La banca abierta es la práctica de permitir que proveedores de servicios financieros externos accedan a los datos de los clientes desde bancos y otras instituciones financieras. Los clientes controlan quién puede acceder a su información y deben aceptar compartir sus datos con terceros. Estos datos compartidos, a los que se accede a través de interfaces de programación de aplicaciones (API), permiten una mayor innovación y competencia en el sector financiero y han posibilitado el auge de las fintech y nuevas ofertas en el mercado de servicios financieros. Se prevé que el valor total de las transacciones de los pagos globales de banca abierta aumente de USD 57 mil millones en 2023 a más de USD 330 mil millones para 2027.

La banca abierta, cuando se realiza de forma segura y legal, se construye sobre una base de seguridad que protege los datos financieros confidenciales que se comparten entre las entidades. A continuación, explicaremos cómo funciona la banca abierta y qué medidas mantienen seguros los datos de los clientes, incluida la seguridad de la API y las estrategias de identificación y protección.

¿Qué contiene este artículo?

• ¿Para qué sirve la banca abierta?
  
• ¿Cómo funciona la banca abierta?
  
• ¿Cuáles son los desafíos de seguridad de la banca abierta?
  
• ¿Cómo funcionan las API con la banca abierta?
  
• Seguridad de las API en la banca abierta
  
• Uso de una estrategia de seguridad basada en el riesgo
  
• Implementación de políticas de confianza cero
  
• Identificación y protección contra vulnerabilidades
  

¿Para qué sirve la banca abierta?

La banca abierta ha facilitado el intercambio de datos, lo que mejora los servicios financieros para los clientes y las empresas. Estas son algunas de las herramientas y funcionalidades financieras que la banca abierta ha hecho posible:

• Aplicaciones de elaboración de presupuestos y ahorro: La banca abierta permitió la creación de aplicaciones de terceros que agregan información de las cuentas bancarias de los usuarios y ofrecen recomendaciones de presupuestos y ahorro basadas en esta visión integral.

• Mejores decisiones de crédito y préstamos: Los prestamistas pueden acceder y analizar rápidamente más datos financieros a través de la banca abierta, lo que puede conducir a tomar mejores decisiones crediticias y aprobaciones de préstamos más rápidas.

• Servicios bancarios a medida: Las instituciones financieras pueden utilizar los datos a los que acceden a través de la banca abierta para ofrecer productos y servicios personalizados que satisfagan las necesidades de cada cliente, como tasas de interés personalizadas.

• Pagos directos a la cuenta: Las API de banca abierta se pueden usar para iniciar pagos directamente desde una cuenta bancaria, sin pasar por los sistemas de pago tradicionales como las tarjetas de crédito, lo que puede reducir las comisiones por transacción.

• Mejora en la detección de fraudes: El acceso a los datos en tiempo real permite a las instituciones financieras y a los proveedores de servicios mejorar sus capacidades de detección de fraudes, lo que reduce el riesgo de transacciones no autorizadas.

• Gestión del flujo de caja: Las empresas pueden usar soluciones de banca abierta para integrar datos de diferentes cuentas en una sola plataforma y obtener una mejor comprensión de su flujo de efectivo.

• Información del mercado: Las empresas pueden analizar los datos bancarios disponibles a través de la banca abierta para obtener información sobre el comportamiento de los clientes, las tendencias del mercado y las condiciones económicas.

¿Cómo funciona la banca abierta?

La banca abierta utiliza las API para compartir datos financieros entre bancos y proveedores externos autorizados. El intercambio de datos está supeditado al consentimiento del cliente y regulado por una variedad de marcos. Así es como funciona la banca abierta:

• Desarrollo de API: Los bancos desarrollan o adoptan API estandarizadas que permiten a proveedores externos acceder a los datos financieros. Estas API actúan como vías seguras para las solicitudes y respuestas de datos.

• Consentimiento del cliente: Un cliente da su consentimiento explícito a un proveedor externo para acceder a sus datos financieros. Por lo general, el consentimiento se gestiona a través de una interfaz segura y la ley exige que sea informado y explícito.

• Acceso a los datos: Una vez dado el consentimiento, el proveedor externo utiliza las API para solicitar al banco acceso a los datos financieros del cliente. Las API gestionan estas solicitudes de forma segura y estandarizada.

• Autenticación y autorización: El banco verifica la identidad del cliente y controla que el proveedor externo tenga autorización para acceder a los datos. El proceso suele implicar pasos de autenticación, como iniciar sesión a través del portal del banco u otras comprobaciones de seguridad.

