L'open banking consiste nel consentire a fornitori di servizi finanziari di terze parti di accedere ai dati dei clienti di banche e altri istituti finanziari. I clienti hanno il controllo su chi può accedere alle loro informazioni e devono dare il proprio consenso alla condivisione dei loro dati con terze parti. Questi dati condivisi, accessibili tramite API (interfacce di programmazione delle applicazioni), consentono una maggiore innovazione e concorrenza nel settore finanziario e hanno permesso l'ascesa del settore fintech e di nuove offerte nel mercato dei servizi finanziari. Secondo le previsioni, il valore totale delle transazioni dei pagamenti tramite open banking globali passerà da 57 miliardi di dollari nel 2023 a oltre 330 miliardi di dollari entro il 2027.

L'open banking, se implementato in modo sicuro e legale, si fonda su una base di sicurezza che protegge i dati finanziari sensibili condivisi tra le entità. Di seguito viene illustrato come funziona l'open banking e quali misure proteggono i dati dei clienti, inclusa la sicurezza delle API e le strategie di identificazione e protezione.

Di cosa tratta questo articolo?

• A cosa serve l'open banking?
  
• Come funziona l'open banking?
  
• Quali sono le sfide in materia di sicurezza dell'open banking?
  
• Come funzionano le API con l'open banking?
  
• Sicurezza delle API nell'open banking
  
• Utilizzo di una strategia di sicurezza basata sul rischio
  
• Implementazione di politiche Zero Trust
  
• Identificazione e protezione contro le vulnerabilità
  

A cosa serve l'open banking?

L'open banking ha facilitato la condivisione dei dati migliorando i servizi finanziari per clienti e attività. Di seguito sono illustrati alcuni strumenti e funzioni finanziarie che l'open banking ha reso possibili.

• App di definizione del budget e risparmio: l'open banking ha consentito la creazione di app di terze parti che aggregano informazioni dai conti bancari di un utente e offrono consigli in materia di definizione del budget e risparmio basati su questa visione completa.

• Decisioni migliori sul credito e sui prestiti: tramite l'open banking gli istituti di credito possono rapidamente accedere a più dati finanziari e analizzarli, il che può portare a migliori decisioni sul credito e approvazioni più rapide dei prestiti.

• Servizi bancari su misura: gli istituti finanziari possono utilizzare i dati accessibili tramite l'open banking per offrire prodotti e servizi personalizzati che soddisfino le esigenze dei singoli clienti, quali tassi di interesse personalizzati.

• Pagamenti diretti dal conto: le API di open banking possono essere utilizzate per disporre pagamenti direttamente da un conto bancario, bypassando i sistemi di pagamento tradizionali come le carte di credito, e riducendo così le commissioni di transazione.

• Rilevamento delle frodi migliorato: l'accesso ai dati in tempo reale consente agli istituti finanziari e ai fornitori di servizi di migliorare le proprie funzionalità di rilevamento delle frodi, riducendo il rischio di transazioni non autorizzate.

• Gestione del flusso di cassa: le attività possono utilizzare soluzioni di open banking per integrare i dati provenienti da conti diversi in un'unica piattaforma e acquisire una migliore comprensione del proprio flusso di cassa.

• Approfondimenti di mercato: le attività possono analizzare i dati bancari resi disponibili dall'open banking per ottenere informazioni sul comportamento dei clienti, sulle tendenze del mercato e sulle condizioni economiche.

Come funziona l'open banking?

L'open banking utilizza le API per condividere i dati finanziari tra banche e fornitori di terze parti autorizzati. La condivisione dei dati è subordinata al consenso del cliente, regolamentato da una serie di quadri normativi. Di seguito viene illustrato come funziona l'open banking.

• Sviluppo delle API: le banche sviluppano o adottano API standardizzate che consentono a fornitori di terze parti di accedere ai dati finanziari. Queste API fungono da gateway sicuri per le richieste di dati e le risposte.

