El open banking permite a los proveedores externos de servicios financieros acceder a los datos de los clientes de los bancos y de otras instituciones financieras. Los clientes controlan quién puede acceder a su información y deben aceptar compartir sus datos con terceros. Estos datos compartidos, a los que se accede mediante interfaces de programación de aplicaciones (API), impulsan la innovación y la competencia en el sector financiero, lo que permite el auge de las empresas fintech y de los nuevos servicios financieros. Se prevé que el valor total de las transacciones de pagos del open banking mundial aumente de casi 40.000 millones de $ en 2025 a 288.000 millones de $ en 2033.

Un open banking seguro y que cumple la normativa se basa en una base de seguridad que protege los datos financieros confidenciales que se comparten entre las entidades. A continuación, explicaremos cómo funciona el open banking y cómo se protegen los datos de los clientes, lo que incluye la seguridad de las API y las estrategias de identificación y protección.

De un vistazo:

• El open banking moderno se basa en API estandarizadas y tokenizadas, así como en OAuth 2.0, en lugar de la extracción de datos de pantalla (screen scraping) heredada, lo que garantiza que los usuarios nunca compartan sus contraseñas bancarias sin procesar con terceros.

• Los usuarios tienen el control total sobre sus datos, ya que otorgan permisos explícitos y con un límite de tiempo para información específica que pueden revocar al instante a través de su banco o de las aplicaciones conectadas.

• El open banking seguro combina la autenticación reforzada de clientes (SCA), el cifrado de extremo a extremo en tránsito y en reposo, y una rigurosa evaluación de los proveedores externos para reducir la exposición al fraude y aclarar la responsabilidad.

¿Para qué se utiliza la banca abierta?

El open banking facilita el uso compartido de los datos y mejora los servicios financieros para los clientes y las empresas.

El open banking ha hecho posible una gran variedad de herramientas y funciones financieras, que incluyen:

• Aplicaciones de ahorro y de elaboración de presupuestos: El open banking ha permitido la creación de aplicaciones de terceros que agrupan los datos de las cuentas bancarias de los usuarios y proporcionan recomendaciones personalizadas de ahorro y elaboración de presupuestos.

• Mejores decisiones sobre créditos y préstamos: Los prestamistas pueden acceder de forma rápida a más datos financieros y analizarlos mediante el open banking, lo que puede dar lugar a mejores decisiones de crédito y aprobaciones de préstamos más rápidas.

• Servicios bancarios a medida: Las instituciones financieras pueden usar los datos a los que acceden a través del open banking para ofrecer a los clientes productos y servicios personalizados, como tasas de interés a medida.

• Pagos directos desde la cuenta: Las API de open banking se pueden usar para iniciar pagos de forma directa desde una cuenta bancaria, con lo que se omiten los sistemas de pago tradicionales, como las tarjetas de crédito, lo que puede reducir las comisiones de las transacciones.

• Mejora en la detección de fraudes: El acceso a los datos en tiempo real ayuda a las instituciones financieras y a los proveedores de servicios a mejorar sus capacidades de detección de fraudes, lo que reduce el riesgo de que se produzcan transacciones no autorizadas.

• Gestión del flujo de caja: Las empresas pueden usar las soluciones de open banking para integrar los datos de diferentes cuentas en una única plataforma, y así comprender mejor su flujo de caja.

• Información sobre el mercado: Las empresas pueden analizar los datos bancarios que pone a disposición el open banking para obtener información sobre el comportamiento de los clientes, las tendencias del mercado y las condiciones económicas.

¿Cómo funciona la banca abierta?

El open banking usa API para compartir los datos financieros entre los bancos y los proveedores externos autorizados. Para poder compartir estos datos se requiere el consentimiento del cliente regulado en varios marcos normativos.

A continuación te explicamos cómo funciona el open banking:

• Los bancos crean API estandarizadas: Los bancos desarrollan o adoptan API estandarizadas que permiten a los proveedores externos acceder a los datos financieros. Estas API actúan como pasarelas seguras para las peticiones y las respuestas de datos.

