L'open banking consente ai fornitori di servizi finanziari di terze parti di accedere ai dati dei clienti presso banche e altri istituti finanziari. I clienti controllano chi può accedere alle proprie informazioni e devono acconsentire alla condivisione dei propri dati con terze parti. Questi dati condivisi, a cui si accede tramite interfacce di programmazione delle applicazioni (API), stimolano l'innovazione e la concorrenza nel settore finanziario, favorendo la nascita del fintech e di nuovi servizi finanziari. Si prevede che il valore totale delle transazioni dei pagamenti open banking globali passerà da quasi 40 miliardi di dollari nel 2025 a 288 miliardi di dollari entro il 2033.

Un open banking sicuro e conforme si basa su solide fondamenta di sicurezza che proteggono i dati finanziari sensibili condivisi tra le entità. Di seguito spieghiamo come funziona l'open banking e come vengono protetti i dati dei clienti, incluse la sicurezza delle API e le strategie di identificazione e protezione.

Punti salienti

• L'open banking moderno si basa su API standardizzate e tokenizzate e su OAuth 2.0 piuttosto che sullo screen scraping tradizionale, garantendo che gli utenti non condividano mai le password bancarie non elaborate con terze parti.

• Gli utenti hanno il controllo totale sui propri dati concedendo autorizzazioni esplicite e limitate nel tempo per informazioni specifiche, che possono revocare istantaneamente tramite la propria banca o le app collegate.

• L'open banking sicuro combina l'Autenticazione SCA (SCA), la crittografia end-to-end in transito e a riposo e un rigoroso controllo dei fornitori di terze parti per ridurre l'esposizione alle frodi e chiarire le responsabilità.

A cosa serve l'open banking

L'open banking facilita la condivisione dei dati, migliorando i servizi finanziari per clienti e attività.

L'open banking ha reso possibile una serie di strumenti e funzionalità finanziari, tra cui:

• App per la gestione del budget e il risparmio: l'open banking ha consentito la creazione di app di terze parti che aggregano i dati dei conti bancari degli utenti e forniscono raccomandazioni personalizzate su budget e risparmio.

• Migliori decisioni su prestiti e crediti: gli istituti di credito possono accedere e analizzare rapidamente un maggior numero di dati finanziari tramite l'open banking, il che può portare a decisioni migliori in materia di credito e ad approvazioni più rapide dei prestiti.

• Servizi bancari su misura: gli istituti finanziari possono utilizzare i dati a cui accedono tramite l'open banking per offrire ai clienti prodotti e servizi personalizzati, come tassi di interesse su misura.

• Pagamenti diretti dal conto: le API di open banking possono essere utilizzate per avviare pagamenti direttamente da un conto bancario, aggirando i sistemi di pagamento tradizionali come le carte di credito, il che può ridurre le commissioni di transazione.

• Miglioramento del rilevamento delle frodi: l'accesso ai dati in tempo reale aiuta gli istituti finanziari e i fornitori di servizi a migliorare le proprie capacità di rilevamento delle frodi, riducendo il rischio di transazioni non autorizzate.

• Gestione del flusso di cassa: le attività possono utilizzare soluzioni di open banking per integrare i dati di diversi conti in un'unica piattaforma, ottenendo una migliore comprensione del proprio flusso di cassa.

• Approfondimenti di mercato: le attività possono analizzare i dati bancari resi disponibili dall'open banking per ottenere approfondimenti sul comportamento dei clienti, sulle tendenze di mercato e sulle condizioni economiche.

Funzionamento dell'open banking

L'open banking utilizza le API per condividere i dati finanziari tra banche e fornitori di terze parti autorizzati. Per la condivisione dei dati è richiesto il consenso del cliente, regolamentato da diversi quadri normativi.

Ecco come funziona l'open banking:

• Le banche creano API standardizzate: le banche sviluppano o adottano API standardizzate che consentono ai fornitori di terze parti di accedere ai dati finanziari. Queste API fungono da gateway sicuri per le richieste e le risposte di dati.

