CFBP Open Banking Rule – Undersøker personvern og sikkerhet (Raj Dasgupta)

Utviklingen av Consumer Finance Protection Bureau (CFPB) "Open Banking Rule" skaper bekymringer i verden av finansielle tjenester. CFPBs nye fokus på åpne banktjenester er en del av arbeidet med å utvide forbrukerdatadeling, et grep designet for å tillate
forbrukere mer fleksibilitet i å plukke tjenester, samt bryte ned barrierer for å bytte fra en institusjon til en annen.

Men, som navnet antyder, har åpenheten som ligger i den nye regelen mange bekymret seg for dens innvirkning på personvern og sikkerhet. Disse bekymringene er øverst i tankene for mange i bransjen, så det er viktig å bryte ned nøyaktig hva regelen forventes
å gjøre og trinnene finansinstitusjoner kan ta for best mulig beskyttelse av forbrukernes personvern og sikkerhet.

Hva er det?

Åpen bank var
først mandat av Kongressen som en del av Dodd-Frank Wall Street Reform and Consumer Protection Act fra 2010. Selv om dette ga CFPB ansvaret for å utvikle regler rundt forbrukerdata, la ikke byrået frem en åpen bankregel før Biden
Administrasjonen oppfordret dem til å gjøre det gjennom en
juli 2021 kjennelse. Nå jobber byrået med et endelig forslag til en åpen bankregel som vil tillate forbrukere å ta større kontroll over sine økonomiske data.

Når den er godkjent og implementert, er den åpne bankregelen ment å gjøre det mulig for forbrukere å eie, få tilgang til og dele sine økonomiske data uansett hvor og med hvem de vil. Dette inkluderer å gi tredjepartsleverandører tillatelse til å få tilgang til og bruke dataene deres for
betalinger og økonomiske data – to funksjoner som bankene tradisjonelt har begrenset.

Som uttalt av CFBP, er det tre uttalte mål med regelen:

• Forbedre konkurransen og forbrukernes valgmuligheter
• Styrke forbrukernes personvern og kontroll
• Utvid økonomisk inkludering

Selv om disse målene absolutt er prisverdige, utgjør de for mange fintech-selskaper og finansinstitusjoner betydelige bekymringer når det kommer til sikkerheten og personvernet til forbrukerdata. Siden det ikke er noen amerikansk lov som regulerer personvernet og sikkerheten
av alle typer forbrukerdata, må finansinstitusjoner, som forvaltere av sine kundedata, overholde alle gjeldende reguleringer. Når tredjeparter inkluderes i blandingen for å legge til rette for kjernepremisset for åpen bankvirksomhet, oppgaven med å holde dataene
trygt og sikkert blir mye mer komplisert.

For å dempe disse bekymringene tar mange organisasjoner i bruk API-er for enklere grensesnitt og beskyttelse av sensitiv informasjon, men det fortsetter å være problemer med datastyring og sikkerhet. Mens åpne bank-API-er gir tilgang til forbrukernes transaksjoner
data, vil det sannsynligvis være vanskelig for den gjennomsnittlige forbrukeren å holde styr på hvem som har tilgang til deres personlige data. I tillegg,

Gartner koblet APIer som 2022s primære angrepsvektor, mens Salt Security fant en

681% økning i API-angrep i 2021.

Videre, uten en avtalt åpen bankdatastandard eller -krav, kan praksis som datakopiering og skjermskraping gjøre det enda vanskeligere å begrense hvordan selskaper kan bruke denne informasjonen. Gitt hyppigheten av identitetsbaserte angrep
– i tillegg til mangelen på standarder for datautveksling – er mange bekymret for at løsere rammeverk rundt dataveiledning kan føre til økte trusler og sikkerhetsbrudd som kan vise seg å skade både forbrukere og finansinstitusjoner.

Hva skal vi gjøre?

Forbrukerutdanning er en kritisk del av å ta i bruk enhver ny innovasjon, spesielt i finanssektoren. Til tross for felles innsats for å spre forbrukerbevissthet, blir banker og finansinstitusjoners kunder fortsatt ofre for svindlere, spesielt
ettersom kriminelle kontinuerlig utvikler taktikken sin for å unngå oppdagelse. I 2021 tapte forbrukerne nesten

52 milliarder dollar til tradisjonell identitetssvindel og identitetssvindel, med nesten 7 milliarder dollar tilskrives svindel med ny konto.

Med dette i tankene frykter mange at åpne banktjenester kan bli en farlig vei for kriminelle til å lure intetanende forbrukere til å gi fra seg konfidensiell informasjon som til slutt gir uautorisert tilgang til deres personlige data. Mens Reuters melder
at de fleste banker ikke motsetter seg de nye reglene, presser de på for å begrense omfanget, og hevder at det kan sette forbrukernes data i fare fordi tredjepartsleverandører kanskje ikke har de samme strenge cybersikkerhets- og personvernstandardene som tradisjonelle firmaer.

Som sådan er det avgjørende at alle finansinstitusjoner bruker de beste verktøyene de har til rådighet – inkludert atferdsbiometri og andre sanntids-trusselsdeteksjonsteknologier – for å dempe angrep før de kan skje. Det finnes nå teknologi som kan flagge
uregelmessig oppførsel og låse all sensitiv kontoinformasjon, prosesser og transaksjoner før noen praktisk skade kan gjøres. Det beste forsvaret er målrettet forebygging, og med moderne beskyttelse kan bankene forsvare kundene sine uten å sette
innføre uoverkommelige kontroller. Disse vil vise seg å være avgjørende for å forhindre den forventede tilstrømningen av identitetsbaserte angrep som åpen bankvirksomhet sannsynligvis vil føre til.

Hva blir det neste?

Det er litt tidlig å forstå nøyaktig hvilken form åpne bankregler til slutt vil ha i USA. Det neste trinnet i CFPBs regelverksprosess er en gjennomgang av panelet for små bedrifter, som forventes å bli gjennomført før slutten av året.
Det er viktig å merke seg at åpne bankregler har vært på plass i noen tid i Storbritannia og kan derfor tjene som et rammeverk som amerikanske regulatorer og finansinstitusjoner kan følge med hensyn til sikkerhet og personvern.

Det forventes at CFPB vil vurdere alle vinkler grundig før de kunngjør tidslinjen for denne banebrytende endringen og dens offisielle utrulling. Uansett den endelige formen, lover den åpne bankregelen å være til fordel for den gjennomsnittlige forbrukeren
samtidig som risikoen utvides rundt datasikkerhet, personvern for forbrukerdata og økonomisk skade. Gitt denne virkeligheten, bør kunnskapsrike finansinstitusjoner ikke bare gjennomgå den foreslåtte regelen grundig nå, men også sette på plass strukturene og protokollene
for å beskytte sine brukere nå og i fremtiden.