El open banking permite a los proveedores externos de servicios financieros acceder a los datos de los clientes de bancos y otras instituciones financieras. Los clientes controlan quién puede acceder a su información y deben aceptar compartir sus datos con terceros. Estos datos compartidos, a los que se accede mediante las interfaces de programación de aplicaciones (API), impulsan la innovación y la competencia en el sector financiero, lo que permite el surgimiento de la tecnología fintech y de nuevos servicios financieros. Se proyecta que el valor total de las transacciones de los pagos de open banking a nivel mundial aumente de casi USD 40,000 millones en 2025 a USD 288,000 millones para 2033.

Un open banking seguro y que cumple con la normativa se basa en una base de seguridad que protege los datos financieros confidenciales que se comparten entre entidades. A continuación, explicaremos cómo funciona el open banking y cómo se protegen los datos del cliente, lo que incluye la seguridad de las API y las estrategias de identificación y protección.

Conclusiones principales

• El open banking moderno depende de las API tokenizadas y estandarizadas y de OAuth 2.0 en lugar de la extracción de datos de la pantalla heredada, lo que garantiza que los usuarios nunca compartan sus contraseñas bancarias sin procesar con terceros.

• Los usuarios tienen el control total de sus datos al otorgar permisos explícitos y con límite de tiempo para información específica que pueden revocar al instante a través de su banco o sus aplicaciones conectadas.

• El open banking seguro combina la Autenticación reforzada de clientes (SCA), el cifrado de extremo a extremo en tránsito y en reposo, y una rigurosa investigación de los proveedores externos para reducir la exposición al fraude y aclarar la responsabilidad.

¿Para qué sirve la banca abierta?

El open banking facilita el intercambio de datos, lo que mejora los servicios financieros para clientes y empresas.

El open banking ha habilitado una variedad de herramientas y funciones financieras, que incluyen las siguientes:

• Aplicaciones de ahorro y elaboración de presupuestos: El open banking ha permitido la creación de aplicaciones de terceros que agregan los datos de la cuenta bancaria de los usuarios y proporcionan recomendaciones personalizadas de ahorro y elaboración de presupuestos.

• Mejores decisiones de crédito y préstamos: Los prestamistas pueden acceder rápidamente y analizar más datos financieros a través del open banking, lo que puede dar lugar a mejores decisiones de crédito y aprobaciones de préstamos más rápidas.

• Servicios bancarios personalizados: Las instituciones financieras pueden usar los datos a los que acceden a través del open banking para ofrecer a los clientes productos y servicios personalizados, como tasas de interés a medida.

• Pagos directos desde la cuenta: Las API de open banking se pueden usar para iniciar pagos directamente desde una cuenta bancaria, con lo que se omiten los sistemas de pago tradicionales como las tarjetas de crédito, lo que puede reducir las comisiones de las transacciones.

• Detección de fraude mejorada: El acceso a los datos en tiempo real ayuda a las instituciones financieras y a los proveedores de servicios a mejorar sus capacidades de detección de fraude, lo que reduce el riesgo de transacciones no autorizadas.

• Gestión del flujo de caja: Las empresas pueden usar soluciones de open banking para integrar datos de distintas cuentas en una plataforma, con lo que obtienen una mejor comprensión de su flujo de caja.

• Información del mercado: Las empresas pueden analizar los datos bancarios que el open banking pone a disposición para obtener información sobre el comportamiento del cliente, las tendencias del mercado y las condiciones económicas.

¿Cómo funciona la banca abierta?

El open banking usa las API para compartir datos financieros entre bancos y proveedores externos autorizados. Para poder compartir datos, se requiere el consentimiento del cliente, el cual está regulado por una variedad de marcos.

Así funciona el open banking:

• Los bancos compilan API estandarizadas: Los bancos desarrollan o adoptan API estandarizadas que les permiten a los proveedores externos acceder a los datos financieros. Estas API actúan como puertas de enlace seguras para las solicitudes y las respuestas de datos.

