Open banking låter tredjepartsleverantörer av finansiella tjänster komma åt kunddata från banker och andra finansinstitut. Kunderna kontrollerar vem som kan komma åt deras information och måste godkänna att deras data delas med tredje part. Dessa delade data, som nås via programmeringsgränssnitt (API:er), driver innovation och konkurrens i finansbranschen, vilket möjliggör framväxten av fintech och nya finansiella tjänster. Det totala transaktionsvärdet för globala open banking-betalningar förväntas öka från nästan 40 miljarder USD 2025 till 288 miljarder USD 2033.

Säker open banking som uppfyller kraven bygger på en säkerhetsgrund som skyddar känsliga finansiella data som delas mellan enheter. Nedan förklarar vi hur open banking fungerar och hur kunddata säkras, inklusive API-säkerhet samt identifierings- och skyddsstrategier.

Viktiga lärdomar

• Modern open banking förlitar sig på standardiserade, tokeniserade API:er och OAuth 2.0 snarare än föråldrad skärmskrapning, vilket säkerställer att användare aldrig delar råa banklösenord med tredje part.

• Användarna har total kontroll över sina data genom att bevilja explicita, tidsbegränsade behörigheter för specifik information som de kan återkalla omedelbart via sin bank eller anslutna appar.

• Säker open banking kombinerar stark kundautentisering (SCA), end-to-end-kryptering under överföring och i vila, samt rigorös granskning av tredjepartsleverantörer för att minska exponeringen för bedrägerier och förtydliga ansvarsfördelningen.

Vad används öppen bankverksamhet (open banking) till?

Open banking underlättar datadelning, vilket förbättrar finansiella tjänster för kunder och företag.

Open banking har möjliggjort en rad finansiella verktyg och funktioner, inklusive:

• Appar för budgetering och sparande: Open banking har möjliggjort skapandet av tredjepartsappar som sammanställer användarnas bankkontodata och ger skräddarsydda rekommendationer för budgetering och sparande.

• Bättre kredit- och lånebeslut: Långivare kan snabbt komma åt och analysera fler finansiella data via open banking, vilket kan leda till bättre kreditbeslut och snabbare lånegodkännanden.

• Skräddarsydda banktjänster: Finansinstitut kan använda de data som nås via open banking för att erbjuda kunder anpassade produkter och tjänster, till exempel anpassade räntor.

• Direkta kontobetalningar: Open banking-API:er kan användas för att initiera betalningar direkt från ett bankkonto, förbi traditionella betalningssystem som kreditkort, vilket kan minska transaktionsavgifterna.

• Förbättrad upptäckt av bedrägerier: Tillgång till realtidsdata hjälper finansinstitut och tjänsteleverantörer att förbättra sin förmåga att upptäcka bedrägerier, vilket minskar risken för obehöriga transaktioner.

• Kassaflödeshantering: Företag kan använda open banking-lösningar för att integrera data från olika konton i en plattform och få en bättre förståelse för sitt kassaflöde.

• Marknadsinsikter: Företag kan analysera bankdata som tillgängliggörs genom open banking för insikter om kundbeteende, marknadstrender och ekonomiska förhållanden.

Hur fungerar open banking?

Open banking använder API:er för att dela finansiella data mellan banker och auktoriserade tredjepartsleverantörer. Kundsamtycke som regleras enligt olika ramverk krävs för datadelning.

Så här fungerar open banking:

• Banker bygger standardiserade API:er: Banker utvecklar eller antar standardiserade API:er som låter tredjepartsleverantörer komma åt finansiella data. Dessa API:er fungerar som säkra gateways för dataförfrågningar och svar.

• Kunder ger sitt samtycke: En kund ger ett uttryckligt samtycke till en tredjepartsleverantör att komma åt deras finansiella data. Samtycket hanteras vanligtvis via ett säkert gränssnitt och det är ett juridiskt krav att det är välinformerat och uttryckligt.

• Leverantörer begär dataåtkomst: När samtycke har getts integrerar tredjepartsleverantören open banking-API:er för att begära åtkomst till kundens finansiella data från banken. Dessa API:er behandlar förfrågningar säkert och konsekvent.

• Banker hanterar autentisering och auktorisering: Banken verifierar kundens identitet och tredjepartsleverantörens auktorisering för att komma åt datan. Processen involverar ofta autentiseringssteg, till exempel inloggning via bankens portal eller andra säkerhetskontroller.

• Banker delar data: Efter framgångsrik autentisering och auktorisering delar banken begärda data med tredjepartsleverantören via API:et. Data kan inkludera kontosaldon, transaktionshistorik, möjligheter att initiera betalningar och mer.

