Índice
¿Por qué describimos nuestras medidas de seguridad cibernética en la banca únicamente en términos generales?
Antes de empezar a explicar cómo abordamos las amenazas a la ciberseguridad en nuestros productos, nos gustaría destacar una cosa: la mayoría de ellas las trataremos de forma general, sin mencionar herramientas ni tecnologías concretas. ¿Por qué?
Si entrásemos en detalles sobre las medidas de seguridad que se aplican en la banca digital, los ciberdelincuentes podrían aprovechar esa información en su beneficio. Nuestra prioridad son los clientes y la seguridad de los datos, por lo que no vamos a entrar en detalles sobre ninguna tecnología concreta. Los detalles relativos a nuestras medidas de ciberseguridad constituyen propiedad intelectual de Ailleron y solo se facilitan a petición de los departamentos de seguridad de los bancos.
¿Cómo abordamos la cuestión de la ciberseguridad en el sector bancario?
Para empezar, debemos identificar los posibles vectores de ciberataques en las herramientas de comunicación, como LiveBank. Esto está estrechamente relacionado con los tres sujetos que participan en dicha comunicación:
- Clientes del banco: personas físicas que utilizan los servicios de banca por Internet y móvil.
- Bancos: entidades que prestan servicios financieros.
- Proveedor de herramientas de comunicación: en este caso, la empresa Ailleron, proveedora de la solución LiveBank.
Teniendo esto en cuenta, podemos analizar cada uno de estos grupos por separado y comentar cómo nosotros (o los bancos, ya que algunas actividades, como la formación de los clientes bancarios, corren a cargo de los bancos, y no de los proveedores de herramientas de comunicación) garantizamos la ciberseguridad en diversas situaciones bancarias basándonos en los posibles vectores de ataque.
Opiniones de los clientes sobre la seguridad de la banca por Internet: directrices para un uso seguro de los servicios
En lo que respecta a los clientes y los canales digitales en la banca, la educación es clave para garantizar la ciberseguridad en este sector. Lamentablemente, esto también significa que es un ámbito en el que gran parte de la responsabilidad recae en los clientes de los bancos y en los propios bancos. No obstante, como proveedores de herramientas de comunicación, también podemos introducir ciertas medidas adicionales (por ejemplo, la autenticación de dos factores) que refuercen la ciberseguridad, pero, aun así, lo más importante depende de los propios clientes.
¿Qué hay que hacer para proteger al banco desde el punto de vista del cliente? ¿Qué hay que enseñar al cliente?
- Uso de un entorno seguro: se debe informar al cliente sobre los riesgos asociados al uso de conexiones a Internet no seguras y a la divulgación de información confidencial en lugares donde otras personas puedan verla. Lo mismo se aplica a la comunicación oral, por ejemplo, a las conversaciones telefónicas con el personal del servicio de atención al cliente.
- Autenticación multifactorial: aunque nuestra plataforma permite la autenticación multifactorial, es necesario convencer (o obligar) al cliente a utilizar esta función para garantizar una mayor seguridad.
- Enlaces y archivos adjuntos: es de vital importancia explicar los riesgos que conlleva hacer clic en enlaces o abrir archivos adjuntos procedentes de fuentes desconocidas.
- Sitios web oficiales: por fin hay que concienciar sobre la importancia de utilizar los sitios web oficiales a la hora de realizar operaciones bancarias, ya que los ciberdelincuentes suelen intentar suplantar los sitios web de los bancos.
LiveBank facilita la comunicación con los clientes potenciales y actuales del banco, haciendo hincapié en la seguridad de los datos. Tras la firma del contrato de prestación de servicios, el banco es el titular de los datos y nosotros los tratamos por encargo suyo. Para cumplir con los elevados estándares de ciberseguridad del sector bancario, aplicamos las siguientes soluciones:
- Restricciones de la conexión a Internet: la configuración de nuestro sistema permite limitar el acceso a los canales de comunicación a determinadas regiones en las que opera tu banco. De este modo, puedes bloquear el tráfico procedente de regiones potencialmente peligrosas.