• Los clientes dan su consentimiento: Un cliente da su consentimiento explícito a un proveedor externo para que acceda a sus datos financieros. El consentimiento se suele gestionar a través de una interfaz segura y, por ley, es obligatorio que sea informado y explícito.

• Los proveedores solicitan el acceso a los datos: Una vez que se da el consentimiento, el proveedor externo integra las API de open banking para solicitar el acceso a los datos financieros del cliente al banco. Estas API procesan las peticiones de forma segura y coherente.

• Los bancos gestionan la autenticación y la autorización: El banco verifica la identidad del cliente y la autorización del proveedor externo para acceder a los datos. El proceso suele incluir unos pasos de autenticación, como iniciar sesión a través del portal del banco u otros controles de seguridad.

• Los bancos comparten los datos: Tras una autenticación y autorización que se haya realizado con éxito, el banco comparte los datos solicitados con el proveedor externo a través de la API. Los datos pueden incluir los saldos de las cuentas, los historiales de las transacciones, la capacidad de iniciar pagos y mucho más.

• Los datos se proporcionan en tiempo real: Las API permiten que las aplicaciones obtengan datos actualizados de forma directa del banco del cliente, ya sean las últimas transacciones o la verificación de la titularidad de la cuenta. Esto facilita una gran variedad de servicios de tecnología financiera, entre los que se incluyen las aplicaciones de elaboración de presupuestos y las aprobaciones de préstamos automatizadas.

• Los proveedores usan los datos: El proveedor externo usa los datos para ofrecer servicios al cliente, como la gestión financiera, el asesoramiento financiero personalizado, unos procesos de préstamo más sencillos o servicios de pago.

• Los clientes dan un consentimiento continuo: Los clientes pueden gestionar o retirar su consentimiento en cualquier momento. Los bancos y los proveedores externos deben cumplir unas estrictas medidas de seguridad para proteger los datos y garantizar la privacidad.

• Los reguladores establecen y hacen cumplir las normas: El open banking está regulado por los organismos gubernamentales y la legislación nacional, que dictan las normas de seguridad, los procedimientos de consentimiento del cliente y los tipos de datos que se pueden compartir en el open banking. Los reguladores supervisan de forma continua a los bancos y a los proveedores externos para garantizar que cumplan las normativas de open banking.

• La comunicación está estandarizada: Las API de open banking siguen unos estándares específicos, lo que significa que hablan un «idioma común» que usan los diferentes bancos y aplicaciones. Esto garantiza que las aplicaciones y los servicios puedan funcionar sin problemas con los diferentes bancos e instituciones financieras.

Principales desafíos de seguridad del open banking

El open banking aumenta la exposición de los datos financieros confidenciales y requiere de unas medidas de seguridad avanzadas para proteger esos datos del acceso no autorizado. Los desafíos de seguridad requieren de una combinación de tecnología avanzada, unos procesos de seguridad bien diseñados y una vigilancia continua.

Entre los desafíos de seguridad del open banking se incluyen los siguientes:

Cómo gestionar el consentimiento del cliente

Solo se puede acceder a los datos financieros personales cuando los clientes han dado su claro consentimiento para ello, y los clientes pueden revocar ese acceso en cualquier momento.

Soluciones

• Implementa sistemas de última generación para gestionar el consentimiento.
  
• Da a los clientes unas opciones sencillas para que controlen sus datos.
  
• Mantén el cumplimiento de la normativa en relación con las estrictas leyes de privacidad, como el Reglamento General de Protección de Datos (RGPD).
  

Cómo proteger las API contra el acceso no autorizado

Las API abren las puertas a los datos y deben estar bien protegidas contra el acceso no autorizado y los ataques.

Soluciones

• Usa métodos de autorización modernos, como OAuth 2.0.
  
• Asegúrate de que las API están reforzadas mediante el uso de herramientas como la seguridad de la capa de transporte (TLS) mutua para la autenticación.
  
• Supervisa el consumo para evitar y detectar las actividades inusuales.
  

