Le système bancaire ouvert permet aux fournisseurs de services financiers tiers d’accéder aux données de la clientèle des banques et d’autres institutions financières. La clientèle contrôle qui peut accéder à ses renseignements et doit accepter de partager ses données avec des tiers. Ces données partagées, accessibles par l’intermédiaire d’interfaces de programmation d’applications (API), stimulent l’innovation et la concurrence dans le secteur financier, permettant l’essor des technologies financières et de nouveaux services financiers. La valeur totale des transactions des paiements mondiaux du système bancaire ouvert devrait passer de près de 40 milliards $ en 2025 à 288 milliards $ d’ici 2033.

Un système bancaire ouvert sûr et conforme repose sur une base de sécurité qui protège les données financières sensibles partagées entre les entités. Ci-dessous, nous vous expliquerons comment fonctionne le système bancaire ouvert et comment les données de la clientèle sont sécurisées, y compris la sécurité des API et les stratégies d’identification et de protection.

Points à retenir

* Le système bancaire ouvert moderne s’appuie sur des API normalisées et à base de jetons ainsi que sur OAuth 2.0 plutôt que sur le moissonnage d’écran traditionnel, ce qui garantit que la clientèle ne partage jamais ses mots de passe bancaires bruts avec des tiers.

* La clientèle exerce un contrôle total sur ses données en accordant des autorisations explicites et limitées dans le temps pour des informations précises, qu’elle peut révoquer instantanément par l’intermédiaire de sa banque ou d’applications connectées.

* Le système bancaire ouvert sécurisé combine l’authentification forte du client (SCA), le chiffrement de bout en bout en transit et au repos, et une vérification rigoureuse des fournisseurs tiers afin de réduire l’exposition à la fraude et de clarifier les responsabilités.

À quoi servent les services bancaires ouverts?

Le système bancaire ouvert facilite le partage des données, améliorant ainsi les services financiers pour la clientèle et les entreprises.

Le système bancaire ouvert a permis de créer une gamme d’outils et de fonctionnalités financières, notamment :

 Applications de budgétisation et d’épargne :* le système bancaire ouvert a permis la création d’applications tierces qui regroupent les données des comptes bancaires de la clientèle et fournissent des recommandations personnalisées en matière de budget et d’épargne.

 Meilleures décisions en matière de crédit et de prêt :* les prêteurs peuvent accéder rapidement à un plus grand nombre de données financières et les analyser par l’intermédiaire du système bancaire ouvert, ce qui peut mener à de meilleures décisions de crédit et à des approbations de prêt plus rapides.

 Services bancaires sur mesure :* les institutions financières peuvent utiliser les données accessibles par l’intermédiaire du système bancaire ouvert pour offrir à la clientèle des produits et services personnalisés, tels que des taux d’intérêt sur mesure.

 Paiements directs par compte :* les API du système bancaire ouvert peuvent être utilisées pour initier des paiements directement depuis un compte bancaire, en contournant les systèmes de paiement traditionnels comme les cartes de crédit, ce qui peut réduire les frais de transaction.

 Détection améliorée de la fraude :* l’accès aux données en temps réel aide les institutions financières et les fournisseurs de services à améliorer leurs capacités de détection de la fraude, réduisant ainsi le risque de transactions non autorisées.

 Gestion des flux de trésorerie :* les entreprises peuvent utiliser des solutions de système bancaire ouvert pour intégrer des données provenant de différents comptes au sein d’une seule plateforme, obtenant ainsi une meilleure compréhension de leurs flux de trésorerie.

 Aperçus du marché :* les entreprises peuvent analyser les données bancaires rendues disponibles par le système bancaire ouvert pour obtenir des aperçus sur le comportement de la clientèle, les tendances du marché et les conditions économiques.

Comment fonctionne le système bancaire ouvert?

Le système bancaire ouvert utilise des API pour partager des données financières entre les banques et les fournisseurs tiers autorisés. Le consentement de la clientèle, réglementé par divers cadres, est requis pour le partage de données.

Voici comment fonctionne le système bancaire ouvert :

 Les banques créent des API normalisées :* les banques développent ou adoptent des API normalisées qui permettent aux fournisseurs tiers d’accéder aux données financières. Ces API agissent comme des passerelles sécurisées pour les requêtes et les réponses de données.