- Tratamiento de datos en la UE: LiveBank trata los datos en la UE, lo que significa que debemos cumplir con estrictas normas de seguridad de los datos. La mayoría de nuestros centros de datos se encuentran en Polonia.
- Ocultación de contenidos: los usuarios pueden ocultar contenidos confidenciales en los servicios de banca por vídeo para evitar que sean consultados sin autorización.
- Integración con el sistema bancario: nos integramos con el sistema del banco para transmitir información contextual a LiveBank, garantizando la seguridad de los datos durante la interacción.
- Mecanismo de almacenamiento de datos: LiveBank utiliza mecanismos automáticos de almacenamiento de datos adaptados a la temática de la reunión, limitando la cantidad de información almacenada con el fin de reforzar la seguridad en el sector bancario.
- eKYC: ofrecemos soluciones eKYC seguras y a distancia, así como la integración con la aplicación mObywatel.
- Escaneo de archivos: los archivos que se envían en el marco del intercambio de datos entre los asesores bancarios y los clientes del banco se escanean con un programa antivirus para prevenir infecciones.
- Firma remota de documentos: permitimos la firma remota de documentos gracias a la integración con sistemas de firma electrónica, lo que permite que todo el proceso se lleve a cabo dentro de una única aplicación.
- Control de acceso: el acceso a los datos de los clientes en el sistema LiveBank está restringido de acuerdo con el principio de «necesidad de conocer» y el control de acceso basado en roles (RBAC). De ello se encargan los administradores del sistema del banco.
- Disponibilidad las 24 horas del día, los 7 días de la semana: nuestros canales de comunicación funcionan las 24 horas, lo que permite a los clientes recibir ayuda en cualquier momento.
La perspectiva bancaria en materia de seguridad de la banca digital: implantación de soluciones de ciberseguridad en colaboración con la empresa Ailleron
Cuando los bancos deciden implementar plataformas de interacción con los clientes, como LiveBank, comienzan por definir unos requisitos concretos en materia de ciberseguridad. Estos requisitos suelen basarse en normativas y mecanismos internos y legales (por ejemplo, los de la Comisión de Supervisión Financiera o las normas ISO). La empresa Ailleron se dedica a cumplir dichos requisitos desde 2013, cuando implementamos LiveBank por primera vez en mBank. Esta experiencia nos ha permitido adaptarnos a los nuevos métodos de ataque y diseñar mecanismos de defensa eficaces.
La primera línea de defensa de nuestra banca online son las pruebas de penetración periódicas realizadas por la empresa Ailleron… y por nuestros clientes. Cada banco lleva a cabo, tras la adquisición, una auditoría de seguridad de los sistemas de Ailleron y LiveBank, de la que forman parte precisamente estas pruebas de penetración, lo que nos permite mejorar constantemente nuestras medidas de ciberseguridad.
Entre los ámbitos clave que hemos analizado y las soluciones que hemos puesto en práctica se encuentran:
Seguridad en el lugar de trabajo
- Cumplimos unas normas y procedimientos rigurosos en materia de tratamiento de datos de clientes, incluida la gestión de incidentes. Estas directrices se ajustan a normas como la ISO 27001.
- Nos aseguramos de que nuestros empleados reciban la formación adecuada y de que sus competencias queden acreditadas mediante certificados.
- La planificación de la continuidad de las operaciones (BCP) garantiza la resiliencia de la organización ante situaciones críticas.
- Limitamos el acceso a los recursos compartidos dentro de la organización a determinados equipos y supervisamos las actividades de los empleados.
- Las estrategias de prevención de la pérdida de datos (DLP) evitan la filtración no autorizada de datos.
- Las estaciones de trabajo reciben actualizaciones de seguridad periódicas.