• Los clientes dan su consentimiento: Un cliente da su consentimiento explícito a un proveedor externo para que acceda a sus datos financieros. El consentimiento por lo general se gestiona a través de una interfaz segura y es un requisito legal que sea informado y explícito.

• Los proveedores solicitan el acceso a los datos: Una vez que se otorga el consentimiento, el proveedor externo integra las API de open banking para solicitarle al banco acceso a los datos financieros del cliente. Estas API procesan las solicitudes de forma segura y uniforme.

• Los bancos gestionan la autenticación y la autorización: El banco verifica la identidad del cliente y la autorización del proveedor externo para acceder a los datos. A menudo, el proceso implica pasos de autenticación, como iniciar sesión a través del portal del banco u otros controles de seguridad.

• Los bancos comparten datos: Tras la correcta autenticación y autorización, el banco comparte los datos solicitados con el proveedor externo a través de la API. Los datos pueden incluir los saldos de la cuenta, los historiales de las transacciones, las capacidades de inicio de los pagos, y más.

• Los datos se proporcionan en tiempo real: Las API permiten que las aplicaciones recuperen los datos actualizados directamente del banco del cliente, ya sean las últimas transacciones o la verificación de la titularidad de la cuenta. Esto facilita una amplia variedad de servicios de tecnología financiera, que incluyen las aplicaciones de elaboración de presupuestos y las aprobaciones de préstamos automatizadas.

• Los proveedores usan los datos: El proveedor externo usa los datos para ofrecer servicios al cliente, como gestión financiera, asesoramiento financiero personalizado, procesos de préstamos más simples o servicios de pago.

• Los clientes brindan su consentimiento continuo: Los clientes pueden gestionar o revocar su consentimiento en cualquier momento. Los bancos y los proveedores externos deben cumplir con las estrictas medidas de seguridad para proteger los datos y garantizar la privacidad.

• Los entes reguladores establecen y hacen cumplir las reglas: El open banking está regulado por agencias gubernamentales y legislación nacional, que dictan los estándares de seguridad, los procedimientos de consentimiento del cliente y los tipos de datos que se pueden compartir en el open banking. Los reguladores supervisan continuamente a los bancos y a los proveedores externos para garantizar que cumplan con las regulaciones del open banking.

• La comunicación está estandarizada: Las API de open banking siguen estándares específicos, lo que significa que hablan un «idioma en común» que usan los distintos bancos y las diferentes aplicaciones. Esto garantiza que las aplicaciones y los servicios puedan funcionar sin problemas con los distintos bancos y las diferentes instituciones financieras.

Desafíos de seguridad principales del open banking

El open banking aumenta la exposición de los datos financieros confidenciales y requiere medidas de seguridad avanzadas para proteger esos datos del acceso no autorizado. Los desafíos de seguridad requieren una combinación de tecnología avanzada, procesos de seguridad bien diseñados y una vigilancia continua.

Los desafíos de seguridad en el open banking incluyen los siguientes:

Gestión del consentimiento del cliente

Solo se puede acceder a los datos financieros personales cuando los clientes lo han aceptado claramente, y pueden revocar ese acceso en cualquier momento.

Soluciones

• Implementar sistemas de vanguardia para gestionar el consentimiento.
  
• Ofrecer a los clientes opciones sencillas para controlar sus datos.
  
• Mantener el cumplimiento de la normativa para leyes de privacidad estrictas como el Reglamento General de Protección de Datos (RGPD).
  

Protección de las API frente al acceso no autorizado

Las API permiten el acceso a los datos y deben estar bien protegidas contra accesos no autorizados y ataques.

Soluciones

• Usar métodos de autorización modernos, como OAuth 2.0.
  
• Garantizar que las API estén fortalecidas mediante herramientas como la seguridad de la capa de transporte (TLS) mutua para la autenticación.
  
• Supervisar el consumo para evitar y detectar actividades inusuales.
  

Investigación y supervisión de los proveedores externos

Los servicios de terceros tienen diferentes niveles de seguridad.

