Come preparare la sicurezza della tua azienda all'Open Banking

Il 15 luglio entrerà in funzione la seconda fase dell'Open Banking, quando i clienti potranno consentire agli istituti finanziari con cui collaborano di condividere i propri dati con altre entità. Le nuove regole, regolamentate dalla Banca Centrale, consentiranno la libera condivisione delle API (Application Programming Interface) per stimolare la libera concorrenza. Rappresentano un'alternativa all'attuale modello di business delle banche, che limita l'accesso alle informazioni dei clienti a un singolo istituto, limitando così l'accesso alle migliori offerte sul mercato.

O Open Banking presuppone che le informazioni appartengano al cliente e non a uno specifico istituto finanziario, il che consentirà ad altre banche e fintech di conoscere la storia dei titolari di conto e di offrire soluzioni personalizzate con un miglior rapporto costi/benefici. Molti di loro sono già in una fase avanzata di implementazione del nuovo sistema. Tuttavia, come per qualsiasi nuova implementazione, le preoccupazioni relative alla sicurezza devono essere all'ordine del giorno di tutti i responsabili IT di banche e fintech per garantire che i dati dei loro clienti non cadano nelle mani sbagliate, poiché furti o fughe di dati comportano perdite non solo per i clienti, ma anche per le istituzioni finanziarie e di credibilità.

Istruzione normativa n. 99 della Banca Centrale pubblica la versione 2.0 dell'Open Banking Security Manual, che deve essere rispettata dalle istituzioni partecipanti, e descrive cosa dovrebbe essere utilizzato in termini di sicurezza in questo ecosistema, sia in termini di politica di sicurezza informatica, legge generale sulla protezione dei dati (GDPR) e risposta agli incidenti, come la comunicazione crittografata TLS 1.2, la firma dei messaggi ISO 20022, i dati crittografati a riposo con l'algoritmo militare AES (Advanced Encryption Standard), il doppio controllo e il trattamento segreto, l'analisi delle vulnerabilità, l'autenticazione multifattoriale, l'audit, i test di intrusione e la formazione sulla sicurezza.

Sebbene oggi sul mercato siano disponibili diverse soluzioni di sicurezza che possono aiutare le aziende singolarmente, generalmente comportano elevati costi di implementazione e integrazione, il che rende molti progetti irrealizzabili. È proprio per cercare di ridurre questi costi e aiutare sedute e fintechs per superare le sfide di sicurezza imposte dall'Open Banking che Kryptus ha stabilito una serie di partnership tecnologiche e unito le forze con aziende che offrono al proprio portafoglio soluzioni di sicurezza complementari, in grado di supportare l'intero ecosistema.

Per servire specificatamente il mercato finanziario, Kryptus ha stipulato accordi con il broker di criptovalute Mercado Bitcoin, Ecoscard, una società di sicurezza informatica focalizzata sui pagamenti, e Matera, specializzata in servizi tecnologici per il mercato finanziario. Gli accordi miravano ad aggiungere un livello di sicurezza per le aziende che già dispongono di soluzioni per le regole di business (livello di comunicazione sistemica e API), o per quelle che desiderano una soluzione completa plug and play, con i livelli di sicurezza (servizi, software e hardware) e la logica di business integrati e pronti all'uso.

Di seguito è riportata la ripartizione della soluzione OpenBanking di Kryptus:

Servizi:

Creazione di policy di sicurezza informatica
Analisi della vulnerabilità
Test di penetrazione
Implementazione del sistema SOC/SIEM
Emissione di certificati da parte di CA – Certification Authority (HSM-as-a-Service per l'archiviazione dei certificati ICP-Brasil)

Software:

Comunicazione TLS 1.2 (HSM-as-a-Service per l'archiviazione di chiavi/segreti di server e client)
API di firma XML ISO 20022 (HSM-as-a-Service per l'archiviazione e la firma di chiavi/segreti)
Autenticazione a più fattori (HSM-as-a-Service per il rilascio dell'accesso e l'archiviazione di chiavi/segreti)
Doppio controllo API e gestione dei segreti (HSM-as-a-Service per quorum sicuro)
Sistema di consapevolezza e formazione sulla sicurezza informatica
API di crittografia AES (HSM-as-a-Service per l'archiviazione e la crittografia di chiavi/segreti)

Hardware:

HSM (opzioni di co-localizzazione e cloud)
Server cloud (host dell'applicazione)