CFBP Open Banking Rule - Onderzoek naar privacy en beveiliging (Raj Dasgupta)

De ontwikkeling van de “Open Banking Rule” van het Consumer Finance Protection Bureau (CFPB) zorgt voor zorgen in de wereld van de financiële dienstverlening. De nieuwe focus van het CFPB op open bankieren maakt deel uit van de inspanningen om het delen van consumentengegevens uit te breiden, een stap die bedoeld is om dit mogelijk te maken
consumenten meer flexibiliteit bij het kiezen van diensten, en het slechten van barrières voor het overstappen van de ene instelling naar de andere.

Zoals de naam al doet vermoeden, heeft de openheid die inherent is aan de nieuwe regel velen echter zorgen gemaakt over de impact ervan op de privacy en beveiliging van gegevens. Deze zorgen zijn voor velen in de branche een prioriteit, dus het is belangrijk om precies uit te leggen wat er van de regel wordt verwacht
te doen en welke stappen financiële instellingen kunnen nemen om de privacy van consumenten zo goed mogelijk te beschermen en de veiligheid te garanderen.

Wat is het?

Open bankieren was dat
eerst gemandateerd door het Congres als onderdeel van de Dodd-Frank Wall Street Reform and Consumer Protection Act uit 2010. Hoewel dit het CFPB de verantwoordelijkheid gaf om regels te ontwikkelen rond consumentengegevens, kwam het agentschap pas met een regel voor open bankieren toen Biden
Het bestuur heeft er bij hen op aangedrongen dit te doen via een
juli 2021 uitvoerend bevel. Nu werkt het agentschap aan een definitief voorstel voor een regel voor open bankieren, waardoor consumenten meer controle over hun financiële gegevens kunnen krijgen.

Eenmaal goedgekeurd en geïmplementeerd, is de regel voor open bankieren bedoeld om consumenten in staat te stellen hun financiële gegevens te bezitten, er toegang toe te krijgen en deze te delen, hoe en met wie ze maar willen. Dit omvat onder meer het geven van toestemming aan externe leveranciers om toegang te krijgen tot hun gegevens en deze te gebruiken
betalingen en financiële gegevens – twee kenmerken die banken traditioneel beperkt hebben.

Zoals verklaard door de CFBP, zijn er drie doelstellingen van de regel:

• Verbeter de concurrentie en de keuze voor de consument
• Versterk de privacy en controle van de consument
• Vergroot de financiële inclusie

Hoewel deze doelstellingen zeker lovenswaardig zijn, vormen ze voor veel fintech-bedrijven en financiële instellingen aanzienlijke zorgen als het gaat om de veiligheid en privacy van consumentengegevens. Omdat er geen enkele Amerikaanse wet bestaat die de privacy en veiligheid regelt
van alle soorten consumentengegevens moeten financiële instellingen, als beheerders van hun klantgegevens, aan alle toepasselijke regelgeving voldoen. Wanneer derde partijen in de mix worden betrokken om het kernprincipe van open bankieren, de taak van het bewaren van de gegevens, te faciliteren
veilig en beveiligd wordt veel ingewikkelder.

Om deze zorgen weg te nemen, adopteren veel organisaties API's om gevoelige informatie gemakkelijker te kunnen koppelen en beschermen, maar er blijven problemen met databeheer en -beveiliging. Terwijl API's voor open bankieren toegang bieden tot de transactiegegevens van consumenten
gegevens, zal het voor de gemiddelde consument waarschijnlijk moeilijk zijn om bij te houden wie toegang heeft tot zijn persoonlijke gegevens. Aanvullend,

Gartner API's gekoppeld als de belangrijkste aanvalsvector van 2022, terwijl Salt Security een

681% stijging in API-aanvallen in 2021.