• Consenso del cliente: un cliente acconsente esplicitamente che un fornitore di terze parti acceda ai suoi dati finanziari. Il consenso è generalmente gestito attraverso un'interfaccia sicura ed è obbligatorio per legge che sia informato ed esplicito.

• Accesso ai dati: una volta dato il consenso, il fornitore di terze parti utilizza le API per richiedere alla banca l'accesso ai dati finanziari del cliente. Le API gestiscono queste richieste in modo sicuro e standardizzato.

• Autenticazione e autorizzazione: la banca verifica l'identità del cliente e controlla che il fornitore di terze parti sia autorizzato ad accedere ai dati. La procedura prevede spesso più fasi di autenticazione come l'accesso tramite il portale della banca o altri controlli di sicurezza.

• Condivisione dei dati: dopo l'autenticazione e l'autorizzazione, la banca condivide i dati richiesti con il fornitore di terze parti tramite l'API. I dati possono includere saldi dei conti, cronologie delle transazioni, funzionalità di disposizione dei pagamenti e altro ancora.

• Utilizzo dei dati: il fornitore di terze parti utilizza questi dati per offrire servizi al cliente. Questi potrebbero includere la gestione finanziaria, una consulenza finanziaria personalizzata, procedure di prestito più semplici o servizi di pagamento.

• Consenso e sicurezza continui: i clienti possono gestire o revocare il proprio consenso in qualsiasi momento. Le banche e i fornitori di terze parti devono rispettare rigorose misure di sicurezza per proteggere i dati e garantire la privacy.

• Quadro normativo: l'open banking è regolamentato da agenzie governative e dalle leggi nazionali, che stabiliscono gli standard di sicurezza, le procedure per il consenso dei clienti e i tipi di dati che possono essere condivisi nell'open banking. Le autorità di regolamentazione monitorano continuamente le banche e i fornitori di terze parti per assicurarsi che rispettino le normative sull'open banking.

Quali sono le sfide in materia di sicurezza dell'open banking?

L'open banking aumenta l'esposizione dei dati finanziari sensibili e richiede misure di sicurezza avanzate per proteggere tali dati da accessi non autorizzati. Le sfide in materia di sicurezza presentate dall'open banking devono essere affrontate con un mix di tecnologie avanzate, procedure di sicurezza ben progettate e vigilanza continua. Di seguito sono elencate le principali sfide in materia di sicurezza nell'open banking.

Privacy dei dati e consenso

È possibile accedere ai dati finanziari personali solo se i clienti hanno dato il loro consenso esplicito e questi ultimi devono poter essere in grado di revocare il consenso a tale accesso in qualsiasi momento.

Soluzioni

• Implementare sistemi all'avanguardia per la gestione del consenso.
  
• Offrire ai clienti opzioni chiare per il controllo dei propri dati.
  
• Mantenere la conformità a rigorose leggi sulla privacy, come il Regolamento generale sulla protezione dei dati (GDPR).
  

Accesso alle API

Le API aprono le porte ai dati e devono essere adeguatamente protette da accessi non autorizzati e attacchi.

Soluzioni

• Utilizzare metodi di autorizzazione moderni come OAuth 2.0.
  
• Assicurarsi che le API siano rafforzate utilizzando strumenti come il protocollo TLS (Transport Layer Security) reciproco per l'autenticazione.
  
• Monitorare l'utilizzo per prevenire e rilevare attività insolite.
  

Rischi di terze parti

I servizi di terze parti hanno diversi livelli di sicurezza.

Soluzioni

• Valutare attentamente le misure di sicurezza di tutti i fornitori esterni.
  
• Monitorare continuamente i fornitori di terze parti.
  
• Insistere sul rispetto di elevati standard di sicurezza.
  

Crittografia e integrità dei dati

I dati devono essere crittografati per proteggerli da manomissioni o letture se intercettati.

Soluzioni

• Utilizzare tecniche di crittografia avanzate per i dati inattivi e in transito.
  