• I clienti prestano il consenso: un cliente presta il consenso esplicito a un fornitore di terze parti per l'accesso ai propri dati finanziari. Il consenso viene in genere gestito tramite un'interfaccia sicura e, per legge, deve essere informato ed esplicito.

• I fornitori richiedono l'accesso ai dati: una volta prestato il consenso, il fornitore di terze parti integra le API di open banking per richiedere alla banca l'accesso ai dati finanziari del cliente. Queste API elaborano le richieste in modo sicuro e coerente.

• Le banche gestiscono l'autenticazione e l'autorizzazione: la banca verifica l'identità del cliente e l'autorizzazione del fornitore di terze parti ad accedere ai dati. La procedura comporta spesso passaggi di autenticazione, come l'accesso tramite il portale della banca o altri controlli di sicurezza.

• Le banche condividono i dati: al termine dell'autenticazione e dell'autorizzazione, la banca condivide i dati richiesti con il fornitore di terze parti tramite l'API. I dati possono includere saldi dei conti, cronologia delle transazioni, funzionalità di avvio dei pagamenti e altro ancora.

• I dati vengono forniti in tempo reale: le API consentono alle app di recuperare dati aggiornati direttamente dalla banca del cliente, sia che si tratti delle ultime transazioni sia che si verifichi la proprietà del conto. Ciò facilita un'ampia varietà di servizi tecnologici finanziari, incluse app per la gestione del budget e approvazioni automatiche dei prestiti.

• I fornitori utilizzano i dati: il fornitore di terze parti utilizza i dati per offrire servizi al cliente, come gestione finanziaria, consulenza finanziaria personalizzata, procedure di prestito più semplici o servizi di pagamento.

• I clienti prestano un consenso continuo: i clienti possono gestire o revocare il proprio consenso in qualsiasi momento. Le banche e i fornitori di terze parti devono essere conformi a rigorose misure di sicurezza per proteggere i dati e garantire la privacy.

• Le autorità di regolamentazione stabiliscono e fanno rispettare le regole: l'open banking è regolamentato da agenzie governative e dalla legislazione nazionale, che dettano gli standard di sicurezza, le procedure per il consenso dei clienti e i tipi di dati che possono essere condivisi nell'open banking. Le autorità di regolamentazione monitorano continuamente le banche e i fornitori di terze parti per garantire che siano conformi alle normative sull'open banking.

• La comunicazione è standardizzata: le API di open banking seguono standard specifici, il che significa che parlano una "lingua comune" utilizzata da diverse banche e app. Ciò garantisce che app e servizi possano funzionare senza problemi con diverse banche e istituti finanziari.

Le principali sfide di sicurezza dell'open banking

L'open banking aumenta l'esposizione dei dati finanziari sensibili e richiede misure di sicurezza avanzate per proteggere tali dati da accessi non autorizzati. Le sfide di sicurezza richiedono una combinazione di tecnologie avanzate, procedure di sicurezza ben progettate e una vigilanza continua.

Le sfide di sicurezza nell'open banking includono:

Gestione del consenso dei clienti

È possibile accedere ai dati finanziari personali solo quando i clienti hanno espresso un chiaro consenso, e i clienti possono revocare tale accesso in qualsiasi momento.

Soluzioni

• Implementare sistemi all'avanguardia per gestire il consenso.
  
• Offrire ai clienti opzioni semplici per controllare i propri dati.
  
• Mantenere la conformità con leggi rigorose sulla privacy come il Regolamento generale sulla protezione dei dati (GDPR).
  

Protezione delle API da accessi non autorizzati

Le API aprono le porte ai dati e devono essere adeguatamente protette da accessi non autorizzati e attacchi.

Soluzioni

• Utilizzare metodi di autorizzazione moderni come OAuth 2.0.
  
• Assicurarsi che le API siano protette utilizzando strumenti come il Transport Layer Security (TLS) reciproco per l'autenticazione.
  
• Monitorare l'utilizzo per prevenire e rilevare attività insolite.
  

Controllo e monitoraggio dei fornitori di terze parti

I servizi di terze parti hanno diversi livelli di sicurezza.