 La clientèle donne son consentement :* la clientèle donne son consentement explicite à un fournisseur tiers pour lui permettre d’accéder à ses données financières. Le consentement est généralement géré par le biais d’une interface sécurisée et il est légalement exigé qu’il soit éclairé et explicite.

 Les fournisseurs demandent l’accès aux données :* une fois le consentement accordé, le fournisseur tiers intègre les API du système bancaire ouvert pour demander l’accès aux données financières de la clientèle auprès de la banque. Ces API traitent les requêtes de manière sécurisée et uniforme.

 Les banques gèrent l’authentification et l’autorisation :* la banque vérifie l’identité de la clientèle et l’autorisation du fournisseur tiers d’accéder aux données. Le processus implique souvent des étapes d’authentification, telles que la connexion via le portail de la banque ou d’autres contrôles de sécurité.

 Les banques partagent les données :* après la réussite de l’authentification et de l’autorisation, la banque partage les données demandées avec le fournisseur tiers par l’intermédiaire de l’API. Les données peuvent inclure les soldes de compte, l’historique des transactions, les capacités d’initiation de paiement, et plus encore.

 Les données sont fournies en temps réel :* les API permettent aux applications de récupérer des données à jour directement de la banque de la clientèle, qu’il s’agisse des dernières transactions ou de la vérification de la propriété du compte. Cela facilite une grande variété de services de technologie financière, y compris les applications de budgétisation et les approbations de prêt automatisées.

 Les fournisseurs utilisent les données :* le fournisseur tiers utilise les données pour offrir des services à la clientèle, tels que la gestion financière, des conseils financiers personnalisés, des processus de prêt simplifiés ou des services de paiement.

 La clientèle fournit un consentement continu :* la clientèle peut gérer ou retirer son consentement en tout temps. Les banques et les fournisseurs tiers doivent se conformer à des mesures de sécurité strictes pour protéger les données et garantir la confidentialité.

 Les organismes de réglementation établissent et font appliquer les règles :* le système bancaire ouvert est réglementé par des organismes gouvernementaux et la législation nationale, qui dictent les normes de sécurité, les procédures de consentement de la clientèle et les types de données qui peuvent être partagés dans le système bancaire ouvert. Les organismes de réglementation surveillent en permanence les banques et les fournisseurs tiers pour s’assurer qu’ils se conforment aux réglementations du système bancaire ouvert.

 La communication est normalisée :* les API du système bancaire ouvert respectent des normes précises, ce qui signifie qu’elles parlent un « langage commun » utilisé par différentes banques et applications. Cela garantit que les applications et les services peuvent fonctionner de manière fluide avec différentes banques et institutions financières.

Principaux défis de sécurité du système bancaire ouvert

Le système bancaire ouvert accroît l’exposition des données financières sensibles et nécessite des mesures de sécurité avancées pour protéger ces données de tout accès non autorisé. Les défis en matière de sécurité exigent une combinaison de technologies de pointe, de processus de sécurité bien conçus et d’une vigilance continue.

Les défis de sécurité liés au système bancaire ouvert incluent :

Gestion du consentement de la clientèle

L’accès aux données financières personnelles n’est possible que lorsque la clientèle y a clairement consenti, et celle-ci peut révoquer cet accès en tout temps.

Solutions

* Mettez en œuvre des systèmes de pointe pour gérer le consentement.
* Offrez à la clientèle des options simples pour contrôler ses données.
* Maintenez la conformité avec des lois strictes en matière de confidentialité telles que le Règlement général sur la protection des données (RGPD).

Sécurisation des API contre les accès non autorisés

Les API donnent accès aux données et doivent être bien protégées contre les consultations non autorisées et les attaques.

Solutions

* Utilisez des méthodes d’autorisation modernes telles qu’OAuth 2.0.
* Assurez-vous que les API sont renforcées à l’aide d’outils tels que le protocole Transport Layer Security (TLS) mutuel pour l’authentification.
* Surveillez l’utilisation pour prévenir et détecter les activités inhabituelles.