• Data tillhandahålls i realtid: API:er låter appar hämta uppdaterade data direkt från kundens bank, oavsett om det är de senaste transaktionerna eller för att verifiera kontoägande. Detta underlättar ett brett utbud av finansiella tekniktjänster, inklusive budgeteringsappar och automatiserade lånegodkännanden.

• Leverantörer använder datan: Tredjepartsleverantören använder data för att erbjuda kunden tjänster, såsom ekonomisk förvaltning, personlig finansiell rådgivning, enklare utlåningsprocesser eller betalningstjänster.

• Kunder ger löpande samtycke: Kunder kan hantera eller dra tillbaka sitt samtycke när som helst. Banker och tredjepartsleverantörer måste efterleva strikta säkerhetsåtgärder för att skydda datan och säkerställa integriteten.

• Tillsynsmyndigheter fastställer och upprätthåller regler: Open banking är reglerat av statliga myndigheter och nationell lagstiftning, som dikterar säkerhetsstandarder, procedurer för kundsamtycke och vilka typer av data som kan delas inom open banking. Tillsynsmyndigheter övervakar kontinuerligt banker och tredjepartsleverantörer för att säkerställa att de efterlever reglerna för open banking.

• Kommunikationen är standardiserad: Open banking-API:er följer specifika standarder, vilket innebär att de talar ett "gemensamt språk" som används av olika banker och appar. Detta säkerställer att appar och tjänster kan fungera smidigt med olika banker och finansinstitut.

Centrala säkerhetsutmaningar inom open banking

Open banking ökar exponeringen för känsliga finansiella data och kräver avancerade säkerhetsåtgärder för att skydda den datan mot obehörig åtkomst. Säkerhetsutmaningar kräver en kombination av avancerad teknik, väldesignade säkerhetsprocesser och kontinuerlig vaksamhet.

Säkerhetsutmaningar inom open banking inkluderar:

Hantera kundsamtycke

Personliga finansiella data kan endast nås när kunderna tydligt har samtyckt till det, och kunderna kan återkalla den åtkomsten när som helst.

Lösningar

• Implementera toppmoderna system för att hantera samtycke.
  
• Ge kunderna enkla alternativ för att kontrollera sina data.
  
• Upprätthåll efterlevnad av strikta integritetslagar såsom den allmänna dataskyddsförordningen (GDPR).
  

Säkra API:er mot obehörig åtkomst

API:er öppnar dörrar till data och måste vara väl skyddade mot obehörig åtkomst och attacker.

Lösningar

• Använd moderna auktoriseringsmetoder som OAuth 2.0.
  
• Säkerställ att API:er förstärks med hjälp av verktyg som ömsesidig Transport Layer Security (TLS) för autentisering.
  
• Övervaka användning för att förhindra och upptäcka ovanliga aktiviteter.
  

Granska och övervaka tredjepartsleverantörer

Tjänster från tredje part har olika säkerhetsnivåer.

Lösningar

• Utvärdera noggrant säkerhetsåtgärderna hos alla externa leverantörer.
  
• Övervaka kontinuerligt tredjepartsleverantörer.
  
• Kräv efterlevnad av höga säkerhetsstandarder.
  

Kryptera data under överföring och i vila

Data måste krypteras för att skydda dem från att manipuleras eller läsas om de fångas upp.

Lösningar

• Använd starka tekniker för kryptering av data i vila och under överföring.
  
• Kontrollera dataintegriteten regelbundet med tekniker som digitala signaturer.
  

Upptäcka bedrägeri

Ökad tillgång till data kan potentiellt leda till nya typer av bedrägerier.

Lösningar

• Använd avancerad maskininlärning för att upptäcka bedrägeri när det sker.
  
• Konfigurera ett system för att bevaka och snabbt reagera på misstänkta aktiviteter.
  

Fortsätt uppfylla efterlevnadskraven

Regler kan variera beroende på region och ändras över tid, vilket påverkar hur data måste hanteras.

Lösningar

• Bygg en strategi för efterlevnad som snabbt kan anpassas till nya lagar.
  
• Se till att ditt team håller sig uppdaterat om de senaste kraven.
  
• Lär dig din regions regelverk. EU och Storbritannien har centraliserade mandat för öppna banktjänster, medan USA:s regelverk för öppna banktjänster till stor del är frivilliga och branschdrivna.
  

Verifiera identiteter och hantera åtkomst

Enskilda användare måste verifieras och deras dataåtkomst måste vara strikt kontrollerad.

Lösningar

• Implementera system för SCA-identitetsverifiering och flerfaktorsautentisering (MFA).
  