• Intercambio de datos: Después de una autenticación y autorización exitosas, el banco comparte los datos solicitados con el proveedor externo a través de la API. Estos datos pueden incluir saldos de cuentas, historiales de transacciones, funcionalidades de inicio de pagos y mucho más.

• Uso de datos: El proveedor externo utiliza estos datos para ofrecer servicios al cliente. Esto podría incluir la gestión financiera, el asesoramiento financiero personalizado, la simplificación de los procesos de préstamo o los servicios de pago.

• Autorización y seguridad permanentes: Los clientes pueden gestionar o retirar su consentimiento en cualquier momento. Los bancos y los proveedores externos deben cumplir con estrictas medidas de seguridad para proteger los datos y garantizar la privacidad.

• Marco normativo: La banca abierta se regula a través de agencias gubernamentales y la legislación nacional, que dicta los estándares de seguridad, los procedimientos para el consentimiento del cliente y los tipos de datos que se pueden compartir en la banca abierta. Los organismos reguladores monitorean continuamente a los bancos y proveedores externos para garantizar que cumplan con las regulaciones de banca abierta.

¿Cuáles son los desafíos de seguridad de la banca abierta?

La banca abierta aumenta la exposición de los datos financieros confidenciales y requiere medidas de seguridad avanzadas para protegerlos del acceso no autorizado. Los desafíos de seguridad que presenta la banca abierta deben abordarse combinando tecnología avanzada, procesos de seguridad bien diseñados y vigilancia permanente. Estos son los principales desafíos de seguridad en la banca abierta:

Privacidad y consentimiento de los datos

Solo se puede acceder a los datos financieros personales cuando los clientes han dado su consentimiento de forma clara, y los clientes deben poder revocar ese acceso en cualquier momento.

Soluciones

• Implementa sistemas de última generación para gestionar el consentimiento.
  
• Ofrece a los clientes opciones sencillas para controlar sus datos.
  
• Cumple con leyes de privacidad estrictas, como el Reglamento General de Protección de Datos (GDPR).
  

Acceso a la API

Las API permiten el acceso a los datos y deben estar bien protegidas contra accesos no autorizados y ataques.

Soluciones

• Usa métodos de autorización modernos como OAuth 2.0.
  
• Asegúrate de que las API estén reforzadas con herramientas como Transport Layer Security (TLS) mutua para la autenticación.
  
• Controla el consumo para prevenir y detectar actividades inusuales.
  

Riesgos de terceros

Los servicios de terceros tienen diferentes niveles de seguridad.

Soluciones

• Evalúa minuciosamente las medidas de seguridad de todos los proveedores externos.
  
• Supervisa continuamente a los proveedores externos.
  
• Insiste en el cumplimiento de altos estándares de seguridad.
  

Cifrado e integridad de datos

Los datos deben estar cifrados para protegerlos de cualquier manipulación o lectura en caso de ser interceptados.

Soluciones

• Utiliza técnicas de cifrado sólidas para los datos en reposo y en tránsito.
  
• Comprueba la integridad de los datos con regularidad utilizando técnicas como la firma digital.
  

Detección de fraudes

Un mayor acceso a los datos puede dar lugar a nuevos tipos de fraude.

Soluciones

• Utiliza machine learning avanzado para detectar el fraude a medida que ocurre.
  
• Configura un sistema para estar alerta a las acciones sospechosas y reaccionar rápidamente ante ellas.
  

Cumplimiento normativo

La normativa puede variar según la región y cambiar con el tiempo, lo que afecta la forma en que se deben manejar los datos.

Soluciones

• Crea una estrategia de cumplimiento que pueda ajustarse rápidamente a las nuevas leyes.
  
• Asegúrate de que tu equipo se mantenga informado sobre los últimos requisitos.
  

Gestión de identidades y accesos

Los usuarios particulares deben verificarse y su acceso a los datos debe gestionarse minuciosamente.

Soluciones

• Implementa sistemas sólidos de verificación de la identidad y autenticación multifactor (MFA).
  
• Establece controles de acceso precisos.
  

Resiliencia y respuesta a incidentes

Los servicios deben funcionar sin complicaciones incluso cuando surgen problemas. Las brechas de seguridad deben abordarse rápidamente para minimizar los daños.

Soluciones

• Prepara y actualiza con regularidad los planes de respuesta ante incidentes.
  
• Asegúrate de que se dispone de sistemas de copia de seguridad.
  
• Realiza simulacros de seguridad con regularidad.
  

¿Cómo funcionan las API con la banca abierta?