Vérification et surveillance des fournisseurs tiers

Les niveaux de sécurité des services tiers varient.

Solutions

* Évaluez rigoureusement les mesures de sécurité de tous les fournisseurs externes.
* Surveillez en permanence les fournisseurs tiers.
* Exigez la conformité à des normes de sécurité élevées.

Chiffrement des données en transit et au repos

Les données doivent être chiffrées pour ne pas être altérées ou lues si elles sont interceptées.

Solutions

* Utilisez des techniques de chiffrement robustes pour les données au repos et en transit.
* Vérifiez régulièrement l’intégrité des données à l’aide de techniques telles que les signatures numériques.

Détection des fraudes

Un accès accru aux données peut potentiellement donner lieu à de nouveaux types de fraude.

Solutions

* Utilisez l’apprentissage automatique avancé pour repérer la fraude au moment où elle se produit.
* Mettez en place un système pour surveiller les actions suspectes et y réagir rapidement.

Rester en conformité

Les réglementations peuvent varier selon les régions et évoluer au fil du temps, ce qui affecte la manière dont les données doivent être traitées.

Solutions

* Élaborez une stratégie de conformité capable de s'adapter rapidement aux nouvelles lois.
* Assurez-vous que votre équipe demeure informée des dernières exigences.
* Renseignez-vous sur la réglementation de votre région. L’UE et le Royaume-Uni ont des mandats centralisés pour le système bancaire ouvert, tandis que la réglementation sur le système bancaire ouvert aux États-Unis est en grande partie volontaire et dictée par le secteur.

Vérification des identités et gestion des accès

Les personnes utilisant le système doivent être vérifiées, et l'accès à leurs données doit être strictement contrôlé.

Solutions

* Mettez en place des systèmes de vérification de l'identité SCA et d'authentification multifacteur (MFA).
* Définissez des contrôles d'accès précis.
* Clarifiez le cadre de responsabilité juridique et financière en cas de paiements non autorisés ou de violations. Par exemple, la responsabilité incombera à différentes entités selon qu'une transaction a été autorisée ou non (p. ex., par l'ingénierie sociale).

Réponse aux incidents

Les services doivent fonctionner sans interruption même lorsque des problèmes surviennent. Les failles de sécurité doivent être traitées rapidement pour minimiser les dégâts.

Solutions

* Préparez et mettez régulièrement à jour les plans de réponse aux incidents.
* Assurez-vous que des systèmes de sauvegarde sont en place.
* Effectuez régulièrement des exercices de sécurité.

Sécurisation des API du système bancaire ouvert

La sécurité des API dans le système bancaire ouvert nécessite un système multicouche pour garantir que toutes les interactions entre les banques, les fournisseurs tiers et la clientèle sont sécurisées et que l'intégrité des données est maintenue.

Les considérations clés en matière de sécurité des API sont les suivantes :

Authentification et autorisation

Les protocoles d'authentification et d'autorisation, comme la spécification Financial-grade API (FAPI), garantissent que seules les personnes et les services légitimes peuvent accéder aux API.

 OAuth 2.0 :* OAuth 2.0 est une méthode d'autorisation qui utilise des jetons au lieu d'identifiants. Chaque jeton donne accès à un ensemble précis de ressources pour une période limitée, ce qui réduit le risque de vol de jetons.

 OAuth :* OAuth fournit des méthodes pour obtenir des jetons selon différents scénarios, comme des codes d'autorisation pour les applications et des identifiants de client pour les interactions de serveur à serveur.

Chiffrement

Le chiffrement est utilisé pour protéger les données lorsqu’elles sont transférées entre des systèmes (en transit) et lorsqu’elles sont stockées (au repos). L’utilisation de protocoles de chiffrement puissants et actualisés empêche l’interception par des attaquants.

 TLS :* Le protocole TLS protège les données en transit en chiffrant les données échangées entre les clients et les serveurs.

 AES :* Les normes de chiffrement avancées (AES) sont appliquées aux entrées de bases de données et à d'autres banques de données afin de protéger les données au repos.

