicitações: todas as solicitações de acesso devem ser verificadas antes que o acesso seja concedido, independentemente de onde a solicitação se origina ou de qual recurso ela acessa. Use MFA, biometria e análise comportamental para verificar a identidade dos usuários, e empregue autenticação baseada em contexto que considere variáveis como integridade do dispositivo, localização e horário de acesso.

• Use acesso de menor privilégio: minimize a exposição de cada usuário a partes confidenciais da rede concedendo aos usuários e dispositivos o nível mínimo de acesso necessário para realizar suas tarefas. Gerencie isso por meio de funções e políticas rigorosas de controle de acesso, que são revisadas e atualizadas regularmente.

• Segmente a rede: divida a rede em segmentos para reduzir o movimento lateral dentro da rede por invasores. Isso cria microperímetros em torno de dados e sistemas confidenciais, e dificulta o movimento de um invasor pela rede caso ele consiga acesso.

• Implemente defesas em camadas: implemente várias camadas defensivas que um invasor deve contornar para acessar os recursos. Use uma combinação de firewalls, sistemas de prevenção e detecção de intrusões (IDS/IPS) e criptografia de dados em trânsito e em repouso.

• Monitore e mantenha a segurança: monitore continuamente todo o tráfego de rede e atividades de usuários para detectar e responder a ameaças em tempo real. Use sistemas de gerenciamento de eventos e informações de segurança (SIEM) para analisar e correlacionar logs em busca de comportamentos anormais. O machine learning pode ajudar a reconhecer padrões que se desviam da norma.

• Torne a segurança um processo integrado: garanta que a segurança seja uma consideração importante em todos os projetos de TI e operações comerciais desde o início. Participe de treinamentos regulares de segurança para todos os funcionários e integre a segurança ao ciclo de vida de desenvolvimento de software (DevSecOps).

Como identificar e se proteger contra vulnerabilidades de segurança

A identificação e a proteção contra vulnerabilidades consistem na descoberta, categorização e abordagem sistemáticas de falhas de segurança ou debilidades de software e hardware que os invasores poderiam explorar. Normalmente, funciona assim:

• Verifique os sistemas em busca de vulnerabilidades conhecidas: realize verificações regulares de vulnerabilidade usando ferramentas automatizadas que comparam configurações de sistema e software instalado com bancos de dados de vulnerabilidades conhecidas. Os testes de penetração, em que hackers éticos tentam explorar vulnerabilidades, também fornecem insights sobre as fraquezas do sistema.

• Avalie e priorize suas descobertas: depois que as vulnerabilidades forem identificadas, avalie-as com base em fatores como a facilidade de exploração, o impacto potencial de uma exploração e a extensão da exposição do sistema. Isso ajuda a priorizar os esforços de remediação de acordo com a natureza e a gravidade do risco apresentado.

• Aplique correções assim que estiverem disponíveis: fornecedores de software disponibilizam correções ou atualizações para consertar vulnerabilidades. Implemente um processo sistemático para a aplicação oportuna de correções de segurança, atualizações e hotfixes a fim de garantir que as vulnerabilidades sejam tratadas assim que as soluções estiverem disponíveis.

• Reforce as configurações do sistema: use ferramentas de gerenciamento de configuração para garantir que os sistemas sejam configurados de forma segura e mantidos de forma consistente. Revise e reforce regularmente as configurações para minimizar as superfícies de ataque e evitar vulnerabilidades devido a configurações incorretas ou padrão.

• Defenda-se contra ameaças zero-day desconhecidas: empregue tecnologias avançadas de detecção de ameaças, como sistemas de detecção baseados em comportamento, que não dependem apenas de assinaturas de vulnerabilidades conhecidas. Eles podem identificar e mitigar atividades incomuns que podem indicar uma exploração em andamento, e se defendem contra vulnerabilidades desconhecidas ou aquelas sem uma correção existente.

• Treine funcionários sobre a conscientização em segurança cibernética: realize treinamentos contínuos de segurança cibernética para todos os funcionários, com foco no reconhecimento de tentativas de phishing, no gerenciamento seguro de senhas e na compreensão da importância das atualizações regulares de software. Isso ajuda a minimizar os erros humanos, que podem introduzir ou exacerbar vulnerabilidades.

• Audite práticas de segurança e conformidade: execute auditorias de segurança e verificações de conformidade regulares para avaliar até que ponto as políticas de segurança estão sendo seguidas e identificar quaisquer lacunas na postura de segurança da organização. Isso garante que as práticas de segurança atendam a padrões e regulamentações estabelecidos.

• Estabeleça e teste um plano de resposta a incidentes: desenvolva e teste rotineiramente um plano de resposta a incidentes que descreva quais etapas tomar quando ocorrer uma violação de segurança. Isso deve incluir procedimentos para contenção, erradicação, recuperação e análise pós-incidente.

Como o Stripe Treasury pode ajudar

O Stripe Treasury reúne pagamentos e finanças na Stripe, para que as empresas possam receber, armazenar, enviar e gastar fundos em um só lugar. Ele foi criado para startups e empresas em crescimento que desejam movimentar dinheiro mais rapidamente e passar menos tempo gerenciando operações financeiras. Plataformas, marketplaces e fintechs também podem oferecer serviços financeiros aos seus usuários com o Treasury para plataformas.

O Treasury pode ajudar você a:

• Simplifique suas operações financeiras: gerencie dinheiro, pagamentos, gastos com cartão, repasses e muito mais no Stripe Dashboard.

• Movimente dinheiro mais rápido: acesse as receitas liquidadas da Stripe imediatamente e envie transferências instantâneas para outras empresas na Stripe sem custo.

• Faça seu dinheiro render mais: ganhe cashback em gastos com cartão e créditos de tarifa da Stripe em saldos qualificados.

• Opere globalmente com facilidade: mantenha saldos em várias moedas, converta apenas quando necessário e envie repasses para destinatários em mais de 160 países.

• Automatize as operações financeiras: use agentes para analisar o fluxo de caixa e automatizar tarefas como pagar faturas, movimentar dinheiro e converter moedas dentro dos limites que você definir.

Saiba mais sobre como o Stripe Treasury pode ajudar você a gerenciar suas finanças e pagamentos em um só lugar, ou comece já hoje mesmo.