Las API son la base de la banca abierta, ya que proporcionan una forma segura y estandarizada para que las aplicaciones y los servicios se integren con los bancos y accedan a los datos financieros. Así es como funcionan:

• Actúan como un mensajero seguro: Las API envían solicitudes de información (por ejemplo, saldo de la cuenta, historial de transacciones) desde la aplicación que usas (por ejemplo, una aplicación de elaboración de presupuestos) a tu banco y trasmiten la respuesta del banco a la aplicación. Esto te permite utilizar una variedad de servicios financieros a través de aplicaciones de terceros mientras mantienes tus datos bancarios seguros.

• Gestionan permisos: Cuando utilices por primera vez un nuevo servicio financiero o aplicación, la API te preguntará si la aplicación puede acceder a tu información. Si indicas que sí, se asegurará de que la aplicación obtenga solo los datos que necesita. Esto te permite controlar quién ve tu información financiera y garantiza que las aplicaciones no accedan a más datos de los necesarios.

• Proporcionan datos en tiempo real: Las API permiten que las aplicaciones recuperen datos actualizados directamente de tu banco, ya sea que se trate de las últimas transacciones o de la verificación de la titularidad de la cuenta. Esto facilita una amplia variedad de servicios de tecnología financiera, incluidas las aplicaciones de elaboración de presupuestos y las aprobaciones automáticas de préstamos.

• Estandarizan la comunicación: Las API de banca abierta siguen estándares específicos, lo que significa que emplean un «lenguaje común» a pesar de que las utilizan diferentes bancos y aplicaciones, lo que garantiza que las aplicaciones y los servicios puedan funcionar sin problemas con diferentes bancos e instituciones financieras.

• Mantén la seguridad y la privacidad: Las API aplican medidas de seguridad, como el cifrado, durante las transferencias de datos, y garantizan que solo se procesen las solicitudes autorizadas. Actúan como guardianes, evitando el acceso no autorizado, manteniendo tu privacidad y protegiendo los datos financieros de las amenazas cibernéticas.

Seguridad de las API en la banca abierta

Mejorar la seguridad de las API en la banca abierta requiere un sistema de varios niveles para garantizar que todas las interacciones entre bancos, proveedores externos y clientes sean seguras y que se mantenga la integridad de los datos. Estos son los aspectos de seguridad que deben abordarse con las API:

Autenticación y autorización

Los protocolos de autenticación y autorización garantizan que solo los usuarios y servicios legítimos puedan acceder a las API.

• OAuth 2.0: OAuth 2.0 es un método de autorización que usa tokens en lugar de credenciales. Cada token otorga acceso a un conjunto específico de recursos durante un período limitado, lo que reduce el riesgo de robo de tokens.

• OAuth: OAuth proporciona métodos para obtener tokens para diferentes escenarios, como códigos de autorización para aplicaciones y credenciales de cliente para interacciones de servidor a servidor.

Cifrado

El cifrado se usa para proteger los datos a medida que se desplazan entre sistemas (en tránsito) y cuando se almacenan (en reposo). El uso de protocolos criptográficos sólidos y actualizados evita la intercepción por parte de los atacantes.

• TLS: TLS protege los datos en tránsito, cifrando los datos que se intercambian entre clientes y servidores.

• AES: Los estándares de cifrado avanzados (AES) se aplican a las entradas de la base de datos y otros almacenes de datos para proteger los datos en reposo.

Pasarelas de API

Las pasarelas de API gestionan y protegen el tráfico hacia las API. Una pasarela de API actúa como un proxy inverso para aceptar todas las llamadas API, agregar los servicios necesarios para completarlas y devolver el resultado adecuado. Se encarga de la limitación de frecuencia, la creación de listas blancas de IP y el control de acceso. Las pasarelas pueden proporcionar información sobre los patrones de tráfico y alertar a los administradores sobre posibles amenazas de seguridad.

Prácticas seguras en el desarrollo de API

Las API son seguras por diseño. Los desarrolladores deben adherirse al Proyecto abierto de seguridad de aplicaciones web (OWASP) Top diez de la seguridad de las API, un documento de concienciación para la seguridad de las API.

• Validación de entrada de datos: La validación de entrada de datos evita los ataques de inyección SQL y las secuencias de comandos entre sitios (XSS).

• Registro de transacciones de la API: El registro detallado de las transacciones de la API garantiza que tengas la preparación necesaria en caso de una auditoría.

• Revisiones periódicas de programación: Las revisiones periódicas de programación identifican las vulnerabilidades antes de que provoquen vulneraciones de seguridad.

