Índice
Por que razão descrevemos as nossas medidas de segurança cibernética no setor bancário apenas em termos gerais?
Antes de começarmos a explicar como abordamos as ameaças à cibersegurança nos nossos produtos, gostaríamos de salientar uma coisa: a maioria delas será abordada de forma geral, sem mencionar ferramentas ou tecnologias específicas. Porquê?
Se entrássemos em pormenores sobre as medidas de segurança aplicadas na banca digital, os cibercriminosos poderiam tirar partido dessa informação em seu benefício. A nossa prioridade são os clientes e a segurança dos dados, pelo que não iremos entrar em pormenores sobre nenhuma tecnologia específica. Os pormenores relativos às nossas medidas de cibersegurança constituem propriedade intelectual da Ailleron e só são disponibilizados a pedido dos departamentos de segurança dos bancos.
Como abordamos a questão da cibersegurança no setor bancário?
Para começar, devemos identificar os possíveis vetores de ciberataques nas ferramentas de comunicação, como o LiveBank. Isto está intimamente relacionado com os três intervenientes nessa comunicação:
- Clientes do banco: pessoas singulares que utilizam os serviços bancários pela Internet e através do telemóvel.
- Bancos: instituições que prestam serviços financeiros.
- Fornecedor de ferramentas de comunicação: neste caso, a empresa Ailleron, fornecedora da solução LiveBank.
Tendo isto em conta, podemos analisar cada um destes grupos separadamente e comentar como nós (ou os bancos, uma vez que algumas atividades, como a formação dos clientes bancários, são da responsabilidade dos bancos e não dos fornecedores de ferramentas de comunicação) garantimos a cibersegurança em diversas situações bancárias, com base nos possíveis vetores de ataque.
Opiniões dos clientes sobre a segurança da banca online: orientações para uma utilização segura dos serviços
No que diz respeito aos clientes e aos canais digitais no setor bancário, a educação é fundamental para garantir a cibersegurança neste setor. Infelizmente, isto também significa que se trata de uma área em que grande parte da responsabilidade recai sobre os clientes dos bancos e sobre os próprios bancos. No entanto, enquanto fornecedores de ferramentas de comunicação, também podemos implementar certas medidas adicionais (por exemplo, a autenticação de dois fatores) que reforcem a cibersegurança, mas, mesmo assim, o mais importante depende dos próprios clientes.
O que é preciso fazer para proteger o banco do ponto de vista do cliente? O que é preciso ensinar ao cliente?
- Utilização de um ambiente seguro: o cliente deve ser informado sobre os riscos associados à utilização de ligações à Internet não seguras e à divulgação de informações confidenciais em locais onde outras pessoas as possam ver. O mesmo se aplica à comunicação oral, por exemplo, às conversas telefónicas com o pessoal do serviço de apoio ao cliente.
- Autenticação multifatorial: embora a nossa plataforma permita a autenticação multifatorial, é necessário convencer (ou obrigar) o cliente a utilizar esta funcionalidade para garantir uma maior segurança.
- Links e anexos: é de extrema importância explicar os riscos associados a clicar em links ou a abrir anexos provenientes de fontes desconhecidas.
- Sites oficiais: é finalmente necessário sensibilizar as pessoas para a importância de utilizar os sites oficiais ao efetuar operações bancárias, uma vez que os cibercriminosos costumam tentar falsificar os sites dos bancos.
O LiveBank facilita a comunicação com os clientes potenciais e atuais do banco, dando especial ênfase à segurança dos dados. Após a assinatura do contrato de prestação de serviços, o banco é o titular dos dados e nós tratamos esses dados por sua conta. Para cumprir os elevados padrões de cibersegurança do setor bancário, aplicamos as seguintes soluções:
- Restrições à ligação à Internet: a configuração do nosso sistema permite limitar o acesso aos canais de comunicação a determinadas regiões onde o seu banco opera. Desta forma, pode bloquear o tráfego proveniente de regiões potencialmente perigosas.
- Tratamento de dados na UE: A LiveBank trata os dados na UE, o que significa que temos de cumprir normas rigorosas em matéria de segurança de dados. A maioria dos nossos centros de dados está localizada na Polónia.
- Ocultação de conteúdos: os utilizadores podem ocultar conteúdos confidenciais nos serviços de banca por vídeo, para evitar que sejam consultados sem autorização.
- Integração com o sistema bancário: integramo-nos com o sistema do banco para transmitir informações contextuais ao LiveBank, garantindo a segurança dos dados durante a interação.
- Mecanismo de armazenamento de dados: O LiveBank utiliza mecanismos automáticos de armazenamento de dados adaptados ao tema da reunião, limitando a quantidade de informação armazenada com o objetivo de reforçar a segurança no setor bancário.
- eKYC: oferecemos soluções eKYC seguras e à distância, bem como a integração com a aplicação mObywatel.
- Digitalização de ficheiros: os ficheiros enviados no âmbito da troca de dados entre os consultores bancários e os clientes do banco são digitalizados com um programa antivírus para prevenir infeções.
- Assinatura remota de documentos: permitimos a assinatura remota de documentos graças à integração com sistemas de assinatura eletrónica, o que permite que todo o processo seja realizado numa única aplicação.
- Controlo de acesso: o acesso aos dados dos clientes no sistema LiveBank é restringido de acordo com o princípio da «necessidade de conhecer» e com o controlo de acesso baseado em funções (RBAC). Esta tarefa é da responsabilidade dos administradores do sistema do banco.
- Disponibilidade 24 horas por dia, 7 dias por semana: os nossos canais de comunicação estão disponíveis 24 horas por dia, o que permite aos clientes obterem assistência a qualquer momento.