• Controllare regolarmente l'integrità dei dati utilizzando tecniche come le firme digitali.
  

Rilevamento delle frodi

Un maggiore accesso ai dati può potenzialmente portare a nuovi tipi di frode.

Soluzioni

• Utilizzare il machine learning avanzato per individuare le frodi in tempo reale.
  
• Configurare un sistema per monitorare e reagire rapidamente alle azioni sospette.
  

Conformità normativa

Le normative possono variare in base all'area geografica e cambiare nel tempo, influenzando il modo in cui i dati devono essere gestiti.

Soluzioni

• Costruire una strategia di conformità in grado di adattarsi rapidamente alle nuove leggi.
  
• Assicurarsi che il proprio team sia sempre informato sui requisiti più recenti.
  

Gestione di identità e accesso

I singoli utenti devono essere verificati e il loro accesso ai dati deve essere gestito con attenzione.

Soluzioni

• Implementare sistemi avanzati di verifica dell'identità e di autenticazione a più fattori (MFA).
  
• Impostare controlli degli accessi precisi.
  

Resilienza e risposta agli incidenti

I servizi devono funzionare senza intoppi anche quando si verificano problemi. Le violazioni della sicurezza devono essere affrontate rapidamente per ridurre al minimo i danni.

Soluzioni

• Preparare e aggiornare regolarmente i piani di risposta agli incidenti.
  
• Assicurarsi che siano adottati sistemi di backup.
  
• Svolgere regolarmente esercitazioni di sicurezza.
  

Come funzionano le API con l'open banking?

Le API sono la spina dorsale dell'open banking e offrono alle app e ai servizi un modo sicuro e standardizzato per integrarsi con le banche e accedere ai dati finanziari. Ecco come funzionano:

• Funzionamento come un messaggero sicuro: le API inviano richieste di informazioni (ad es., saldo del conto, cronologia delle transazioni) dall'app in uso (ad es., un'app per la definizione del budget) alla banca e riportano la risposta della banca all'app. In questo modo puoi utilizzare una serie di servizi finanziari tramite app di terze parti mantenendo al sicuro i tuoi dati bancari.

• Gestione delle autorizzazioni: quando utilizzi per la prima volta un nuovo servizio finanziario o una nuova app, l'API ti chiederà se l'app può accedere o meno alle tue informazioni. Se acconsenti, si assicurerà che l'app riceva solo i dati di cui ha bisogno. In questo modo ti offre il controllo su chi vede le tue informazioni finanziarie e si assicura che le app non accedano a più dati del necessario.

• Fornitura di dati in tempo reale: le API consentono alle app di recuperare dati aggiornati direttamente dalla tua banca, che si tratti delle tue ultime transazioni o della verifica della titolarità del conto. Ciò facilita un'ampia gamma di servizi tecnologici finanziari, tra cui app per la definizione del budget e approvazioni automatizzate dei prestiti.

• Standardizzazione della comunicazione: le API di open banking seguono standard specifici, il che significa che parlano un "linguaggio comune" nonostante siano utilizzate da banche e app diverse, il che garantisce che app e servizi possano funzionare senza problemi con diverse banche e istituti finanziari.

• Sicurezza e privacy garantite: le API applicano misure di sicurezza come la crittografia durante i trasferimenti di dati e garantiscono che vengano elaborate solo le richieste autorizzate. Fungono da gatekeeper, impedendo l'accesso non autorizzato, mantenendo la tua privacy e proteggendo i tuoi dati finanziari dalle minacce informatiche.

Sicurezza delle API nell'open banking

Per migliorare la sicurezza delle API nell'open banking è necessario un sistema a più livelli per garantire la sicurezza di tutte le interazioni tra banche, fornitori di terze parti e clienti e il mantenimento dell'integrità dei dati. Di seguito sono illustrati gli aspetti relativi alla sicurezza che devono essere affrontati in materia di API.