Soluzioni

• Valutare attentamente le misure di sicurezza di tutti i fornitori esterni.
  
• Monitorare continuamente i fornitori di terze parti.
  
• Richiedere la conformità a elevati standard di sicurezza.
  

Crittografia dei dati in transito e a riposo

I dati devono essere crittografati per proteggerli da manomissioni o letture se intercettati.

Soluzioni

• Utilizzare tecniche di crittografia avanzate per i dati a riposo e in transito.
  
• Controllare regolarmente l'integrità dei dati utilizzando tecniche come le firme digitali.
  

Rilevamento delle frodi

Un maggiore accesso ai dati può potenzialmente portare a nuovi tipi di frode.

Soluzioni

• Utilizzare il machine learning avanzato per individuare le frodi nel momento in cui si verificano.
  
• Configurare un sistema per monitorare e reagire rapidamente ad azioni sospette.
  

Mantenimento della conformità

Le normative possono variare in base all'area geografica e cambiare nel tempo, influenzando il modo in cui i dati devono essere gestiti.

Soluzioni

• Creare una strategia di compliance in grado di adattarsi rapidamente alle nuove leggi.
  
• Assicurarsi che il team rimanga informato sui requisiti più recenti.
  
• Scopri le normative della tua area geografica. L'UE e il Regno Unito dispongono di mandati centralizzati per l'open banking, mentre le normative statunitensi in materia di open banking sono in gran parte volontarie e guidate dal settore.
  

Verifica delle identità e gestione degli accessi

I singoli utenti devono essere verificati e l'accesso ai loro dati deve essere strettamente controllato.

Soluzioni

• Implementa sistemi di verifica dell'identità SCA e di autenticazione a più fattori (MFA).
  
• Imposta controlli di accesso precisi.
  
• Chiarisci il quadro di responsabilità giuridica e finanziaria in caso di pagamenti non autorizzati o violazioni. Ad esempio, entità diverse saranno ritenute responsabili a seconda che una transazione sia stata non autorizzata o autorizzata (ad es., tramite ingegneria sociale).
  

Risposta agli incidenti

I servizi devono funzionare senza intoppi anche quando si verificano problemi. Le violazioni della sicurezza devono essere affrontate rapidamente per ridurre al minimo i danni.

Soluzioni

• Prepara e aggiorna regolarmente i piani di risposta agli incidenti.
  
• Assicurati che siano in atto sistemi di backup.
  
• Esegui regolarmente esercitazioni di sicurezza.
  

Come proteggere le API di open banking

La sicurezza delle API nell'open banking richiede un sistema a più livelli per garantire che tutte le interazioni tra banche, fornitori terzi e clienti siano sicure e che l'integrità dei dati venga mantenuta.

Le principali considerazioni sulla sicurezza delle API includono:

Autenticazione e autorizzazione

I protocolli di autenticazione e autorizzazione, come le API di livello finanziario (FAPI), garantiscono che le API siano accessibili solo a utenti e servizi legittimi.

• OAuth 2.0: OAuth 2.0 è un metodo di autorizzazione che utilizza i token anziché le credenziali. Ogni token garantisce l'accesso a una serie specifica di risorse per un periodo di tempo limitato, riducendo il rischio di furto del token.

• OAuth: OAuth fornisce metodi per ottenere token per diversi scenari, come codici di autorizzazione per le app e credenziali client per le interazioni server-server.

Crittografia

La crittografia viene utilizzata per proteggere i dati mentre si spostano tra i sistemi (in transito) e quando sono archiviati (inattivi). L'utilizzo di protocolli crittografici solidi e aggiornati impedisce l'intercettazione da parte di utenti malintenzionati.

• TLS: TLS protegge i dati in transito, crittografando i dati scambiati tra client e server.

• AES: Gli standard di crittografia avanzati (AES) vengono applicati alle voci del database e ad altri archivi di dati per proteggere i dati a riposo.