Cómo evaluar y supervisar a los proveedores externos

Los servicios de terceros tienen diferentes niveles de seguridad.

Soluciones

• Evalúa exhaustivamente las medidas de seguridad de todos los proveedores externos.
  
• Supervisa de forma continua a los proveedores externos.
  
• Exige el cumplimiento de la normativa y de unos altos estándares de seguridad.
  

Cómo cifrar los datos en tránsito y en reposo

Los datos deben estar cifrados para evitar que se manipulen o lean si se interceptan.

Soluciones

• Usa técnicas sólidas de cifrado para los datos en reposo y en tránsito.
  
• Comprueba la integridad de los datos de forma periódica con técnicas como las firmas digitales.
  

Detección del fraude

Un mayor acceso a los datos puede dar lugar a nuevos tipos de fraude.

Soluciones

• Usa el machine learning avanzado para detectar el fraude en cuanto se produce.
  
• Configura un sistema para vigilar las acciones sospechosas y reaccionar de forma rápida ante ellas.
  

Cumplimiento de la normativa

Las normativas pueden variar según la región y cambiar con el tiempo, lo que afecta a la forma en que se deben gestionar los datos.

Soluciones

• Crea una estrategia de cumplimiento de la normativa que se pueda adaptar de forma rápida a las nuevas leyes.
  
• Asegúrate de que tu equipo se mantiene informado sobre los requisitos más recientes.
  
• Conoce la normativa de tu región. La UE y el Reino Unido cuentan con mandatos centralizados para la banca abierta, mientras que la normativa sobre banca abierta de EE. UU. es en gran medida voluntaria y está impulsada por el sector.
  

Cómo verificar identidades y gestionar el acceso

Los usuarios individuales deben verificarse, con un control estricto del acceso a sus datos.

Soluciones

• Implementa la verificación de identidad mediante la autenticación reforzada de clientes (SCA) y sistemas de autenticación multifactor (MFA).
  
• Establece controles de acceso precisos.
  
• Aclara el marco de responsabilidad legal y financiera cuando se produzcan pagos no autorizados o vulneraciones. Por ejemplo, la responsabilidad recaerá sobre distintas entidades dependiendo de si una transacción no estaba autorizada o sí lo estaba (p. ej., a través de ingeniería social).
  

Cómo responder a los incidentes

Los servicios deben funcionar sin problemas incluso cuando surgen problemas. Las brechas de seguridad deben abordarse rápidamente para minimizar los daños.

Soluciones

• Prepara y actualiza con regularidad los planes de respuesta ante incidentes.
  
• Asegúrate de contar con sistemas de copia de seguridad.
  
• Realiza simulacros de seguridad con regularidad.
  

Cómo proteger las API de banca abierta

La seguridad de las API en la banca abierta requiere un sistema multicapa para garantizar que todas las interacciones entre los bancos, los proveedores externos y los clientes sean seguras y se mantenga la integridad de los datos.

Las consideraciones clave sobre la seguridad de las API incluyen las siguientes:

Autenticación y autorización

Los protocolos de autenticación y autorización, como la API de grado financiero (FAPI), garantizan que a las API solo puedan acceder usuarios y servicios legítimos.

• OAuth 2.0: OAuth 2.0 es un método de autorización que utiliza tokens en lugar de credenciales. Cada token concede acceso a un conjunto específico de recursos por un período de tiempo limitado, lo que reduce el riesgo de robo del token.

• OAuth: OAuth proporciona métodos para obtener tokens para distintos escenarios, como códigos de autorización para aplicaciones y credenciales de cliente para interacciones entre servidores.

Cifrado

El cifrado se usa para proteger los datos a medida que se mueven entre sistemas (en tránsito) y cuando se almacenan (en reposo). El uso de protocolos criptográficos sólidos y actualizados evita la interceptación por parte de los atacantes.

• TLS: TLS protege los datos en tránsito, cifrando los datos intercambiados entre clientes y servidores.

• AES: Los estándares de cifrado avanzado (AES) se aplican a las entradas de la base de datos y otros almacenes de datos para proteger los datos en reposo.