Soluciones

• Evaluar exhaustivamente las medidas de seguridad de todos los proveedores externos.
  
• Supervisar continuamente a los proveedores externos.
  
• Exigir el cumplimiento de la normativa respecto a los altos estándares de seguridad.
  

Cifrado de datos en tránsito y en reposo

Los datos deben estar cifrados para protegerlos de cualquier manipulación o lectura en caso de ser interceptados.

Soluciones

• Usar técnicas de cifrado sólidas para los datos en reposo y en tránsito.
  
• Comprobar la integridad de los datos de forma regular mediante técnicas como las firmas digitales.
  

Detección del fraude

Un mayor acceso a los datos puede dar lugar a nuevos tipos de fraude.

Soluciones

• Usar machine learning avanzado para detectar el fraude a medida que ocurre.
  
• Configurar un sistema para vigilar y reaccionar rápidamente ante acciones sospechosas.
  

Cumplir con la normativa

La normativa puede variar según la región y cambiar con el tiempo, lo que afecta la forma en que se deben manejar los datos.

Soluciones

• Crear una estrategia de cumplimiento de la normativa que se pueda ajustar rápidamente a las nuevas leyes.
  
• Garantizar que tu equipo se mantenga informado sobre los requisitos más recientes.
  
• Conoce las normativas de tu región. La UE y el Reino Unido tienen mandatos centralizados para el open banking, mientras que las normativas del open banking de EE. UU. son, en su mayoría, voluntarias e impulsadas por el sector.
  

Cómo verificar identidades y gestionar el acceso

Se debe verificar a los usuarios particulares y su acceso a los datos debe estar estrictamente controlado.

Soluciones

• Implementa sistemas de verificación de identidad de la Autenticación reforzada de clientes (SCA) y de autenticación multifactor (MFA).
  
• Establece controles de acceso precisos.
  
• Aclara el marco de responsabilidad legal y financiera cuando ocurren pagos no autorizados o vulneraciones. Por ejemplo, se responsabilizará a diferentes entidades dependiendo de si una transacción fue autorizada o no autorizada (p. ej., a través de ingeniería social).
  

Cómo responder a los incidentes

Los servicios deben funcionar sin complicaciones incluso cuando surgen problemas. Las brechas de seguridad deben abordarse rápidamente para minimizar los daños.

Soluciones

• Prepara y actualiza periódicamente los planes de respuesta a incidentes.
  
• Asegúrate de que los sistemas de respaldo estén implementados.
  
• Ejecuta simulacros de seguridad regulares.
  

Cómo proteger las API de open banking

La seguridad de las API en el open banking requiere un sistema de múltiples capas para garantizar que todas las interacciones entre los bancos, los proveedores externos y los clientes sean seguras y que se mantenga la integridad de los datos.

Las consideraciones de seguridad clave de las API incluyen las siguientes:

Autenticación y autorización

Los protocolos de autenticación y autorización, como la Financial-grade API (FAPI), garantizan que solo los usuarios y servicios legítimos puedan acceder a las API.

• OAuth 2.0: OAuth 2.0 es un método de autorización que utiliza tokens en lugar de credenciales. Cada token otorga acceso a un conjunto específico de recursos por un período limitado, lo que reduce el riesgo de robo de tokens.

• OAuth: OAuth proporciona métodos para obtener tokens para diferentes escenarios, como códigos de autorización para aplicaciones y credenciales de cliente para interacciones de servidor a servidor.

Cifrado

El cifrado se usa para proteger los datos a medida que se desplazan entre sistemas (en tránsito) y cuando se almacenan (en reposo). El uso de protocolos criptográficos sólidos y actualizados evita la intercepción por parte de los atacantes.

• TLS: TLS protege los datos en tránsito, ya que cifra los datos intercambiados entre clientes y servidores.

• AES: Los estándares de cifrado avanzado (AES, por sus siglas en inglés) se aplican a las entradas de bases de datos y otros almacenes de datos para proteger los datos en reposo.