Gateway di API

I gateway di API gestiscono e proteggono il traffico verso le API. Un gateway di API funge da proxy inverso per accettare tutte le chiamate API, aggregare i servizi necessari per evaderle e restituire il risultato appropriato. Gestisce la limitazione della velocità, l'inserimento nella whitelist degli IP e il controllo degli accessi. I gateway possono fornire informazioni dettagliate sui modelli di traffico e avvisare gli amministratori di potenziali minacce alla sicurezza.

Pratiche di sviluppo di API sicure

Le API sono sicure fin dalla progettazione. Gli sviluppatori dovrebbero attenersi a API Security Top Ten dell'Open Web Application Security Project (OWASP), un documento di sensibilizzazione sulla sicurezza delle API.

• Convalida dell'input: la convalida dell'input previene l'iniezione SQL e gli attacchi XSS (cross-site scripting).

• Registrazione delle transazioni API: la registrazione dettagliata delle transazioni API garantisce un'adeguata preparazione in caso di controllo.

• Revisioni regolari del codice: le revisioni regolari del codice identificano le vulnerabilità prima che portino a violazioni della sicurezza.

Limitazione della velocità e delle richieste

La limitazione della frequenza e il throttling prevengono l'abuso delle API. La procedura prevede di limitare il numero di richieste che un utente o un servizio può effettuare in un determinato periodo. Se il numero supera il limite, ulteriori richieste vengono ritardate o bloccate. Il throttling aiuta a gestire il carico e garantisce che i servizi rimangano disponibili anche in scenari di traffico elevato o attacchi.

Audit di sicurezza e test di penetrazione regolari

Gli audit di sicurezza e i test di penetrazione regolari valutano continuamente il livello di sicurezza delle infrastrutture API. Queste pratiche dovrebbero far parte di un normale protocollo di sicurezza e soddisfare gli standard del settore e i requisiti di conformità. Gli audit e i test di penetrazione di routine possono rilevare le vulnerabilità prima che vengano sfruttate.

Sistemi di rilevamento e risposta alle anomalie

Questi sistemi rilevano attività insolite che potrebbero indicare una violazione della sicurezza e rispondono ad esse, utilizzando il machine learning e altre analisi avanzate per monitorare i modelli di traffico delle API e segnalare automaticamente le attività che si discostano dalla norma. Spesso sono integrati con meccanismi di risposta agli incidenti per isolare e mitigare rapidamente le potenziali minacce.

Come creare una strategia di sicurezza basata sul rischio

Una strategia di sicurezza basata sul rischio implica l'assegnazione di priorità agli sforzi e alle risorse di sicurezza in base alla probabilità e al potenziale impatto delle varie minacce. Aiuta un'organizzazione a rimanere agile, reattiva alle nuove minacce e a concentrare le risorse dove sono più necessarie. Ciò è particolarmente importante quando i budget per la sicurezza sono limitati o in scenari tecnologici in rapida evoluzione.

Di seguito è illustrato come funziona in genere una strategia di sicurezza basata sul rischio.

• Valuta i rischi: identifica e valuta i rischi in base al loro potenziale impatto e alla probabilità che si verifichino. Mappa gli asset dell'organizzazione e determina le minacce che ciascun asset deve affrontare, valutando le vulnerabilità e i potenziali impatti di tali minacce. Utilizza tecniche come la modellazione delle minacce e le scansioni delle vulnerabilità.

• Assegna priorità ai rischi: determina quali rischi richiedono un'attenzione immediata, quali possono essere monitorati e quali sono accettabili. Classifica i rischi in base alla loro gravità e probabilità, dando priorità ai rischi ad alto impatto e ad alta probabilità per una mitigazione immediata.

• Implementa i controlli: applica i controlli più appropriati e convenienti per gestire e mitigare i rischi a priorità più elevata. Implementa diversi tipi di controlli (ad es., preventivi, di rilevamento, correttivi) a seconda del rischio. I controlli potrebbero includere soluzioni tecnologiche (ad es., firewall e crittografia), policy e procedure, nonché programmi di formazione e sensibilizzazione.