Pasarelas de API

Las puertas de enlace de API gestionan y protegen el tráfico hacia las API. Una puerta de enlace de API actúa como un proxy inverso para aceptar todas las llamadas a la API, añadir los servicios necesarios para completarlas y devolver el resultado adecuado. Se encarga de la limitación de velocidad, las listas blancas de IP y el control de acceso. Las puertas de enlace pueden proporcionar información sobre los patrones de tráfico y alertar a los administradores sobre posibles amenazas de seguridad.

Prácticas seguras de desarrollo de API

Las API son seguras por diseño. Los desarrolladores deben cumplir el Top 10 de seguridad de API del Proyecto abierto de seguridad de aplicaciones web (OWASP), un documento de concienciación sobre la seguridad de las API.

• Validación de entradas: La validación de entradas evita los ataques de inyección SQL y los scripts de sitios cruzados (XSS).

• Registro de transacciones de API: El registro detallado de las transacciones de API garantiza que estés preparado en caso de auditoría.

• Revisiones de código periódicas: Las revisiones de código periódicas identifican vulnerabilidades antes de que provoquen brechas de seguridad.

Limitación de velocidad y estrangulamiento

La limitación de velocidad y el control de uso (throttling) evitan el abuso de las API. El proceso consiste en limitar el número de peticiones que un usuario o servicio puede realizar en un período determinado. Si el número supera el límite, las peticiones adicionales se retrasan o se bloquean. El control de uso ayuda a gestionar la carga y garantiza que los servicios sigan disponibles incluso en escenarios de mucho tráfico o ataques.

Auditorías de seguridad y pruebas de penetración periódicas

Las auditorías de seguridad periódicas y las pruebas de penetración evalúan continuamente el estado de seguridad de las infraestructuras de API. Estas prácticas deben formar parte de un protocolo de seguridad regular y cumplir con los estándares del sector y los requisitos de cumplimiento de la normativa. Las auditorías rutinarias y las pruebas de penetración pueden encontrar vulnerabilidades antes de que se exploten.

Sistemas de detección y respuesta ante anomalías

Estos sistemas detectan y responden a actividades inusuales que podrían indicar una brecha de seguridad, utilizando el machine learning y otros análisis avanzados para monitorear los patrones de tráfico de la API y marcar automáticamente las actividades que se desvían de la norma. A menudo se integran con mecanismos de respuesta a incidentes para aislar y mitigar rápidamente las posibles amenazas.

Cómo desarrollar una estrategia de seguridad basada en el riesgo

Una estrategia de seguridad basada en el riesgo implica priorizar los esfuerzos y recursos de seguridad en función de la probabilidad y el posible impacto de varias amenazas. Ayuda a que la organización siga siendo ágil, pueda responder a las nuevas amenazas y centre los recursos en aquellos lugares donde más se necesitan. Esto es especialmente importante cuando los presupuestos de seguridad son limitados o en un entorno tecnológico que evoluciona rápidamente.

Así es como suele funcionar una estrategia de seguridad basada en el riesgo:

• Evalúa los riesgos: Identifica y evalúa los riesgos en función de su posible impacto y de la probabilidad de que se produzcan. Traza un mapa de los activos de la organización, determina las amenazas a las que se enfrenta cada activo, evalúa las vulnerabilidades y calcula el posible impacto de esas amenazas. Utiliza técnicas como el modelado de amenazas y los análisis de vulnerabilidades.

• Prioriza los riesgos: Determina qué riesgos requieren atención inmediata, cuáles se pueden supervisar y cuáles son aceptables. Clasifica los riesgos en función de su gravedad y probabilidad, priorizando aquellos con un alto impacto y alta probabilidad para mitigarlos de inmediato.

• Implementa controles: Aplica los controles más adecuados y rentables para gestionar y mitigar los riesgos de mayor prioridad. Implementa diferentes tipos de controles (p. ej., preventivos, de detección o correctivos) en función del riesgo. Los controles pueden incluir soluciones tecnológicas (p. ej., firewalls y cifrado), políticas y procedimientos, y programas de formación y concienciación.