Autenticazione e autorizzazione

I protocolli di autenticazione e autorizzazione garantiscono che l'accesso alle API avvenga solo da parte di utenti e servizi legittimi.

• OAuth 2.0: OAuth 2.0 è un metodo di autorizzazione che utilizza token al posto delle credenziali. Ogni token garantisce l'accesso a uno specifico set di risorse per un periodo limitato, riducendo il rischio di furto di token.

• OAuth: OAuth fornisce metodi per ottenere token per diversi scenari, ad esempio codici di autorizzazione per le app e credenziali client per le interazioni tra server.

Crittografia

La crittografia viene utilizzata per proteggere i dati mentre si spostano tra i sistemi (in transito) e quando sono archiviati (inattivi). L'utilizzo di protocolli crittografici solidi e aggiornati impedisce l'intercettazione da parte di utenti malintenzionati.

• TLS: il protocollo TLS protegge i dati in transito, crittografando i dati scambiati tra client e server.

• AES: gli standard AES (Advanced Encryption Standards) vengono applicati alle voci di database e ad altri archivi dati per proteggere i dati inattivi.

Gateway di API

I gateway di API gestiscono e proteggono il traffico verso le API. Un gateway di API funge da proxy inverso per accettare tutte le chiamate API, aggregare i servizi necessari per evaderle e restituire il risultato appropriato. Gestisce la limitazione della velocità, l'inserimento nella whitelist degli IP e il controllo degli accessi. I gateway possono fornire informazioni dettagliate sui modelli di traffico e avvisare gli amministratori di potenziali minacce alla sicurezza.

Pratiche di sviluppo di API sicure

Le API sono sicure fin dalla progettazione. Gli sviluppatori devono aderire all'API Security Top Ten dell'Open Web Application Security Project (OWASP), un documento di sensibilizzazione per la sicurezza delle API.

• Convalida degli input: la convalida dell'input previene gli attacchi SQL injection e gli attacchi di scripting intersito (XSS).

• Registrazione delle transazioni API: la registrazione dettagliata delle transazioni API ti assicura di essere preparato in caso di audit.

• Analisi regolari del codice: le analisi regolari del codice identificano le vulnerabilità prima che portino a violazioni della sicurezza.

Limitazione della velocità e delle richieste

La limitazione della velocità e delle richieste prevengono l'abuso delle API. Il processo prevede la limitazione del numero di richieste che un utente o un servizio può effettuare in un determinato periodo. Se il numero supera il limite, le richieste aggiuntive vengono ritardate o bloccate. La limitazione delle richieste consente di gestire il carico e garantisce la disponibilità dei servizi anche in scenari di traffico elevato o di attacco.

Audit di sicurezza e test di penetrazione regolari

Gli audit di sicurezza e i test di penetrazione regolari valutano continuamente il livello di sicurezza delle infrastrutture API. Queste pratiche dovrebbero far parte di un normale protocollo di sicurezza e soddisfare gli standard del settore e i requisiti di conformità. Gli audit e i test di penetrazione di routine possono rilevare le vulnerabilità prima che vengano sfruttate.

Sistemi di rilevamento e risposta alle anomalie

Questi sistemi rilevano attività insolite che potrebbero indicare una violazione della sicurezza e rispondono ad esse, utilizzando il machine learning e altre analisi avanzate per monitorare i modelli di traffico delle API e segnalare automaticamente le attività che si discostano dalla norma. Spesso sono integrati con meccanismi di risposta agli incidenti per isolare e mitigare rapidamente le potenziali minacce.

Utilizzo di una strategia di sicurezza basata sul rischio

L'utilizzo di una strategia di sicurezza basata sul rischio implica attribuire priorità agli sforzi e alle risorse di sicurezza in base alla probabilità e al potenziale impatto delle varie minacce. Una strategia di sicurezza basata sul rischio consente a un'organizzazione di rimanere agile e reattiva alle nuove minacce e garantisce che le risorse di sicurezza siano utilizzate in modo efficiente e si concentrino sulle aree di maggiore necessità. Ciò è particolarmente importante in ambienti con budget di sicurezza limitati o in scenari tecnologici in rapida evoluzione.