Límite de frecuencia y aceleración

El límite de frecuencia y aceleración evita el abuso de las API. El proceso implica limitar la cantidad de solicitudes que un usuario o servicio puede hacer en un período determinado. Si el número supera el límite, las solicitudes adicionales se retrasan o se bloquean. La limitación ayuda a administrar la carga y garantiza que los servicios permanezcan disponibles incluso en escenarios de alto tráfico o ataque.

Auditorías de seguridad y pruebas de penetración periódicas

Las auditorías de seguridad y las pruebas de penetración periódicas evalúan continuamente la postura de seguridad de las infraestructuras de las API. Estas prácticas deben formar parte de un protocolo de seguridad regular y cumplir con los estándares y requisitos de cumplimiento de la industria. Las auditorías y las pruebas de penetración de rutina pueden detectar vulnerabilidades antes de que se aprovechen.

Sistemas de detección y respuesta a anomalías

Estos sistemas detectan y responden a actividades inusuales que podrían indicar una violación de seguridad, utilizando machine learning y otros análisis avanzados para monitorear los patrones de tráfico de las API y señalar automáticamente las actividades que se desvían de la norma. A menudo se integran con mecanismos de respuesta a incidentes para aislar y mitigar rápidamente las posibles amenazas.

Uso de una estrategia de seguridad basada en el riesgo

El uso de una estrategia de seguridad basada en el riesgo implica priorizar los esfuerzos y recursos de seguridad en función de la probabilidad y el posible impacto de diversas amenazas. Una estrategia de seguridad basada en el riesgo permite a una organización seguir siendo ágil y receptiva a las nuevas amenazas, y garantiza que los recursos de seguridad se utilicen de manera eficiente y se centren en las áreas de mayor necesidad. Esto es muy importante en entornos con presupuestos de seguridad limitados o en entornos tecnológicos que cambian rápidamente.

Así es como suele funcionar una estrategia de seguridad basada en el riesgo:

• Evalúa los riesgos: Identifica y evalúa los riesgos en función de su posible impacto y la probabilidad de que ocurran. Traza un mapa de los activos de la organización y determina las amenazas a las que se enfrenta cada activo, evaluando las vulnerabilidades y los posibles impactos de esas amenazas. Utiliza técnicas como el modelado de amenazas y el análisis de vulnerabilidades.

• Prioriza los riesgos: Determina qué riesgos necesitan atención inmediata, cuáles pueden ser monitoreados y cuáles son aceptables. Clasifica los riesgos en función de su gravedad y probabilidad, priorizando los riesgos de mayor impacto y probabilidad para una mitigación inmediata.

• Implementa controles: Aplica los controles más adecuados y rentables para gestionar y mitigar los riesgos de mayor prioridad. Implementa diferentes tipos de controles (por ejemplo, preventivos, detectivos, correctivos) según el riesgo. Los controles pueden incluir soluciones tecnológicas (como firewalls y cifrado), políticas y procedimientos, y programas de capacitación y concientización.

• Supervisa los sistemas de seguridad: Supervisa continuamente las medidas de gestión de riesgos para garantizar que sean eficaces. Este proceso puede implicar auditorías de seguridad periódicas, el uso de sistemas de detección de intrusos y la supervisión de los registros de acceso y otros eventos de seguridad.

• Aprende y mejora: Ajusta las medidas en respuesta a nuevas amenazas, cambios en la organización o lecciones aprendidas de la supervisión continua. Utiliza los comentarios de la fase de supervisión y revisión para realizar mejoras en las prácticas de seguridad y actualizar las evaluaciones y los controles de riesgos a medida que se producen incidentes y se identifican vulnerabilidades.

Implementación de políticas de confianza cero

Mientras que los modelos de seguridad tradicionales asumen que se puede confiar en todo lo que se encuentra dentro de la red de una organización, las políticas de confianza cero nunca asumen esa confianza. La confianza cero requiere una verificación rigurosa de la identidad de los que intenten acceder a los recursos de la red, ya sea que se encuentre dentro o fuera del perímetro de la red. Así es como se suelen implementar las políticas de confianza cero:

• Verifica explícitamente: Cada solicitud de acceso debe verificarse antes de conceder el acceso, independientemente de dónde se origine la solicitud o a qué recurso acceda. Utiliza la MFA, la biometría y el análisis del comportamiento para verificar la identidad de los usuarios, y emplea la autenticación basada en el contexto que tiene en cuenta variables como el estado del dispositivo, la ubicación y la hora de acceso.