• Supervisa los sistemas de seguridad: Supervisa continuamente las medidas de gestión de riesgos para garantizar su eficacia. Esto puede incluir auditorías de seguridad periódicas, sistemas de detección de intrusiones y la supervisión de los registros de acceso y de otros eventos de seguridad.

• Aprende y mejora: Ajusta las medidas en respuesta a nuevas amenazas, cambios en la organización o lecciones aprendidas de la supervisión continua. Utiliza la información de la fase de supervisión y revisión para introducir mejoras en las prácticas de seguridad. Actualiza las evaluaciones de riesgos y los controles a medida que se produzcan incidentes y se identifiquen vulnerabilidades.

Cómo implementar políticas de seguridad de confianza cero

Mientras que los modelos de seguridad tradicionales asumen que se puede confiar en todo lo que está dentro de la red de una organización, las políticas de confianza cero nunca asumen la confianza. La confianza cero requiere una rigurosa verificación de la identidad de todo el que intente acceder a los recursos de la red, independientemente de que se encuentre dentro o fuera del perímetro de la red.

A continuación se indica cómo se suelen implementar las políticas de confianza cero:

• Verifica de forma explícita todas las peticiones: Cada petición de acceso debe verificarse antes de concederlo, con independencia del lugar de origen de la petición o del recurso al que se acceda. Utiliza la MFA, la biometría y el análisis de comportamiento para verificar la identidad de los usuarios, y emplea la autenticación basada en el contexto que tiene en cuenta variables como el estado del dispositivo, la ubicación y la hora de acceso.

• Usa el acceso con el menor privilegio: Minimiza la exposición de cada usuario a las partes sensibles de la red concediendo a los usuarios y dispositivos el nivel mínimo de acceso necesario para realizar sus tareas. Gestiona esto mediante roles y políticas estrictas de control de acceso, que se revisen y actualicen de forma periódica.

• Segmenta la red: Divide la red en segmentos para reducir el movimiento lateral de los atacantes dentro de la misma. Esto crea microperímetros en torno a los datos y sistemas sensibles, lo que dificulta que un atacante se mueva por la red si consigue acceder.

• Implementa defensas en capas: Implementa múltiples capas defensivas que un atacante deba eludir para acceder a los recursos. Usa una combinación de firewalls, sistemas de detección y prevención de intrusiones (IDS/IPS), y cifrado de los datos tanto en tránsito como en reposo.

• Supervisa y mantén la seguridad: Supervisa de forma continua todo el tráfico de la red y las actividades de los usuarios para detectar amenazas y responder a ellas en tiempo real. Usa sistemas de gestión de eventos e información de seguridad (SIEM) para analizar y correlacionar los registros en busca de comportamientos anormales. El machine learning puede ayudar a reconocer patrones que se desvían de la norma.

• Haz de la seguridad un proceso integrado: Asegúrate de que la seguridad sea una consideración clave en todos los proyectos de TI y operaciones empresariales desde el principio. Participa en la formación periódica en materia de seguridad de todos los empleados e integra la seguridad en el ciclo de vida del desarrollo de software (DevSecOps).

Cómo identificar las vulnerabilidades de seguridad y protegerse frente a ellas

La identificación y protección contra vulnerabilidades implica descubrir, categorizar y abordar sistemáticamente las brechas de seguridad o debilidades en el software y el hardware que los atacantes podrían explotar. Así es como funciona normalmente:

• Analiza los sistemas en busca de vulnerabilidades conocidas: Realiza análisis de vulnerabilidades periódicos con herramientas automatizadas que comparen las configuraciones del sistema y el software instalado con bases de datos de vulnerabilidades conocidas. Las pruebas de penetración, en las que los hackers éticos intentan aprovechar las vulnerabilidades, también aportan información sobre los puntos débiles de los sistemas.

• Evalúa y prioriza tus hallazgos: Después de identificar las vulnerabilidades, evalúalas en función de factores como la facilidad de aprovechamiento, el posible impacto de un exploit y el alcance de la exposición del sistema. Esto ayuda a priorizar los esfuerzos de corrección según la naturaleza y la gravedad del riesgo que suponen.