• Ställ in exakta åtkomstkontroller.
  
• Tydliggör det juridiska och ekonomiska ansvarsramverket när obehöriga betalningar eller intrång sker. Till exempel kommer olika enheter att hållas ansvariga beroende på om en transaktion var obehörig eller auktoriserad (t.ex. genom social manipulation).
  

Hantera incidenter

Tjänsterna måste fungera smidigt även när problem uppstår. Säkerhetsöverträdelser måste åtgärdas snabbt för att minimera skadorna.

Lösningar

• Förbered och uppdatera regelbundet incidenthanteringsplaner.
  
• Se till att säkerhetskopieringssystem finns på plats.
  
• Genomför regelbundna säkerhetsövningar.
  

Så gör man för att säkra API:er för öppna banktjänster

API-säkerhet inom öppna banktjänster kräver ett system i flera lager för att säkerställa att alla interaktioner mellan banker, tredjepartsleverantörer och kunder är säkra och att dataintegriteten upprätthålls.

Viktiga överväganden kring API-säkerhet inkluderar:

Autentisering och auktorisering

Protokoll för autentisering och auktorisering, som Financial-grade API (FAPI), säkerställer att API:er endast är tillgängliga för legitima användare och tjänster.

• OAuth 2.0: OAuth 2.0 är en auktoriseringsmetod som använder token istället för inloggningsuppgifter. Varje token ger åtkomst till en specifik uppsättning resurser under en begränsad period, vilket minskar risken för tokenstöld.

• OAuth: OAuth tillhandahåller metoder för att hämta token för olika scenarier, såsom auktoriseringskoder för appar och klientuppgifter för server-till-server-interaktioner.

Kryptering

Kryptering används för att skydda data när de flyttas mellan system (under överföring) och när de lagras (i vila). Genom att använda starka, uppdaterade kryptografiska protokoll förhindrar du att angripare fångar upp dem.

• TLS: TLS skyddar data i överföring genom att kryptera data som utbyts mellan klienter och servrar.

• AES: Avancerade krypteringsstandarder (AES) tillämpas på databasposter och andra datalager för att skydda vilande data.

API-nätslussar

API-nätslussar hanterar och ser till att trafiken riktas mot API:erna. En API-nätsluss fungerar som en omvänd proxy för att acceptera alla API-anrop, aggregera de tjänster som krävs för att uppfylla dem och returnera lämpligt resultat. Den hanterar hastighetsbegränsning, IP-vitlista och åtkomstkontroll. Nätslussar kan ge insikter om trafikmönster och varna administratörer om potentiella säkerhetshot.

Säkra metoder för API-utveckling

API:er är inbyggt säkra. Utvecklare bör följa Open Web Application Security Project (OWASP) API Security Top Ten, ett informationsdokument för API-säkerhet.

• Indatavalidering: Indatavalidering förhindrar attacker med SQL-injektion och Cross-Site Scripting (XSS).

• Loggning av API-transaktioner: Detaljerad loggning av API-transaktioner säkerställer att du är förberedd i händelse av en revision.

• Regelbundna kodgranskningar: Regelbundna kodgranskningar identifierar sårbarheter innan de leder till säkerhetsintrång.

Hastighetsbegränsning och strypning

Hastighetsbegränsning och strypning (throttling) förhindrar missbruk av API:er. Processen innebär att man begränsar hur många begäranden en användare eller tjänst kan göra under en viss period. Om antalet överskrider gränsen fördröjs eller blockeras ytterligare begäranden. Strypning hjälper till att hantera belastning och säkerställer att tjänster förblir tillgängliga även i scenarier med hög trafik eller attacker.

Regelbundna säkerhetsgranskningar och penetrationstester

Regelbundna säkerhetsgranskningar och penetrationstester utvärderar kontinuerligt säkerhetsstatusen för API-infrastrukturer. Dessa metoder bör ingå i ett regelbundet säkerhetsprotokoll och uppfylla branschstandarder och efterlevnadskrav. Rutinmässiga revisioner och penetrationstester kan hitta sårbarheter innan de utnyttjas.

System för identifiering och svar på avvikelser

Dessa system identifierar och reagerar på ovanlig aktivitet som kan tyda på ett säkerhetsintrång med hjälp av maskininlärning och annan avancerad analys för att övervaka API-trafikmönster och automatiskt flagga aktiviteter som avviker från normen. De är ofta integrerade med incidenthanteringsmekanismer för att snabbt isolera och minimera potentiella hot.