Passerelles d’API

Les passerelles d’API permettent de gérer et de sécuriser le trafic vers les API. Une plateforme d’API agit comme un proxy inverse pour accepter tous les appels d’API, agréger les services nécessaires pour les exécuter et renvoyer le résultat approprié. Elle gère la limitation du débit, la liste blanche d’adresses IP et le contrôle d’accès. Les passerelles peuvent fournir des informations sur les modèles de trafic et alerter les administrateurs des menaces de sécurité potentielles.

Pratiques de développement d’API sécurisées

Les API sont sécurisées dès la conception. L'équipe de développement doit se conformer au document de sensibilisation à la sécurité des API API Security Top Ten de l'Open Web Application Security Project (OWASP).

 Validation des entrées :* La validation des entrées prévient les attaques par injection SQL et par scriptage intersite (XSS).

 Journalisation des transactions d'API :* La journalisation détaillée des transactions d'API vous prépare adéquatement à l'éventualité d'un audit.

 Vérifications régulières du code :* Des vérifications régulières du code permettent de repérer les vulnérabilités avant qu'elles n'entraînent des failles de sécurité.

Limitation de la bande passante et du débit

La limitation de débit et la régulation préviennent l'utilisation abusive des API. Ce processus consiste à limiter le nombre de requêtes qu'une personne ou un service peut effectuer au cours d'une période donnée. Si ce nombre dépasse la limite, les requêtes supplémentaires sont retardées ou bloquées. La régulation aide à gérer la charge et garantit que les services restent disponibles, même dans des situations de trafic intense ou d'attaque.

Audits de sécurité et tests d’intrusion réguliers

Des audits de sécurité et des tests d’intrusion réguliers évaluent en permanence le niveau de sécurité des infrastructures d’API. Ces pratiques doivent faire partie d’un protocole de sécurité régulier et répondre aux normes de l’industrie et aux exigences de conformité. Les audits de routine et les tests d’intrusion permettent de détecter les vulnérabilités avant qu’elles ne soient exploitées.

Systèmes de détection et de réponse aux anomalies

Ces systèmes détectent les activités inhabituelles susceptibles d’indiquer une faille de sécurité et y répondent, en utilisant l’apprentissage automatique et d’autres analyses avancées pour surveiller les modèles de trafic des API et signaler automatiquement les activités qui s’écartent de la norme. Ils sont souvent intégrés à des mécanismes de réponse aux incidents pour isoler et atténuer rapidement les menaces potentielles.

Élaboration d'une stratégie de sécurité axée sur les risques

Une stratégie de sécurité axée sur les risques consiste à prioriser les efforts et les ressources de sécurité en fonction de la probabilité et de l'impact potentiel de diverses menaces. Elle aide une organisation à demeurer agile, à réagir aux nouvelles menaces et à concentrer les ressources là où elles sont le plus nécessaires. Cette approche est particulièrement importante lorsque les budgets de sécurité sont limités ou dans un paysage technologique en évolution rapide.

Voici comment fonctionne généralement une stratégie de sécurité basée sur les risques :

 Évaluez les risques :* Cernez et évaluez les risques en fonction de leur impact potentiel et de leur probabilité d'occurrence. Dressez la carte des actifs de l'organisation et déterminez les menaces auxquelles chacun est exposé, en évaluant les vulnérabilités et les impacts potentiels de ces menaces. Utilisez des techniques comme la modélisation des menaces et les balayages de vulnérabilités.

 Priorisez les risques :* Déterminez les risques qui nécessitent une attention immédiate, ceux qui peuvent être surveillés et ceux qui sont acceptables. Classez les risques en fonction de leur gravité et de leur probabilité, en priorisant ceux à impact et à probabilité élevés en vue d'une atténuation immédiate.

 Mettez en place des contrôles :* Appliquez les contrôles les plus appropriés et les plus rentables pour gérer et atténuer les risques les plus prioritaires. Mettez en place différents types de contrôles (p. ex., préventifs, détectifs, correctifs) en fonction du risque. Les contrôles peuvent comprendre des solutions technologiques (p. ex., pare-feu et chiffrement), des politiques et des procédures, ainsi que des programmes de formation et de sensibilisation.