Seguridad de la infraestructura de productos
- El acceso a los recursos informáticos se rige por procedimientos claramente definidos. Cualquier modificación requiere autorización y queda registrada.
- Todos los empleados tienen la obligación de utilizar contraseñas seguras y la autenticación multifactorial (MFA).
- Los entornos de producción (utilizados para atender a los clientes) están separados de los entornos de desarrollo y de pruebas.
- Ofrecemos una solución con un único arrendatario para distintos clientes, lo que garantiza una mejor separación de los datos y una mayor seguridad.
- La infraestructura como código (IaC) minimiza el riesgo de cambios no deseados en la infraestructura.
- La separación interna de la red limita el acceso a los recursos de dominio público necesarios para atender a los clientes del banco.
- El acceso de los empleados a las aplicaciones de back-end está limitado a la red bancaria, lo que minimiza la exposición a las amenazas procedentes de la red pública de Internet.
Seguridad de las aplicaciones
- Los datos de los clientes se consideran datos sensibles y están sujetos a estrictas medidas de control de acceso.
- Los empleados del banco desempeñan funciones que limitan su acceso a los datos de los clientes.
- Los registros de acceso se revisan y actualizan periódicamente con el fin de reducir el riesgo de fuga de datos.
- Los empleados del banco solo pueden acceder al sistema de gestión a través de la red interna del banco, con el fin de evitar ataques de tipo «man-in-the-middle» (MITM).
- Nuestras aplicaciones se someten periódicamente a pruebas de penetración de acuerdo con los requisitos del sector bancario, lo que nos permite mejorar continuamente la seguridad.
- Los registros de la aplicación se anonimizan y se cifran para evitar violaciones de la seguridad de los datos personales.
La perspectiva del proveedor: El compromiso de Ailleron con la ciberseguridad en el sector bancario
Como proveedor de productos digitales para el sector financiero, nos tomamos muy en serio la seguridad de los datos en la banca digital, cumpliendo tanto con los requisitos del banco como con las normas reguladoras. ¿Qué prácticas aplicamos?
- Personal cualificado: nuestros empleados cuentan con las cualificaciones y la experiencia necesarias en el ámbito de la prestación de soluciones financieras, lo que facilita una comunicación eficaz con los bancos.
- Normas de gestión establecidas: separamos los entornos de desarrollo de los entornos de los clientes, siguiendo los principios de «seguridad desde el principio».
- Ciclo de vida seguro del software (SDLC): nuestros procesos de CI/CD incluyen pruebas de rendimiento, pruebas de integración, análisis de artefactos y análisis estático del código.
- Asistencia tras la implementación: una vez finalizada la implementación, ofrecemos un servicio posventa ágil, que incluye la gestión de incidencias, de acuerdo con los procedimientos establecidos previamente.
- Acuerdos de nivel de servicio (SLA): garantizamos una alta disponibilidad gracias a herramientas de supervisión y a soluciones y servicios bancarios basados en la nube.
- Integración flexible: nos integramos con diversos sistemas bancarios (por ejemplo, CRM) para mejorar la seguridad en las relaciones con los clientes.
- Recuperación ante desastres (DR) y alta disponibilidad (HA): garantizamos disponibilidad adicional y copias de seguridad en varias regiones, en función del grado de criticidad del servicio.
Medidas de seguridad en la banca digital: resumen
En este artículo solo se aborda una pequeña parte de las medidas que garantizan la ciberseguridad de nuestra plataforma bancaria. De este modo, velamos por la seguridad de los datos de los clientes del banco, así como por la protección de los propios bancos y de la empresa Ailleron. La ciberseguridad, al ser un ámbito de carácter multifacético, requiere una comprensión profunda y tener en cuenta las necesidades del sector financiero en múltiples niveles, y eso es precisamente a lo que nos dedicamos cada día para garantizar la seguridad de nuestras soluciones.
También puedes leer: Seguridad digital y confianza: cómo generar confianza en los servicios de banca por Internet