Pasarelas de API

Las pasarelas de API gestionan y protegen el tráfico hacia las API. Una pasarela de API actúa como un proxy inverso para aceptar todas las llamadas API, agregar los servicios necesarios para completarlas y devolver el resultado adecuado. Se encarga de la limitación de frecuencia, la creación de listas blancas de IP y el control de acceso. Las pasarelas pueden proporcionar información sobre los patrones de tráfico y alertar a los administradores sobre posibles amenazas de seguridad.

Prácticas seguras en el desarrollo de API

Las API son seguras por diseño. Los desarrolladores deben adherirse al API Security Top Ten del Open Web Application Security Project (OWASP), un documento de concientización para la seguridad de las API.

• Validación de entrada: La validación de entrada evita los ataques de inyección de SQL y de secuencias de comandos en sitios cruzados (XSS, por sus siglas en inglés).

• Registro de transacciones de API: El registro detallado de las transacciones de las API garantiza que estés preparado en caso de una auditoría.

• Revisiones de código regulares: Las revisiones de código regulares identifican las vulnerabilidades antes de que provoquen vulneraciones de seguridad.

Límite de frecuencia y aceleración

La limitación de velocidad y la limitación de peticiones (throttling) evitan el abuso de las API. El proceso implica limitar cuántas solicitudes puede hacer un usuario o servicio en un período determinado. Si el número excede el límite, se retrasan o bloquean las solicitudes adicionales. La limitación de peticiones ayuda a gestionar la carga y garantiza que los servicios permanezcan disponibles incluso en escenarios de alto tráfico o de ataque.

Auditorías de seguridad y pruebas de penetración periódicas

Las auditorías de seguridad y las pruebas de penetración periódicas evalúan continuamente la postura de seguridad de las infraestructuras de las API. Estas prácticas deben formar parte de un protocolo de seguridad regular y cumplir con los estándares y requisitos de cumplimiento de la industria. Las auditorías y las pruebas de penetración de rutina pueden detectar vulnerabilidades antes de que se aprovechen.

Sistemas de detección y respuesta a anomalías

Estos sistemas detectan y responden a actividades inusuales que podrían indicar una violación de seguridad, utilizando machine learning y otros análisis avanzados para monitorear los patrones de tráfico de las API y señalar automáticamente las actividades que se desvían de la norma. A menudo se integran con mecanismos de respuesta a incidentes para aislar y mitigar rápidamente las posibles amenazas.

Cómo crear una estrategia de seguridad basada en el riesgo

Una estrategia de seguridad basada en el riesgo implica priorizar los esfuerzos y recursos de seguridad en función de la probabilidad y el posible impacto de diversas amenazas. Ayuda a una organización a mantenerse ágil, responder a nuevas amenazas y centrar los recursos donde más se necesitan. Esto es particularmente importante cuando los presupuestos de seguridad son limitados o en medio de entornos tecnológicos en rápida evolución.

Así es como suele funcionar una estrategia de seguridad basada en el riesgo:

• Evalúa los riesgos: Identifica y evalúa los riesgos en función de su posible impacto y de la probabilidad de que ocurran. Mapea los activos de la organización y determina las amenazas a las que se enfrenta cada activo; evalúa las vulnerabilidades y los posibles impactos de esas amenazas. Utiliza técnicas como el modelado de amenazas y los escaneos de vulnerabilidad.

• Prioriza los riesgos: Determina qué riesgos necesitan atención inmediata, cuáles se pueden monitorear y cuáles son aceptables. Clasifica los riesgos según su gravedad y probabilidad; prioriza los riesgos de alto impacto y alta probabilidad para su mitigación inmediata.

• Implementa controles: Aplica los controles más adecuados y rentables para gestionar y mitigar los riesgos de mayor prioridad. Implementa diferentes tipos de controles (p. ej., preventivos, de detección, correctivos) según el riesgo. Los controles pueden incluir soluciones tecnológicas (p. ej., firewalls y cifrado), políticas y procedimientos, y programas de capacitación y concientización.

