CFBP Open Banking Rule – Undersöker integritet och säkerhet (Raj Dasgupta)

Utvecklingen av Consumer Finance Protection Bureaus (CFPB) "Open Banking Rule" väcker oro i världen av finansiella tjänster. CFPB:s nya fokus på öppen bankverksamhet är en del av ansträngningarna att utöka konsumentdatadelning, ett drag som är utformat för att möjliggöra
konsumenterna mer flexibilitet när det gäller att välja tjänster, samt att bryta ner hinder för att byta från en institution till en annan.

Men som namnet antyder har den öppenhet som är inneboende i den nya regeln många oroat sig över dess inverkan på datasekretess och säkerhet. Dessa farhågor är vanliga för många i branschen, så det är viktigt att bryta ner exakt vad regeln förväntas
att göra och de åtgärder som finansinstitut kan vidta för att på bästa sätt skydda konsumenternas integritet och säkerställa säkerheten.

Vad är det?

Open banking var
först mandat av kongressen som en del av 2010 års Dodd-Frank Wall Street Reform and Consumer Protection Act. Även om detta gav CFPB ansvaret att utveckla regler kring konsumentdata, lade byrån inte fram en öppen bankregel förrän Biden
Administrationen uppmanade dem att göra det genom en
juli 2021 verkställande order. Nu arbetar myndigheten med ett slutgiltigt förslag till en öppen bankregel som skulle göra det möjligt för konsumenter att ta större kontroll över sin ekonomiska data.

När den väl har godkänts och implementerats är den öppna bankregeln avsedd att göra det möjligt för konsumenter att äga, få tillgång till och dela sina finansiella uppgifter med vem de än vill. Detta inkluderar att ge tredjepartsleverantörer tillåtelse att komma åt och använda deras data för
betalningar och finansiell data – två funktioner som banker traditionellt har begränsat.

Som anges av CFBP finns det tre uttalade mål med regeln:

• Förbättra konkurrensen och konsumenternas valmöjligheter
• Stärk konsumenternas integritet och kontroll
• Utöka den finansiella integrationen

Även om dessa mål verkligen är lovvärda, utgör de för många fintech-företag och finansinstitutioner betydande oro när det kommer till säkerheten och integriteten för konsumentdata. Eftersom det inte finns någon amerikansk lag som styr integritet och säkerhet
av alla typer av konsumentdata måste finansinstitut, som förvaringsinstitut för sina kunduppgifter, följa alla tillämpliga regler. När tredje part inkluderas i mixen för att underlätta grundförutsättningen för öppen bankverksamhet, uppgiften att behålla data
tryggt och säkert blir mycket mer komplicerat.

För att mildra dessa farhågor antar många organisationer API:er för att enklare gränssnitt och skydda känslig information, men det fortsätter att finnas problem med datastyrning och säkerhet. Medan öppna banker API:er ger tillgång till konsumenternas transaktioner
data kommer det sannolikt att vara svårt för den genomsnittliga konsumenten att hålla reda på vem som har tillgång till deras personuppgifter. Dessutom,

Gartner kopplade API:er som 2022:s primära attackvektor, medan Salt Security hittade en

681% ökning i API-attacker 2021.

Vidare, utan en överenskommen öppen bankdatastandard eller -krav, kan praxis som datakopiering och skärmskrapning göra det ännu svårare att begränsa hur företag kan använda denna information. Med tanke på frekvensen av identitetsbaserade attacker
– liksom avsaknaden av standarder för datautbyte – är många oroade över att lösare ramverk kring datavägledning kan leda till ökade hot och säkerhetsintrång som kan visa sig vara skadliga för både konsumenter och finansinstitutioner.

Vad ska vi göra?

Konsumentutbildning är en viktig del av att ta till sig all ny innovation, särskilt inom sektorn för finansiella tjänster. Trots samordnade ansträngningar för att sprida konsumenternas medvetenhet faller banker och finansinstituts kunder fortfarande offer för bedragare, särskilt
eftersom brottslingar ständigt utvecklar sin taktik för att undvika upptäckt. 2021 förlorade konsumenterna nästan

52 miljarder dollar till traditionella identitetsbedrägerier och identitetsbedrägerier, med nästan 7 miljarder dollar tillskrivs nytt kontobedrägeri.

Med detta i åtanke fruktar många att öppna banktjänster kan bli en farlig väg för brottslingar att lura intet ont anande konsumenter att ge upp konfidentiell information som i slutändan ger obehörig åtkomst till deras personuppgifter. Medan Reuters rapporterar
att de flesta banker inte motsätter sig de nya reglerna, de driver på för att begränsa dess räckvidd, och hävdar att det kan utsätta konsumenternas data för risker eftersom tredjepartsleverantörer kanske inte har samma rigorösa cybersäkerhets- och integritetsstandarder som traditionella företag.

Som sådan är det ytterst viktigt att alla finansiella institutioner använder de bästa verktygen till sitt förfogande – inklusive beteendebiometri och andra hotdetekteringstekniker i realtid – för att stävja attacker innan de kan inträffa. Det finns nu teknik som kan flagga
oregelbundet beteende och låsa all känslig kontoinformation, processer och transaktioner innan någon praktisk skada kan ske. Det bästa försvaret är riktat förebyggande, och med samtida skydd kan banker försvara sina kunder utan att lägga
införa oöverkomliga kontroller. Dessa kommer att visa sig väsentliga för att förhindra det förväntade inflödet av identitetsbaserade attacker som öppen bankverksamhet sannolikt kommer att leda till.

Vad kommer härnäst?

Det är lite tidigt att förstå exakt vilken form öppna bankregler i slutändan kommer att ta i USA. Nästa steg i CFPB:s regelgivningsprocess är en granskning av panelen för småföretag, som förväntas genomföras före årets slut.
Det är viktigt att notera att öppna bankregler har funnits under en tid i Storbritannien och kan därför fungera som ett ramverk som amerikanska tillsynsmyndigheter och finansiella institutioner kan följa när det gäller säkerhet och datasekretess.

Det förväntas att CFPB kommer att överväga alla vinklar noggrant innan det tillkännager tidslinjen för denna banbrytande förändring och dess officiella utbyggnad. Men oavsett dess slutliga form lovar regeln om öppen bankverksamhet att gynna genomsnittskonsumenten
samtidigt som riskerna kring datasäkerhet, konsumentdatasekretess och ekonomiska skador utökas. Med tanke på denna verklighet bör kunniga finansinstitutioner inte bara noggrant granska den föreslagna regeln nu utan också införa strukturerna och protokollen
för att skydda sina användare nu och i framtiden.