Bovendien zouden praktijken zoals het kopiëren van gegevens en screen scraping, zonder een overeengekomen standaard of vereiste voor open bankgegevens, het nog moeilijker kunnen maken om te beperken hoe bedrijven deze informatie kunnen gebruiken. Gezien de frequentie van op identiteit gebaseerde aanvallen
– naast het gebrek aan standaarden voor gegevensuitwisseling – zijn velen bezorgd dat lossere kaders rond gegevensbegeleiding zouden kunnen leiden tot meer bedreigingen en inbreuken op de beveiliging die schadelijk zouden kunnen zijn voor zowel consumenten als financiële instellingen.

Wat moeten we doen?

Consumentenvoorlichting is een cruciaal onderdeel van de adoptie van nieuwe innovaties, vooral in de financiële dienstverleningssector. Ondanks gezamenlijke inspanningen om het consumentenbewustzijn te vergroten, zijn vooral banken en klanten van financiële instellingen nog steeds het slachtoffer van oplichters
terwijl criminelen voortdurend hun tactieken ontwikkelen om detectie te omzeilen. In 2021 verloren consumenten bijna

52 miljard dollar aan traditionele identiteitsfraude en oplichting met identiteitsfraude, waarvan bijna 7 miljard dollar toegeschreven aan nieuwe accountfraude.

Met dit in gedachten vrezen velen dat open bankieren een gevaarlijke manier kan worden voor criminelen om nietsvermoedende consumenten te misleiden en zo vertrouwelijke informatie prijs te geven die uiteindelijk ongeoorloofde toegang tot hun persoonlijke gegevens oplevert. Terwijl Reuters meldt
Omdat de meeste banken zich niet tegen de nieuwe regels verzetten, dringen ze erop aan om de reikwijdte ervan te beperken, met het argument dat dit de gegevens van consumenten in gevaar zou kunnen brengen omdat externe leveranciers mogelijk niet dezelfde strenge cyberbeveiligings- en privacynormen hanteren als traditionele bedrijven.

Daarom is het van het grootste belang dat alle financiële instellingen de beste instrumenten gebruiken die ze tot hun beschikking hebben – inclusief gedragsbiometrie en andere realtime technologieën voor het detecteren van bedreigingen – om aanvallen te beteugelen voordat ze kunnen plaatsvinden. Er bestaat nu technologie die dit kan signaleren
onregelmatig gedrag en vergrendel alle gevoelige accountinformatie, processen en transacties voordat er praktische schade kan worden aangericht. De beste verdediging is gerichte preventie, en met hedendaagse bescherming kunnen banken hun klanten verdedigen zonder enige vorm van bescherming
verbiedende controles in te voeren. Deze zullen essentieel blijken bij het voorkomen van de verwachte toestroom van op identiteit gebaseerde aanvallen waartoe open banking waarschijnlijk zal leiden.

What’s next?

Het is nog wat vroeg om precies te begrijpen welke vorm de regels voor open bankieren uiteindelijk zullen aannemen in de Verenigde Staten. De volgende stap in het regelgevingsproces van het CFPB is een panelonderzoek voor kleine bedrijven, dat naar verwachting vóór het einde van het jaar zal worden uitgevoerd.
Het is belangrijk op te merken dat in Groot-Brittannië al enige tijd regels voor open bankieren gelden en daarom kunnen dienen als een raamwerk dat Amerikaanse toezichthouders en financiële instellingen kunnen volgen met betrekking tot veiligheid en gegevensprivacy.

Er wordt verwacht dat het CFPB alle invalshoeken grondig zal overwegen voordat het de tijdlijn van deze baanbrekende verandering en de officiële uitrol ervan bekendmaakt. Maar ongeacht de uiteindelijke vorm belooft de regel voor open bankieren de gemiddelde consument ten goede te komen
terwijl tegelijkertijd de risico's op het gebied van gegevensbeveiliging, de privacy van consumentengegevens en financiële schade toenemen. Gezien deze realiteit moeten slimme financiële instellingen niet alleen de voorgestelde regel nu grondig herzien, maar ook de structuren en protocollen opzetten
om hun gebruikers nu en in de toekomst te beschermen.