• Monitorea los sistemas de seguridad: Monitorea de forma continua las medidas de gestión de riesgos para garantizar su eficacia. Esto podría implicar auditorías de seguridad periódicas, sistemas de detección de intrusiones y el monitoreo de registros de acceso y otros eventos de seguridad.

• Aprende y mejora: Ajusta las medidas en respuesta a nuevas amenazas, cambios en la organización o lecciones aprendidas del monitoreo continuo. Utiliza los comentarios de la fase de monitoreo y revisión para mejorar las prácticas de seguridad. Actualiza las evaluaciones de riesgo y los controles a medida que ocurran incidentes y se identifiquen vulnerabilidades.

Cómo implementar políticas de seguridad de confianza cero

Mientras que los modelos de seguridad tradicionales asumen que se puede confiar en todo lo que está dentro de la red de una organización, las políticas de confianza cero (zero trust) nunca asumen confianza. La confianza cero requiere una verificación de identidad rigurosa para cualquiera que intente acceder a los recursos de la red, ya sea dentro o fuera del perímetro de la red.

A continuación, se describe cómo se suelen implementar las políticas de confianza cero:

• Verifica de forma explícita todas las solicitudes: Se debe verificar cada solicitud de acceso antes de otorgarlo, independientemente del origen de la solicitud o del recurso al que acceda. Usa MFA, datos biométricos y análisis de comportamiento para verificar la identidad de los usuarios, y emplea una autenticación basada en el contexto que considere variables como el estado del dispositivo, la ubicación y el tiempo de acceso.

• Usa el acceso con privilegios mínimos: Minimiza la exposición de cada usuario a las partes confidenciales de la red otorgando a los usuarios y dispositivos el nivel mínimo de acceso necesario para realizar sus tareas. Gestiona esto mediante políticas y roles estrictos de control de acceso, que se deben revisar y actualizar de forma periódica.

• Segmenta la red: Divide la red en segmentos para reducir el movimiento lateral de los atacantes dentro de la red. Esto crea microperímetros en torno a datos y sistemas confidenciales, lo que dificulta que un atacante se mueva a través de la red si logra acceder.

• Implementa defensas en capas: Implementa varias capas defensivas que un atacante deba sortear para acceder a los recursos. Usa una combinación de firewalls, sistemas de detección y prevención de intrusiones (IDS/IPS) y el cifrado de datos en tránsito y en reposo.

• Monitorea y mantén la seguridad: Monitorea de forma continua todo el tráfico de la red y las actividades de los usuarios para detectar y responder a las amenazas en tiempo real. Usa sistemas de administración de eventos e información de seguridad (SIEM) para analizar y correlacionar los registros en busca de comportamientos anormales. El machine learning puede ayudar a reconocer patrones que se desvían de la norma.

• Haz que la seguridad sea un proceso integrado: Asegúrate de que la seguridad sea una consideración clave en cada proyecto de TI y operación de la empresa desde el principio. Participa en capacitaciones de seguridad periódicas para todos los empleados e integra la seguridad en el ciclo de vida del desarrollo de software (DevSecOps).

Cómo identificar y protegerte contra vulnerabilidades de seguridad

La identificación y la protección contra las vulnerabilidades implican descubrir, categorizar y abordar sistemáticamente las lagunas de seguridad o las debilidades en el software y el hardware que los atacantes podrían aprovechar. Por lo general, funciona de la siguiente manera:

• Escanea los sistemas en busca de vulnerabilidades conocidas: Realiza escaneos periódicos de vulnerabilidades con herramientas automatizadas que comparen las configuraciones del sistema y el software instalado con bases de datos de vulnerabilidades conocidas. Las pruebas de penetración, en las que hackers éticos intentan explotar las vulnerabilidades, también proporcionan información sobre las debilidades del sistema.