Så gör man för att bygga en riskbaserad säkerhetsstrategi

En riskbaserad säkerhetsstrategi innebär att man prioriterar säkerhetsinsatser och resurser baserat på sannolikheten för och den potentiella påverkan av olika hot. Det hjälper en organisation att förbli flexibel, lyhörd för nya hot och fokusera resurserna där de behövs som mest. Detta är särskilt viktigt när säkerhetsbudgetarna är begränsade eller i snabbt föränderliga tekniska landskap.

Så här fungerar vanligtvis en riskbaserad säkerhetsstrategi:

• Bedöm risker: Identifiera och utvärdera risker baserat på deras potentiella påverkan och sannolikheten för att de inträffar. Kartlägg organisationens tillgångar och fastställ de hot som varje tillgång står inför, bedöm sårbarheter och utvärdera de potentiella effekterna av dessa hot. Använd tekniker som hotmodellering och sårbarhetsskanningar.

• Prioritera risker: Fastställ vilka risker som behöver omedelbar uppmärksamhet, vilka som kan övervakas och vilka som är acceptabla. Rangordna riskerna baserat på deras allvarlighetsgrad och sannolikhet och prioritera risker med stor påverkan och hög sannolikhet för omedelbara åtgärder.

• Implementera kontroller: Tillämpa de mest lämpliga och kostnadseffektiva kontrollerna för att hantera och mildra de mest prioriterade riskerna. Implementera olika typer av kontroller (t.ex. förebyggande, upptäckande, korrigerande) beroende på risken. Kontroller kan innefatta tekniska lösningar (t.ex. brandväggar och kryptering), policyer och procedurer samt utbildnings- och medvetenhetsprogram.

• Övervaka säkerhetssystem: Övervaka riskhanteringsåtgärder kontinuerligt för att säkerställa att de är effektiva. Detta kan innefatta regelbundna säkerhetsrevisioner, intrångsdetekteringssystem samt övervakning av åtkomstloggar och andra säkerhetshändelser.

• Lär dig och förbättra: Justera åtgärder som svar på nya hot, förändringar i organisationen eller lärdomar från pågående övervakning. Använd feedback från övervaknings- och granskningsfasen för att göra förbättringar av säkerhetsrutinerna. Uppdatera riskbedömningar och kontroller allteftersom incidenter inträffar och sårbarheter identifieras.

Så gör man för att implementera säkerhetspolicyer för Zero Trust

Medan traditionella säkerhetsmodeller antar att man kan lita på allt inom en organisations nätverk, antar Zero Trust-policyer aldrig någon tillit. Zero Trust kräver rigorös identitetsverifiering för alla som försöker få åtkomst till nätverksresurser, oavsett om de befinner sig innanför eller utanför nätverkets gränser.

Så här implementeras vanligtvis Zero Trust-policyer:

• Verifiera uttryckligen alla begäranden: Varje åtkomstbegäran måste verifieras innan åtkomst beviljas, oavsett var begäran kommer ifrån eller vilken resurs den begär åtkomst till. Använd MFA, biometri och beteendeanalys för att verifiera användarnas identitet, och använd kontextbaserad autentisering som tar hänsyn till variabler som enhetshälsa, plats och tid för åtkomst.

• Använd åtkomst med minsta möjliga behörighet: Minimera varje användares exponering för känsliga delar av nätverket genom att ge användare och enheter den lägsta åtkomstnivån som krävs för att utföra sina uppgifter. Hantera detta genom strikta åtkomstkontrollpolicyer och roller, som granskas och uppdateras regelbundet.

• Segmentera nätverket: Dela in nätverket i segment för att minska angripares laterala rörelser inom nätverket. Detta skapar mikroperimetrar kring känsliga data och system, vilket gör det svårare för en angripare att röra sig genom nätverket om hen får åtkomst.

• Implementera försvar i flera lager: Implementera flera försvarslager som en angripare måste kringgå för att få åtkomst till resurser. Använd en kombination av brandväggar, system för intrångsdetektering och intrångsskydd (IDS/IPS) samt datakryptering vid överföring och i vila.

• Övervaka och upprätthåll säkerheten: Övervaka all nätverkstrafik och användaraktiviteter kontinuerligt för att upptäcka och reagera på hot i realtid. Använd system för säkerhetsinformation och händelsehantering (SIEM) för att analysera och korrelera loggar efter onormalt beteende. Maskininlärning kan hjälpa till att känna igen mönster som avviker från det normala.

• Gör säkerhet till en integrerad process: Se till att säkerhet är en viktig aspekt i varje IT-projekt och affärsverksamhet från allra första början. Engagera alla anställda i regelbunden säkerhetsutbildning och integrera säkerheten i programvarans livscykelutveckling (DevSecOps).

