Como preparar a segurança da sua empresa para o Open Banking

Em 15 de julho, entra em operação a segunda fase do Open Banking, quando os clientes poderão permitir às instituições financeiras com que trabalham que compartilhem seus dados com outras entidades. As novas regras, regulamentadas pelo Banco Central, vão permitir o livre compartilhamento de APIs (interfaces de programação de aplicativos) para estimular a livre concorrência. Elas são uma alternativa ao atual modelo de negócios dos bancos, que restringe informações dos clientes a uma única instituição, o que torna o acesso às melhores ofertas do mercado limitado.

O Open Banking parte do pressuposto de que a informação pertence ao cliente e não a uma determinada instituição financeira, o que permitirá que outros bancos e fintechs conheçam o histórico dos correntistas e ofereçam soluções personalizadas e com melhor custo/benefício. Muitas delas já estão em estágio avançado de implementação do novo sistema. Porém, como toda nova implementação, a preocupação com segurança tem que estar na agenda de todos os líderes de TI de bancos e fintechs para garantir que os dados de seus clientes não caiam em mãos indevidas, pois o roubo ou vazamento de dados traz prejuízos não só para os clientes, como também perda monetária e de credibilidade para as instituições.

A instrução normativa nº 99 do Banco Central divulga a versão 2.0 do Manual de Segurança do Open Banking, de observância obrigatória por parte das instituições participantes, e descreve o que deve ser utilizado em termos de segurança nesse ecossistema, seja em termos de política de segurança cibernética, Lei Geral de Proteção de Dados (LGPD) e resposta à incidentes, tais como comunicação cifrada TLS 1.2, assinatura de mensagens ISO 20022, dados cifrados em repouso com algoritmo militar AES (Advanced Encryption Standard), duplo controle e tratamento de segredo, análise de vulnerabilidades, autenticação de múltiplo fator, auditoria, testes de intrusão e treinamentos de segurança.

Embora existam hoje várias soluções de segurança no mercado que conseguem auxiliar as empresas de forma individualizada, de modo geral elas resultam em um custo de implementação e integração elevados, o que inviabiliza muitos projetos. É justamente para tentar baratear esses custos e ajudar bancos e fintechs a superar os desafios de segurança impostos pelo Open Banking que a Kryptus firmou uma série de parceiras tecnológicas e se uniu a empresas com soluções complementares de segurança ao seu portfólio capazes de suportar todo esse ecossistema.

Para atender especificamente o mercado financeiro, a Kryptus fechou acordos com com a corretora de criptomoedas Mercado Bitcoin, a Ecoscard, empresa de segurança da informação com foco em pagamentos, e a Matera, especializada em serviços de tecnologia para o mercado financeiro. Os acordos visaram adicionar uma camada de segurança para empresas que já possuem soluções da regra de negócio (camada sistêmica de comunicação e APIs), ou para aquelas que querem uma solução completa plug and play, com as camadas de segurança (serviços, software e hardware) e lógica de negócio embutidas e prontas para uso.

Confira, a seguir, o breakdown da solução OpenBanking da Kryptus:

Serviços:

Criação de políticas de segurança cibernética
Análise de vulnerabilidades
Testes de intrusão
Implementação de sistema de SOC/SIEM
Emissão de certificados por AC – Autoridade Certificadora (HSM-as-a-Service para armazenamento de certificados ICP-Brasil)

Softwares:

Comunicação TLS 1.2 (HSM-as-a-Service para armazenamento de chave/segredo do servidor e cliente)
API assinatura XML ISO 20022 (HSM-as-a-Service para armazenamento de chave/segredo e assinatura)
Múltiplo fator de autenticação (HSM-as-a-Service para liberação de acesso e armazenamento de chave/segredo)
API duplo controle e tratamento de segredo (HSM-as-a-Service para quórum seguro)
Sistema de conscientização e treinamento de segurança cibernética
API de cifração AES (HSM-as-a-Service para armazenamento de chaves/segredo e cifração)

Hardware:

HSM (opções para co-location, e cloud)
Servidor cloud (host das aplicações)