• Evalúa y prioriza tus hallazgos: Una vez que se identifican las vulnerabilidades, evalúalas según factores como la facilidad de explotación, el impacto potencial de un exploit y el grado de exposición del sistema. Eso ayuda a priorizar los esfuerzos de rectificación de acuerdo con la naturaleza y la gravedad del riesgo planteado.

• Aplica los parches en cuanto estén disponibles: Los proveedores de software proporcionan parches o actualizaciones para solucionar vulnerabilidades. Implementa un proceso sistemático para la aplicación oportuna de parches de seguridad, actualizaciones y correcciones para garantizar que se aborden las vulnerabilidades apenas las soluciones estén disponibles.

• Refuerza las configuraciones del sistema: Utiliza herramientas de gestión de configuraciones para garantizar que los sistemas se configuren de forma segura y se mantengan de manera consistente. Revisa y refuerza regularmente las configuraciones para minimizar las superficies de ataque y evitar vulnerabilidades debido a configuraciones incorrectas o predeterminadas.

• Defiéndete contra amenazas desconocidas de día cero: Emplea tecnologías avanzadas de detección de amenazas, como los sistemas de detección basados en el comportamiento, que no dependen de forma exclusiva de las firmas de vulnerabilidades conocidas. Estos pueden identificar y mitigar la actividad inusual que podría indicar un exploit en curso, y defienden contra vulnerabilidades desconocidas o aquellas sin un parche existente.

• Capacita a los empleados en la concientización sobre la ciberseguridad: Realiza capacitaciones continuas sobre ciberseguridad para todos los empleados, enfocándote en reconocer intentos de phishing, administrar contraseñas de manera segura y comprender la importancia de las actualizaciones periódicas del software. Esto ayuda a minimizar el error humano, que puede introducir o exacerbar vulnerabilidades.

• Audita las prácticas de seguridad y el cumplimiento de la normativa: Realiza auditorías de seguridad periódicas y verificaciones del cumplimiento de la normativa para evaluar qué tan bien se están siguiendo las políticas de seguridad e identificar cualquier brecha en la postura de seguridad de la organización. Hacer esto garantiza que las prácticas de seguridad cumplan con los estándares y regulaciones establecidos.

• Establece y pon a prueba un plan de respuesta a incidentes: Desarrolla y prueba de forma rutinaria un plan de respuesta a incidentes que describa qué pasos tomar cuando ocurre una vulneración de seguridad. Este debe incluir procedimientos de contención, erradicación, recuperación y análisis posterior al incidente.

Cómo puede ayudar Stripe Treasury

Stripe Treasury reúne los pagos y las finanzas en Stripe para que las empresas puedan recibir, almacenar, enviar y gastar fondos en un solo lugar. Está desarrollado para startups y empresas en crecimiento que desean mover el dinero más rápido y dedicar menos tiempo a administrar las operaciones financieras. Las plataformas, los marketplaces y las fintechs también pueden ofrecer servicios financieros a sus usuarios con Treasury para plataformas.

Treasury puede ayudarte a lograr lo siguiente:

• Simplifica tus operaciones financieras: Administra el dinero, los pagos, los gastos de tarjeta, los payouts y más desde el Stripe Dashboard.

• Mueve dinero más rápido: Accede de inmediato a las ganancias liquidadas de Stripe y envía transferencias instantáneas a otras empresas en Stripe sin costo.

• Sácale más provecho a tu dinero: Obtén reembolsos por gastos con tarjeta y créditos para comisiones de Stripe en saldos elegibles.

• Opera a nivel mundial con facilidad: Mantén saldos en varias monedas, conviértelos solo cuando sea necesario y envía transferencias a destinatarios en más de 160 países.

• Automatiza las operaciones financieras: Usa agentes para analizar el flujo de caja y automatizar tareas como pagar facturas, mover dinero y convertir monedas dentro de los límites que establezcas.

Obtén más información sobre cómo Stripe Treasury puede ayudarte a administrar tus finanzas y pagos en un solo lugar, o empieza hoy mismo.