Så gör man för att identifiera och skydda mot säkerhetssårbarheter

Identifiering av och skydd mot sårbarheter innebär att systematiskt upptäcka, kategorisera och åtgärda säkerhetshål eller svagheter i program- och maskinvara som angripare kan utnyttja. Så här går det vanligtvis till:

• Skanna system efter kända sårbarheter: Genomför regelbundna sårbarhetsskanningar med hjälp av automatiserade verktyg som jämför systemkonfigurationer och installerad programvara mot databaser över kända sårbarheter. Penetrationstestning, där etiska hackare försöker utnyttja sårbarheter, ger också insikter i systemsvagheter.

• Bedöm och prioritera dina fynd: När sårbarheter har identifierats ska du bedöma dem baserat på faktorer som hur lätt det är att utnyttja dem, den potentiella påverkan av ett utnyttjande och omfattningen av systemets exponering. Det hjälper till att prioritera avhjälpande åtgärder utifrån den utgjorda riskens natur och allvarlighetsgrad.

• Tillämpa säkerhetsuppdateringar så snart de är tillgängliga: Programvaruleverantörer tillhandahåller säkerhetsuppdateringar eller uppdateringar för att åtgärda sårbarheter. Implementera en systematisk process för att i rätt tid tillämpa säkerhetsuppdateringar, uppdateringar och snabbkorrigeringar för att säkerställa att sårbarheter åtgärdas så snart korrigeringar finns tillgängliga.

• Härda systemkonfigurationer: Använd verktyg för konfigurationshantering för att säkerställa att systemen är säkert konfigurerade och underhålls konsekvent. Granska och härda konfigurationer regelbundet för att minimera attackytor och förhindra sårbarheter på grund av felkonfigurationer eller standardinställningar.

• Försvara mot okända nolldagarshot: Använd avancerad teknik för hotidentifiering som till exempel beteendebaserade identifieringssystem, vilka inte enbart förlitar sig på kända sårbarhetssignaturer. Dessa kan identifiera och mildra ovanlig aktivitet som kan tyda på ett pågående utnyttjande, och på så sätt skydda mot okända sårbarheter eller sådana som saknar en befintlig säkerhetsuppdatering.

• Utbilda anställda i medvetenhet om cybersäkerhet: Genomför kontinuerlig utbildning i cybersäkerhet för alla anställda, med fokus på att känna igen nätfiskeförsök, hantera lösenord säkert och förstå vikten av regelbundna programuppdateringar. Detta hjälper till att minimera mänskliga fel, som kan introducera eller förvärra sårbarheter.

• Granska säkerhetspraxis och efterlevnad: Utför regelbundna säkerhetsrevisioner och efterlevnadskontroller för att utvärdera hur väl säkerhetspolicyer följs och identifiera eventuella brister i organisationens säkerhetsställning. Genom att göra detta säkerställs det att säkerhetspraxis uppfyller fastställda standarder och förordningar.

• Upprätta och testa en incidenthanteringsplan: Utveckla och testa rutinmässigt en incidenthanteringsplan som beskriver vilka åtgärder som ska vidtas när ett säkerhetsintrång inträffar. Denna bör innehålla rutiner för begränsning, undanröjande, återställning och analys efter incidenten.

Så kan Stripe Treasury hjälpa dig

Stripe Treasury samlar betalningar och ekonomi på Stripe, så att företag kan ta emot, lagra, skicka och spendera medel på ett och samma ställe. Det är byggt för startups och växande företag som vill flytta pengar snabbare och lägga mindre tid på ekonomiadministration. Plattformar, marknadsplatser och fintech-företag kan också erbjuda finansiella tjänster till sina användare med Treasury för plattformar.

Treasury kan hjälpa dig att:

• Förenkla din ekonomiadministration: Hantera pengar, betalningar, kortutgifter, utbetalningar med mera från Stripe Dashboard.

• Flytta pengar snabbare: Få omedelbar tillgång till avräknade Stripe-intäkter och skicka direkta överföringar till andra företag på Stripe utan kostnad.

• Få ut mer av dina pengar: Få cashback på kortutgifter och krediter för Stripe-avgifter på kvalificerade saldon.

• Verka globalt med lätthet: Håll saldon i flera valutor, växla bara vid behov och skicka utbetalningar till mottagare i 160+ länder.

• Automatisera din ekonomiadministration: Använd agenter för att analysera kassaflödet och automatisera uppgifter som att betala fakturor, flytta pengar och växla valutor inom de gränser du anger.

Läs mer om hur Stripe Treasury kan hjälpa dig att hantera din ekonomi och dina betalningar på ett och samma ställe, eller börja i dag.