• Monitora i sistemi di sicurezza: monitora costantemente le misure di gestione dei rischi per garantirne l'efficacia. Questo potrebbe comportare controlli di sicurezza regolari, sistemi di rilevamento delle intrusioni, nonché il monitoraggio dei log di accesso e di altri eventi di sicurezza.

• Impara e migliora: adegua le misure in risposta alle nuove minacce, ai cambiamenti nell'organizzazione o alle lezioni apprese dal monitoraggio continuo. Utilizza il feedback della fase di monitoraggio e revisione per apportare miglioramenti alle pratiche di sicurezza. Aggiorna le valutazioni dei rischi e i controlli man mano che si verificano incidenti e vengono identificate le vulnerabilità.

Come implementare policy di sicurezza zero trust

Mentre i modelli di sicurezza tradizionali presuppongono che ci si possa fidare di tutto ciò che si trova all'interno della rete di un'organizzazione, le policy zero trust non presuppongono mai tale fiducia. Zero trust richiede una rigorosa verifica dell'identità per chiunque tenti di accedere alle risorse di rete, indipendentemente dal fatto che si trovi all'interno o all'esterno del perimetro di rete.

Ecco come vengono in genere implementate le policy zero trust:

• Verifica esplicitamente tutte le richieste: ogni richiesta di accesso deve essere verificata prima che l'accesso venga concesso, indipendentemente dall'origine della richiesta o dalla risorsa a cui accede. Utilizza MFA, dati biometrici e analisi comportamentali per verificare l'identità degli utenti e impiega un'autenticazione basata sul contesto che tenga conto di variabili come l'integrità del dispositivo, la località e l'orario di accesso.

• Utilizza l'accesso con privilegi minimi: riduci al minimo l'esposizione di ciascun utente alle parti sensibili della rete concedendo agli utenti e ai dispositivi il livello minimo di accesso necessario per eseguire le loro attività. Gestisci questo aspetto tramite policy e ruoli di controllo degli accessi rigorosi, che vengono rivisti e aggiornati regolarmente.

• Segmenta la rete: dividi la rete in segmenti per ridurre i movimenti laterali all'interno della rete da parte degli aggressori. In questo modo si creano micro-perimetri intorno ai dati e ai sistemi sensibili, rendendo più difficile per un aggressore spostarsi all'interno della rete in caso di accesso.

• Implementa difese a più livelli: implementa molteplici livelli difensivi che un aggressore deve aggirare per accedere alle risorse. Utilizza una combinazione di firewall, sistemi di rilevamento e prevenzione delle intrusioni (IDS/IPS) e crittografia dei dati in transito e a riposo.

• Monitora e mantieni la sicurezza: monitora costantemente tutto il traffico di rete e le attività degli utenti per rilevare e rispondere alle minacce in tempo reale. Utilizza sistemi di gestione delle informazioni e degli eventi di sicurezza (SIEM) per analizzare e correlare i log per individuare comportamenti anomali. Il machine learning può aiutare a riconoscere modelli che si discostano dalla norma.

• Fai della sicurezza un processo integrato: assicurati che la sicurezza sia un elemento chiave in ogni progetto IT e operazione aziendale fin dall'inizio. Coinvolgi regolarmente tutti i dipendenti in formazioni sulla sicurezza e integra la sicurezza nel ciclo di vita dello sviluppo del software (DevSecOps).

Come identificare e proteggersi dalle vulnerabilità di sicurezza

L'identificazione e la protezione contro le vulnerabilità implicano la scoperta, la classificazione e la risoluzione sistematica delle falle di sicurezza o dei punti deboli nei software e nell'hardware che gli utenti malintenzionati potrebbero sfruttare. Di seguito è riportato come funziona in genere.

• Scansiona i sistemi alla ricerca di vulnerabilità note: esegui regolarmente scansioni delle vulnerabilità utilizzando strumenti automatizzati che confrontano le configurazioni di sistema e il software installato con i database delle vulnerabilità note. Anche il penetration testing, in cui hacker etici tentano di sfruttare le vulnerabilità, fornisce informazioni sui punti deboli del sistema.