• Utiliza el acceso con el mínimo privilegio: Minimiza la exposición de cada usuario a partes sensibles de la red otorgando a los usuarios y dispositivos el mínimo nivel de acceso necesario para realizar sus tareas. Gestiónalo a través de estrictos controles de acceso y funciones que se revisan y actualizan con regularidad.

• Segmentación: Divide la red en segmentos para reducir el movimiento lateral dentro de la red por parte de los atacantes. Esto crea microperímetros alrededor de los datos y sistemas confidenciales y dificulta que un atacante se mueva a través de la red si obtiene acceso.

• Defensas estratificadas: Implementa varias capas defensivas que un atacante debe eludir para acceder a los recursos. Utiliza una combinación de firewalls, sistemas de detección y prevención de intrusiones (IDS/IPS) y cifrado de datos en tránsito y en reposo.

• Supervisa y mantén la seguridad: Supervisa continuamente todo el tráfico de red y las actividades de los usuarios para detectar y responder a las amenazas en tiempo real. Usa sistemas de administración de eventos e información de seguridad (SIEM) para analizar y correlacionar los registros en busca de comportamientos anormales. El machine learning puede ayudar a reconocer patrones que se desvían de la norma.

• La seguridad como proceso integrado: Garantiza que la seguridad sea una consideración clave en cada proyecto de TI y operación comercial desde el principio. Participa en capacitaciones periódicas sobre seguridad a todos los empleados e integra la seguridad en el ciclo de vida del desarrollo de software (DevSecOps).

Identificación y protección contra vulnerabilidades

La identificación y la protección contra las vulnerabilidades implican descubrir, categorizar y abordar sistemáticamente las lagunas de seguridad o las debilidades en el software y el hardware que los atacantes podrían aprovechar. Por lo general, funciona de la siguiente manera:

• Identificación de vulnerabilidades: Realiza escaneos regulares de las vulnerabilidades mediante herramientas automatizadas que comparen las configuraciones del sistema y el software instalado con bases de datos de vulnerabilidades conocidas. Las pruebas de penetración, en las que los piratas informáticos éticos intentan aprovechar las vulnerabilidades, también proporcionan información sobre las debilidades del sistema.

• Evaluación de vulnerabilidades: Una vez identificadas las vulnerabilidades, evalúalas en función de factores como la facilidad de explotación, el posible impacto de una vulnerabilidad y el grado de exposición del sistema. Eso ayuda a priorizar los esfuerzos de remediación de acuerdo con la naturaleza y gravedad del riesgo planteado.

• Gestión de parches: Los proveedores de software proporcionan parches o actualizaciones para corregir las vulnerabilidades. Implementa un proceso sistemático para la aplicación oportuna de parches, actualizaciones y revisiones de seguridad con el fin de garantizar que las vulnerabilidades se aborden tan pronto como las correcciones estén disponibles.

• Gestión de la configuración: Utiliza herramientas de gestión de la configuración para garantizar que los sistemas se configuren de forma segura y se mantengan en un estado coherente. Revisa y refuerza con regularidad las configuraciones para minimizar las superficies expuestas a ataques y evitar vulnerabilidades por configuraciones incorrectas o ajustes predeterminados.

• Protección contra amenazas de día cero: Emplea tecnologías avanzadas de detección de amenazas, como los sistemas de detección basados en el comportamiento, que no se basan únicamente en firmas de vulnerabilidades conocidas. Pueden identificar y mitigar la actividad inusual que podría indicar un ataque en curso y defenderse contra vulnerabilidades que aún no se conocen o para las que no existe un parche.

• Educación y concientización: Lleva a cabo capacitaciones continuas en ciberseguridad para todos los empleados, enfocándote en el reconocimiento de los intentos de phishing, la administración segura de contraseñas y la comprensión de la importancia de las actualizaciones periódicas de software. Esto ayuda a minimizar el error humano, que puede introducir o exacerbar las vulnerabilidades.

• Auditorías periódicas y comprobaciones del cumplimiento de la normativa: Realiza auditorías de seguridad periódicas y comprobaciones del cumplimiento de la normativa para evaluar qué tan bien se cumplen las políticas de seguridad e identificar cualquier brecha en la postura de seguridad de la organización. De esta manera, garantizas que las prácticas de seguridad cumplan con las normas y regulaciones establecidas.

• Planificación de la respuesta ante incidentes: Desarrolla y prueba de forma rutinaria un plan de respuesta ante incidentes que describa los pasos a seguir cuando ocurre una violación de seguridad. El plan debe incluir procedimientos para la contención, erradicación, recuperación y análisis posterior al incidente.