 Surveillez les systèmes de sécurité :* Surveillez continuellement les mesures de gestion des risques pour en garantir l'efficacité. Cela peut impliquer des audits de sécurité réguliers, des systèmes de détection d'intrusion et la surveillance des journaux d'accès et d'autres événements de sécurité.

 Apprenez et améliorez-vous :* Ajustez les mesures en réponse aux nouvelles menaces, aux changements dans l'organisation ou aux leçons tirées de la surveillance continue. Utilisez les commentaires issus de la phase de surveillance et de vérification pour améliorer les pratiques de sécurité. Mettez à jour les évaluations des risques et les contrôles à mesure que des incidents se produisent et que des vulnérabilités sont détectées.

Mise en place de politiques de sécurité de type confiance zéro

Alors que les modèles de sécurité traditionnels supposent que tout ce qui se trouve à l'intérieur du réseau d'une organisation est digne de confiance, les politiques de confiance zéro ne tiennent jamais la confiance pour acquise. La confiance zéro exige une vérification de l'identité rigoureuse pour toute personne tentant d'accéder aux ressources du réseau, qu'elle se trouve à l'intérieur ou à l'extérieur du périmètre de celui-ci.

Voici comment les politiques de confiance zéro sont généralement mises en place :

 Vérifiez explicitement toutes les requêtes :* Chaque requête d'accès doit être vérifiée avant que l'accès ne soit accordé, peu importe d'où provient la requête ou à quelle ressource elle accède. Utilisez la MFA, la biométrie et l'analyse comportementale pour vérifier l'identité des personnes, et employez une authentification contextuelle qui tient compte de variables comme l'état de l'appareil, le lieu et l'heure de l'accès.

 Utilisez l'accès au moindre privilège :* Réduisez au minimum l'exposition de chaque personne aux parties sensibles du réseau en accordant aux personnes et aux appareils le niveau d'accès minimal requis pour effectuer leurs tâches. Gérez cela grâce à des rôles et des politiques de contrôle d'accès stricts, qui sont vérifiés et mis à jour régulièrement.

 Segmentez le réseau :* Divisez le réseau en segments pour réduire les mouvements latéraux des personnes malveillantes au sein du réseau. Cela crée des micropérimètres autour des données et des systèmes sensibles, ce qui rend plus difficile pour une personne malveillante de se déplacer dans le réseau si elle y accède.

 Mettez en place des défenses en couches :* Mettez en place de multiples couches de défense qu'une personne malveillante doit contourner pour accéder aux ressources. Utilisez une combinaison de pare-feu, de systèmes de détection et de prévention des intrusions (IDS/IPS) et de chiffrement des données en transit et au repos.

 Surveillez et maintenez la sécurité :* Surveillez continuellement tout le trafic réseau et les activités des personnes pour détecter les menaces et y répondre en temps réel. Utilisez des systèmes de gestion des informations et des événements de sécurité (SIEM) pour analyser et corréler les journaux afin de déceler les comportements anormaux. L'apprentissage automatique peut aider à reconnaître les modèles qui s'écartent de la norme.

 Faites de la sécurité un processus intégré :* Assurez-vous que la sécurité est une considération clé dans chaque projet informatique et opération commerciale dès le départ. Organisez régulièrement des formations en sécurité pour l'ensemble du personnel et intégrez la sécurité au cycle de vie de développement des logiciels (DevSecOps).

Repérage et prévention des vulnérabilités de sécurité

L’identification et la protection contre les vulnérabilités impliquent la découverte, la catégorisation et la résolution systématiques des failles de sécurité ou des faiblesses des logiciels et du matériel que les attaquants pourraient exploiter. Voici globalement comment cela fonctionne :

 Balayez les systèmes à la recherche de vulnérabilités connues :* Effectuez régulièrement des balayages de vulnérabilités à l'aide d'outils automatisés qui comparent les configurations système et les logiciels installés avec les bases de données de vulnérabilités connues. Les tests d'intrusion, où des pirates informatiques éthiques tentent d'exploiter les vulnérabilités, donnent également un aperçu des faiblesses du système.

 Évaluez et priorisez vos découvertes :* Une fois les vulnérabilités repérées, évaluez-les en fonction de facteurs tels que la facilité d'exploitation, l'impact potentiel d'une attaque et l'étendue de l'exposition du système. Cela permet de prioriser les efforts de rectification en fonction de la nature et de la gravité du risque posé.

