Bancaforte: Open Banking, Open Risk?

L’open banking può offrire ai consumatori diversi vantaggi sotto forma di un facile accesso ai dati e ai servizi finanziari e, allo stesso tempo, alle banche la possibilità di razionalizzare i costi. Tuttavia l’open banking può anche comportare rischi per la privacy e la sicurezza dei consumatori. Un tema molto attuale che sarà al centro della sessione di giovedì 7 novembre “Open Banking, Open Risk?” – ore 14 (clicca qui), che ha l’obiettivo di far emergere i principali punti di attenzione e le strategie più efficaci volte ad evitare che i nuovi flussi e le nuove piattaforme non siano “open” anche per chi ha intenti criminali.

Secondo una ricerca del 2019 condotta da ImmuniWeb, 97 su 100 tra le più grandi banche del mondo hanno siti web e applicazioni web vulnerabili. Lo stesso rapporto ha rivelato che il 25% delle applicazioni di e-banking non era protetto con un Web Application Firewall (Waf). Alla fine, l’85% delle applicazioni non ha superato i test di conformità al Gdpr e il 49% non ha superato il test Pci Dss, un penetration test progettato per la valutazione dell’infrastruttura di rete e delle applicazioni sia all’esterno che all’interno dell’ambiente di rete di un’organizzazione.

Le aziende investono molto, ma serve uno sforzo maggiore per la sicurezza delle applicazioni mobili. Le stesse Api (Application Programming Interface) di open banking possono presentare rischi per la sicurezza. La maggior parte delle Api utilizzate dalle applicazioni mobili inviano o ricevono dati sensibili, comprese informazioni riservate. Se non adeguatamente protette, la loro privacy e sicurezza possono essere a rischio al punto che un’app di terze parti dannosa potrebbe consentire a un delinquente di “attaccare” l’account di un cliente.

Possono essere a rischio anche le versioni precedenti delle loro app mobili perché potenziale oggetto di reverse engineering, oppure a causa di iniezioni di Sql e Remote Code Execution permettono agli hacker di arrivare si dati privati degli utenti. Un altro possibile problema sono le violazioni dei dati dovute ad un basso livello di sicurezza del software perché è difficile monitorare il modo in cui il codice sorgente viene archiviato e protetto durante lo sviluppo del software e soprattutto in seguito.

Un esempio recente viene dal caso del colosso bancario Scotiabank, un gigante finanziario canadese che, si è scoperto un mese fa, ha archiviato dati altamente sensibili in un repositorio GitHub aperto e accessibile pubblicamente, esponendo il suo codice sorgente interno, le credenziali di accesso e le chiavi di accesso riservate.

Livelli di sicurezza bassi, hacking, software obsoleto possono rappresentare inoltre  dei costi che si vanno a sommare a quelli portati dalle concentrazioni di mercato, dovute all’economia di scala prodotta dall’uso dei big data e dall’effetto rete.

Secondo il rapporto annuale “State of Enterprise Risk Management” di Isaca, associazione internazionale di professionisti della sicurezza, il 29% dei 4.625 cybersecurity manager intervistati identifica la cybersecurity come la principale minaccia per la propria attività, mentre il 15% considera i rischi reputazionali e il 13% nomina i pericoli finanziari più critici. Il cybersecurity manager medio si aspetta che il loro rischio aumenti leggermente nel 2020.

Il sondaggio sottolinea che le aziende devono continuare a sviluppare le proprie capacità di gestione del rischio. Mentre i fondamenti della gestione del rischio, la valutazione e l’identificazione, sono ampiamente adottati, molti processi specifici di dominio risultano essere non sempre di facile applicazione. Il 24% dei cybersecurity manager considera difficile definire e valutare la conformità e il rischio legale, il 41% ritiene difficile la valutazione della cybersecurity e il 46% ritiene difficile la valutazione del “rischio politico”.

È ora di occuparsene. E per questo ne parleremo al Salone dei Pagamenti il giorno 7 novembre nella sessione “Open Banking, Open Risks”. Sarà l’occasione per fare il punto della situazione.