A perspetiva bancária em matéria de segurança da banca digital: implementação de soluções de cibersegurança em colaboração com a empresa Ailleron
Quando os bancos decidem implementar plataformas de interação com os clientes, como o LiveBank, começam por definir requisitos específicos em matéria de cibersegurança. Estes requisitos baseiam-se geralmente em regulamentos e mecanismos internos e legais (por exemplo, os da Comissão de Supervisão Financeira ou as normas ISO). A empresa Ailleron dedica-se a cumprir esses requisitos desde 2013, quando implementámos o LiveBank pela primeira vez no mBank. Esta experiência permitiu-nos adaptar-nos aos novos métodos de ataque e conceber mecanismos de defesa eficazes.
A primeira linha de defesa do nosso serviço bancário online são os testes de penetração periódicos realizados pela empresa Ailleron… e pelos nossos clientes. Cada banco realiza, após a aquisição, uma auditoria de segurança aos sistemas da Ailleron e do LiveBank, da qual fazem parte precisamente estes testes de penetração, o que nos permite melhorar constantemente as nossas medidas de cibersegurança.
Entre as áreas-chave que analisámos e as soluções que implementámos, destacam-se:
Segurança no local de trabalho
- Cumprimos normas e procedimentos rigorosos no que diz respeito ao tratamento de dados de clientes, incluindo a gestão de incidentes. Estas diretrizes estão em conformidade com normas como a ISO 27001.
- Asseguramos que os nossos colaboradores recebam a formação adequada e que as suas competências sejam comprovadas através de certificados.
- O planeamento da continuidade das operações (BCP) garante a resiliência da organização perante situações críticas.
- Limitamos o acesso aos recursos partilhados dentro da organização a determinadas equipas e supervisionamos as atividades dos colaboradores.
- As estratégias de prevenção da perda de dados (DLP) evitam a fuga não autorizada de dados.
- As estações de trabalho recebem atualizações de segurança periódicas.
Segurança da infraestrutura dos produtos
- O acesso aos recursos informáticos é regido por procedimentos claramente definidos. Qualquer alteração requer autorização e é registada.
- Todos os colaboradores têm a obrigação de utilizar palavras-passe seguras e a autenticação multifatorial (MFA).
- Os ambientes de produção (utilizados para atender os clientes) estão separados dos ambientes de desenvolvimento e de testes.
- Oferecemos uma solução com um único locatário para diferentes clientes, o que garante uma melhor separação dos dados e uma maior segurança.
- A infraestrutura como código (IaC) minimiza o risco de alterações indesejadas na infraestrutura.
- A separação interna da rede limita o acesso aos recursos de domínio público necessários para atender os clientes do banco.
- O acesso dos funcionários às aplicações de back-end está limitado à rede bancária, o que minimiza a exposição às ameaças provenientes da Internet pública.
Segurança das aplicações
- Os dados dos clientes são considerados dados sensíveis e estão sujeitos a medidas rigorosas de controlo de acesso.
- Os funcionários do banco desempenham funções que limitam o seu acesso aos dados dos clientes.
- Os registos de acesso são revistos e atualizados periodicamente, com o objetivo de reduzir o risco de fuga de dados.
- Os funcionários do banco só podem aceder ao sistema de gestão através da rede interna do banco, com o objetivo de evitar ataques do tipo «man-in-the-middle» (MITM).
- As nossas aplicações são submetidas periodicamente a testes de penetração, em conformidade com os requisitos do setor bancário, o que nos permite melhorar continuamente a segurança.
- Os registos da aplicação são anonimizados e encriptados para evitar violações da segurança dos dados pessoais.
A perspetiva do fornecedor: O compromisso da Ailleron com a cibersegurança no setor bancário
Como fornecedor de produtos digitais para o setor financeiro, levamos muito a sério a segurança dos dados na banca digital, cumprindo tanto os requisitos do banco como as normas regulamentares. Que práticas aplicamos?
- Pessoal qualificado: os nossos colaboradores possuem as qualificações e a experiência necessárias na área da prestação de soluções financeiras, o que facilita uma comunicação eficaz com os bancos.
- Normas de gestão estabelecidas: separamos os ambientes de desenvolvimento dos ambientes dos clientes, seguindo os princípios da «segurança desde o início».
- Ciclo de vida seguro do software (SDLC): os nossos processos de CI/CD incluem testes de desempenho, testes de integração, análise de artefactos e análise estática do código.
- Assistência pós-implementação: uma vez concluída a implementação, disponibilizamos um serviço pós-venda ágil, que inclui a gestão de incidências, de acordo com os procedimentos previamente estabelecidos.
- Acordos de nível de serviço (SLA): garantimos uma elevada disponibilidade graças a ferramentas de monitorização e a soluções e serviços bancários baseados na nuvem.
- Integração flexível: integramo-nos com diversos sistemas bancários (por exemplo, CRM) para melhorar a segurança nas relações com os clientes.
- Recuperação em caso de catástrofe (DR) e alta disponibilidade (HA): garantimos disponibilidade adicional e cópias de segurança em várias regiões, consoante o grau de criticidade do serviço.
Medidas de segurança na banca digital: resumo
Este artigo aborda apenas uma pequena parte das medidas que garantem a cibersegurança da nossa plataforma bancária. Desta forma, zelamos pela segurança dos dados dos clientes do banco, bem como pela proteção dos próprios bancos e da empresa Ailleron. A cibersegurança, sendo uma área de caráter multifacetado, requer uma compreensão profunda e a consideração das necessidades do setor financeiro a vários níveis, e é precisamente a isso que nos dedicamos todos os dias para garantir a segurança das nossas soluções.
Pode também ler: Segurança digital e confiança: como criar confiança nos serviços bancários online