• Aplica los parches en cuanto estén disponibles: Los proveedores de software proporcionan parches o actualizaciones para corregir vulnerabilidades. Implementa un proceso sistemático para la aplicación oportuna de parches de seguridad, actualizaciones y revisiones urgentes a fin de garantizar que las vulnerabilidades se aborden en cuanto las correcciones estén disponibles.

• Refuerza las configuraciones de los sistemas: Utiliza herramientas de gestión de la configuración para garantizar que los sistemas se configuran de forma segura y se mantienen de forma consistente. Revisa y refuerza con regularidad las configuraciones para minimizar las superficies de ataque y evitar las vulnerabilidades debidas a configuraciones erróneas o predeterminadas.

• Defiéndete frente a amenazas de día cero desconocidas: Emplea tecnologías avanzadas de detección de amenazas, como sistemas de detección basados en el comportamiento, que no dependen de forma exclusiva de las firmas de vulnerabilidades conocidas. Estos pueden identificar y mitigar la actividad inusual que podría indicar un exploit en curso, defendiendo así contra las vulnerabilidades desconocidas o sin un parche existente.

• Forma a los empleados en la concienciación sobre la ciberseguridad: Imparte formación continua en materia de ciberseguridad a todos los empleados, centrada en el reconocimiento de los intentos de suplantación de identidad (phishing), la gestión segura de las contraseñas y la comprensión de la importancia de actualizar el software de forma periódica. Esto ayuda a minimizar el error humano, que puede introducir o agravar las vulnerabilidades.

• Audita las prácticas de seguridad y el cumplimiento de la normativa: Realiza auditorías de seguridad periódicas y comprobaciones de cumplimiento de la normativa para evaluar en qué medida se están siguiendo las políticas de seguridad e identificar cualquier laguna en la estrategia de seguridad de la organización. Hacerlo garantiza que las prácticas de seguridad cumplan los estándares y regulaciones establecidos.

• Establece y pon a prueba un plan de respuesta ante incidentes: Desarrolla y pon a prueba de forma rutinaria un plan de respuesta ante incidentes en el que se esbocen las medidas que deben adoptarse cuando se produce una brecha de seguridad. Este debe incluir procedimientos para la contención, la erradicación, la recuperación y el análisis posterior al incidente.

Cómo puede ayudarte Stripe Treasury

Stripe Treasury reúne los pagos y las finanzas en Stripe para que las empresas puedan recibir, almacenar, enviar y gastar sus fondos en un solo lugar. Se ha creado para que las startups y las empresas en crecimiento puedan mover su dinero más rápido y dedicar menos tiempo a la gestión de las operaciones financieras. Las plataformas, los marketplaces y las empresas tecnofinancieras también pueden ofrecer servicios financieros a sus usuarios con Treasury for Platforms.

Esto es lo que puedes conseguir con Stripe Treasury:

• Simplifica tus operaciones financieras: Gestiona el dinero, los pagos, el gasto de las tarjetas, los payouts y mucho más desde el Dashboard de Stripe.

• Mueve el dinero más rápido: Accede de inmediato a los beneficios liquidados de Stripe y envía transferencias instantáneas a otras empresas en Stripe sin coste alguno.

• Sácale más partido a tu dinero: Obtén reembolsos en los gastos con tarjeta y créditos para comisiones de Stripe en los saldos que cumplan los requisitos.

• Opera a nivel mundial con facilidad: Mantén saldos en varias divisas, realiza conversiones solo cuando sea necesario y envía pagos a destinatarios en más de 160 países.

• Automatiza las operaciones financieras: Usa agentes para analizar el flujo de caja y automatizar tareas como el pago de facturas, el movimiento de dinero y la conversión de divisas dentro de los límites que establezcas.

Obtén más información sobre cómo Stripe Treasury puede ayudarte a gestionar tus finanzas y pagos en un solo lugar, o empieza hoy mismo.