Di seguito è illustrato come funziona in genere una strategia di sicurezza basata sul rischio.

• Valutazione dei rischi: identifica e valuta i rischi in base al loro potenziale impatto e alla probabilità che si verifichino. Individua le risorse dell'organizzazione e determina le minacce che ciascuna risorsa deve affrontare, valutando le vulnerabilità e i potenziali impatti di tali minacce. Utilizza tecniche come la creazione di modelli di minacce e le scansioni delle vulnerabilità.

• Attribuzione di priorità ai rischi: determina quali rischi richiedono un'attenzione immediata, quali possono essere monitorati e quali sono accettabili. Classifica i rischi in base alla loro gravità e probabilità, dando priorità ai rischi ad alto impatto e ad alta probabilità per una mitigazione immediata.

• Implementazione dei controlli: applica i controlli più appropriati e convenienti per gestire e mitigare i rischi con priorità più elevata. Implementa diversi tipi di controlli (ad es., preventivi, investigativi, correttivi) a seconda del rischio. I controlli possono includere soluzioni tecnologiche (come firewall e crittografia), politiche e procedure, e programmi di formazione e sensibilizzazione.

• Monitoraggio dei sistemi di sicurezza: monitora costantemente le misure di gestione del rischio per assicurarti che siano efficaci. Questo processo potrebbe comportare controlli di sicurezza regolari, l'uso di sistemi di rilevamento delle intrusioni e il monitoraggio dei registri di accesso e di altri eventi di sicurezza.

• Apprendimento e miglioramento: adegua le misure in risposta alle nuove minacce, ai cambiamenti nell'organizzazione o alle lezioni apprese dal monitoraggio continuo. Utilizza il feedback della fase di monitoraggio e analisi per migliorare le pratiche di sicurezza e aggiornare le valutazioni e i controlli dei rischi man mano che si verificano incidenti e vengono identificate vulnerabilità.

Implementazione di politiche Zero Trust

Mentre i modelli di sicurezza tradizionali presuppongono che tutto ciò che si trova all'interno della rete di un'organizzazione possa essere considerato attendibile, le politiche Zero Trust non danno mai per scontata l'attendibilità. Le politiche Zero Trust richiedono una rigorosa verifica dell'identità per chiunque tenti di accedere alle risorse della rete, indipendentemente dal fatto che si trovi all'interno o all'esterno del perimetro della rete. Di seguito viene illustrato come vengono generalmente implementate le politiche Zero Trust.

• Verifica esplicita: ogni richiesta di accesso deve essere verificata prima della concessione dell'accesso, indipendentemente dall'origine della richiesta o dalla risorsa a cui accede. Utilizza l'autenticazione a più fattori, i dati biometrici e l'analisi comportamentale per verificare l'identità degli utenti e utilizza l'autenticazione basata sul contesto che considera variabili quali l'integrità del dispositivo, la posizione e l'ora di accesso.

• Utilizzo dell'accesso con privilegio minimo: riduci al minimo l'esposizione di ogni utente a parti sensibili della rete concedendo agli utenti e ai dispositivi il livello minimo di accesso necessario per eseguire le proprie attività. Gestisci questa situazione adottando politiche e ruoli rigorosi per il controllo degli accessi, che vengono analizzati e aggiornati regolarmente.

• Segmentazione: dividi la rete in segmenti per ridurre i movimenti laterali all'interno della rete da parte degli utenti malintenzionati. In questo modo si creano micro-perimetri attorno ai dati e sistemi sensibili e si rende più difficile per un utente malintenzionato muoversi attraverso la rete se ottiene l'accesso.

• Difese a più livelli: implementa più livelli difensivi che un utente malintenzionato deve aggirare per accedere alle risorse. Utilizza una combinazione di firewall, sistemi di rilevamento e di prevenzione delle intrusioni (IDS/IPS) e crittografia dei dati in transito e inattivi.