• Valuta e dai priorità ai risultati: una volta identificate le vulnerabilità, valutale in base a fattori quali la facilità di sfruttamento, il potenziale impatto di un exploit e l'entità dell'esposizione del sistema. Questo aiuta a dare priorità agli sforzi di risoluzione in base alla natura e alla gravità del rischio posto.

• Applica le patch non appena sono disponibili: i fornitori di software mettono a disposizione patch o aggiornamenti per correggere le vulnerabilità. Implementa una procedura sistematica per l'applicazione tempestiva di patch di sicurezza, aggiornamenti e hotfix in modo da garantire che le vulnerabilità vengano affrontate non appena sono disponibili le correzioni.

• Rafforza le configurazioni di sistema: utilizza strumenti di gestione della configurazione per garantire che i sistemi siano impostati in modo sicuro e mantenuti costantemente. Rivedi e rafforza regolarmente le configurazioni per ridurre al minimo le superfici di attacco e prevenire le vulnerabilità dovute a configurazioni errate o impostazioni predefinite.

• Difenditi dalle minacce zero-day sconosciute: impiega tecnologie avanzate di rilevamento delle minacce, come i sistemi di rilevamento basati sul comportamento, che non si basano esclusivamente sulle firme di vulnerabilità note. Questi sistemi sono in grado di identificare e mitigare attività insolite che potrebbero indicare un exploit in corso, difendendo da vulnerabilità sconosciute o per le quali non esiste una patch.

• Forma i dipendenti sulla consapevolezza della sicurezza informatica: conduci una formazione continua sulla sicurezza informatica per tutti i dipendenti, concentrandoti sul riconoscimento dei tentativi di phishing, sulla gestione sicura delle password e sulla comprensione dell'importanza dei regolari aggiornamenti software. Questo aiuta a ridurre al minimo l'errore umano, che può introdurre o aggravare le vulnerabilità.

• Controlla le pratiche di sicurezza e la conformità: esegui controlli di sicurezza e di conformità regolari per valutare in che misura vengono seguite le policy di sicurezza e per identificare eventuali lacune nella postura di sicurezza dell'organizzazione. Questo garantisce che le pratiche di sicurezza soddisfino gli standard e le normative stabiliti.

• Stabilisci e testa un piano di risposta agli incidenti: sviluppa e testa regolarmente un piano di risposta agli incidenti che delinei i passaggi da intraprendere quando si verifica una violazione della sicurezza. Questo dovrebbe includere procedure per il contenimento, l'eradicazione, il ripristino e l'analisi post-incidente.

In che modo Stripe Treasury può esserti d'aiuto

Stripe Treasury riunisce pagamenti e finanze su Stripe, in modo che le attività possano ricevere, archiviare, inviare e spendere fondi in un unico posto. È pensato per le startup e le attività in crescita che desiderano spostare denaro più rapidamente e dedicare meno tempo alla gestione delle operazioni finanziarie. Piattaforme, marketplace e aziende fintech possono inoltre offrire servizi finanziari ai propri utenti con Treasury per piattaforme.

Con Treasury puoi:

• Semplifica le tue operazioni finanziarie: gestisci denaro, pagamenti, spese con carta, bonifici e molto altro dalla Dashboard di Stripe.

• Sposta il denaro più velocemente: accedi subito ai guadagni Stripe liquidati e invia trasferimenti istantanei ad altre attività su Stripe senza alcun costo.

• Ottieni di più dal tuo denaro: ricevi cashback sulle spese con carta e crediti sulle commissioni Stripe sui saldi idonei.

• Opera a livello globale con facilità: mantieni saldi in più valute, convertili solo quando necessario e invia pagamenti ai destinatari in oltre 160 Paesi.

• Automatizza le operazioni finanziarie: usa gli agenti per analizzare il flusso di cassa e automatizzare attività come il pagamento delle fatture, lo spostamento di denaro e la conversione delle valute entro i limiti da te stabiliti.

Scopri di più su come Stripe Treasury può aiutarti a gestire le tue finanze e i tuoi pagamenti in un unico posto, oppure inizia oggi stesso.