 Appliquez les correctifs dès qu'ils sont disponibles :* Les fournisseurs de logiciels proposent des correctifs ou des mises à jour pour corriger les vulnérabilités. Mettez en place un processus systématique pour l'application en temps opportun des correctifs de sécurité, des mises à jour et des correctifs d'urgence afin de vous assurer que les vulnérabilités sont traitées dès que des solutions sont disponibles.

 Renforcez les configurations des systèmes :* Utilisez des outils de gestion de la configuration pour vous assurer que les systèmes sont configurés de manière sécurisée et maintenus de manière constante. Vérifiez et renforcez régulièrement les configurations pour réduire au minimum les surfaces d'attaque et prévenir les vulnérabilités dues à de mauvaises configurations ou à des paramètres par défaut.

 Défendez-vous contre les menaces du jour zéro inconnues :* Utilisez des technologies avancées de détection des menaces, comme les systèmes de détection basés sur le comportement, qui ne s'appuient pas uniquement sur des signatures de vulnérabilités connues. Celles-ci peuvent repérer et atténuer les activités inhabituelles qui pourraient indiquer une attaque en cours, vous défendant ainsi contre les vulnérabilités inconnues ou celles pour lesquelles il n'existe aucun correctif.

 Sensibilisez le personnel à la cybersécurité :* Organisez une formation continue en cybersécurité pour l'ensemble du personnel, en mettant l'accent sur la reconnaissance des tentatives d'hameçonnage, la gestion sécurisée des mots de passe et la compréhension de l'importance des mises à jour régulières des logiciels. Cela aide à réduire au minimum l'erreur humaine, qui peut introduire ou exacerber les vulnérabilités.

 Auditez les pratiques de sécurité et la conformité :* Effectuez régulièrement des audits de sécurité et des vérifications de conformité pour évaluer dans quelle mesure les politiques de sécurité sont respectées et repérer toute lacune dans la posture de sécurité de l'organisation. Cela garantit que les pratiques de sécurité répondent aux normes et aux réglementations établies.

 Établissez et testez un plan de réponse aux incidents :* Élaborez et testez régulièrement un plan de réponse aux incidents qui décrit les mesures à prendre lorsqu'une faille de sécurité se produit. Ce plan devrait inclure des procédures de confinement, d'éradication, de récupération et d'analyse post-incident.

Comment Stripe Treasury peut vous aider

Stripe Treasury rassemble les paiements et les finances sur Stripe, de sorte que les entreprises peuvent recevoir, stocker, envoyer et dépenser des fonds en un seul endroit. La solution est conçue pour les jeunes pousses et les entreprises en croissance qui souhaitent déplacer de l'argent plus rapidement et passer moins de temps à gérer les opérations financières. Les plateformes, les places de marché et les entreprises de technologie financière peuvent également offrir des services financiers à leur clientèle avec Treasury pour les plateformes.

Treasury peut vous aider à :

 Simplifiez vos opérations financières :* Gérez l’argent, les paiements, les dépenses par carte, les virements et plus encore depuis le Dashboard Stripe.

 Déplacez des fonds plus rapidement :* Accédez immédiatement à vos gains Stripe réglés et envoyez des transferts instantanés à d’autres entreprises sur Stripe, sans frais.

 Tirez le maximum de votre argent :* Obtenez des remises en argent sur les dépenses par carte et des crédits de frais Stripe sur les soldes admissibles.

 Menez vos activités à l’échelle mondiale en toute simplicité :* Conservez des soldes dans plusieurs devises, effectuez des conversions uniquement lorsque nécessaire et envoyez des virements à des bénéficiaires dans plus de 160 pays.

 Automatisez vos opérations financières :* Utilisez des agents pour analyser les flux de trésorerie et automatiser des tâches telles que le paiement de factures, le déplacement de fonds et la conversion de devises selon les limites que vous définissez.

Apprenez-en plus sur la façon dont Stripe Treasury peut vous aider à gérer vos finances et vos paiements au même endroit, ou commencez dès aujourd’hui.