• Monitoraggio e mantenimento della sicurezza: monitora continuamente tutto il traffico di rete e tutte le attività degli utenti per rilevare e rispondere alle minacce in tempo reale. Utilizza sistemi di security information and event management (SIEM) per analizzare e correlare i registri alla ricerca di comportamenti anomali. Il machine learning può aiutare a riconoscere i modelli che si discostano dalla norma.

• Sicurezza come processo integrato: assicurati che la sicurezza sia una considerazione chiave in ogni progetto IT e operazione aziendale fin dall'inizio. Impegnati regolarmente in corsi di formazione sulla sicurezza per tutti i dipendenti e integra la sicurezza nel ciclo di sviluppo del software (DevSecOps).

Identificazione e protezione contro le vulnerabilità

L'identificazione e la protezione contro le vulnerabilità implicano la scoperta, la classificazione e la risoluzione sistematica delle falle di sicurezza o dei punti deboli nei software e nell'hardware che gli utenti malintenzionati potrebbero sfruttare. Di seguito è riportato come funziona in genere.

• Identificazione delle vulnerabilità: esegui scansioni delle vulnerabilità regolari utilizzando strumenti automatizzati che confrontano le configurazioni di sistema e i software installati con i database delle vulnerabilità note. Anche i test di penetrazione, nei quali gli hacker etici tentano di sfruttare le vulnerabilità, forniscono informazioni sui punti deboli del sistema.

• Valutazione delle vulnerabilità: una volta identificate le vulnerabilità, valutale in base a fattori quali la facilità di sfruttamento, il potenziale impatto di un exploit e l'entità dell'esposizione del sistema. Ciò aiuta ad attribuire priorità agli sforzi di correzione in base alla natura e alla gravità del rischio posto.

• Gestione delle patch: i fornitori di software forniscono patch o aggiornamenti per correggere le vulnerabilità. Implementa una procedura sistematica per l'applicazione tempestiva di patch di sicurezza, aggiornamenti e hotfix per garantire che le vulnerabilità vengano risolte non appena sono disponibili correzioni.

• Gestione delle configurazioni: utilizza gli strumenti di gestione delle configurazioni per garantire che i sistemi siano configurati in modo sicuro e mantenuti in uno stato coerente. Analizza e rafforza regolarmente le configurazioni per ridurre al minimo le superfici di attacco e prevenire le vulnerabilità dovute a configurazioni errate o impostazioni predefinite.

• Protezione dalle minacce zero-day: utilizza tecnologie avanzate di rilevamento delle minacce, come i sistemi di rilevamento basati sul comportamento, che non si basano esclusivamente su firme di vulnerabilità note. Queste possono identificare e mitigare attività insolite che potrebbero indicare un exploit in corso e proteggere da vulnerabilità non ancora note o per le quali non esiste una patch.

• Educazione e sensibilizzazione: offri una formazione continua sulla sicurezza informatica per tutti i dipendenti, concentrandoti sul riconoscimento dei tentativi di phishing, sulla gestione sicura delle password e sulla comprensione dell'importanza di aggiornamenti software regolari. Questo aiuta a ridurre al minimo l'errore umano, che può introdurre o esacerbare le vulnerabilità.

• Audit e controlli di conformità regolari: esegui regolarmente audit di sicurezza e controlli di conformità per valutare in che misura i criteri di sicurezza vengono rispettati e per identificare eventuali lacune nel livello di sicurezza dell'organizzazione. In questo modo si garantisce che le pratiche di sicurezza soddisfino gli standard e i regolamenti stabiliti.

• Pianificazione della risposta agli incidenti: sviluppa e testa regolarmente un piano di risposta agli incidenti che delinei le misure da adottare quando si verifica una violazione della sicurezza. Il piano dovrebbe includere procedure per il contenimento, l'eradicazione, il recupero e l'analisi post-incidente.