Puntos clave
- La PSD2 es un marco normativo de la UE que regula la seguridad de los pagos, el acceso de open banking y la protección del consumidor.
- La autenticación reforzada de clientes exige al menos dos factores de verificación independientes para proteger las transacciones electrónicas frente a accesos no autorizados.
- El open banking obliga a los bancos a compartir los datos financieros autorizados por el usuario con proveedores de servicios de pago terceros con licencia, por lo que el hardening de las API, la validación del consentimiento y la revocación de accesos son controles críticos.
- Las evaluaciones de proveedores, la monitorización continua y unos procedimientos definidos de notificación de incidentes son imprescindibles para gestionar el riesgo de exposición a terceros.
- Los controles de endpoints e identidad son la columna vertebral operativa de una infraestructura de pagos conforme a la PSD2.
- Los requisitos de cumplimiento de la PSD2 deben encajar con otros marcos normativos cuyas disposiciones se solapan.
La segunda Directiva de Servicios de Pago (PSD2) fija las reglas normativas que rigen el funcionamiento de los servicios de pago en toda la Unión Europea (UE). Si tu organización gestiona transacciones financieras dentro del Espacio Económico Europeo (EEE) o procesa transacciones one-leg-out, cumplir los requisitos de cumplimiento de la PSD2 no es opcional.
Si tu organización entra en ese ámbito de actuación, sigue leyendo: en esta guía verás cómo alinear tus controles de TI y seguridad con lo que exige la PSD2.
Qué es la PSD2: visión general de su ámbito y aplicabilidad
La PSD2, también conocida como Directiva de Servicios de Pago revisada, responde a la rápida evolución de los servicios de pago digitales, incluidos el open banking y el peso creciente de las entidades financieras no bancarias.
La arquitectura de la PSD2 gira en torno a estos objetivos:
| Objetivos | Descripción |
| Seguridad | Reducir el fraude y los accesos no autorizados en toda la cadena de pago. |
| Open banking | Fomentar la competencia obligando a dar acceso a terceros a la infraestructura de cuentas. |
| Transparencia | Ofrecer a los consumidores derechos más claros, información sobre comisiones y vías de reclamación. |
| Estandarización de los pagos | Unificar las normas de los pagos electrónicos en la UE y el EEE para agilizar los pagos transfronterizos. |
Aunque la PSD2 se centra en las entidades financieras con sede en la UE, cualquier organización de fuera de la UE que preste servicios financieros a ciudadanos de la UE queda también sujeta a sus disposiciones. La directiva abarca tanto la banca tradicional como cualquier fintech emergente, en concreto:
- Bancos, entidades de crédito y otras entidades que ofrezcan cuentas de pago o procesen transacciones electrónicas.
- Entidades de pago autorizadas que ejecuten operaciones de pago u ofrezcan servicios de iniciación de pagos.
- Entidades de dinero electrónico (EDE) que emitan dinero digital y faciliten transferencias de fondos.
- Proveedores de servicios de pago terceros (TPP), incluidos los proveedores de servicios de información sobre cuentas y los de iniciación de pagos.
- Empresas fintech que operen en la UE o presten servicio a clientes de la UE, con independencia de dónde tengan su sede.
Las organizaciones que encajan en alguna de estas categorías están obligadas a cumplir los requisitos de la PSD2, desde implantar controles de autenticación reforzada de clientes (SCA) hasta mantener seguras las API de open banking.
Cómo alinear tu infraestructura de TI con los requisitos de cumplimiento de la PSD2
Cumplir lo que exige la PSD2 obliga a las entidades financieras a revisar cómo autentican a los usuarios sus sistemas, cómo gobiernan el acceso de terceros, cómo responden a los incidentes y cómo protegen las rutas de transmisión de datos.
En algunos casos, esto implica volver sobre la infraestructura existente para cerrar brechas y asegurar que las obligaciones específicas de pagos encajan con la arquitectura general de seguridad y cumplimiento.
En los apartados siguientes repasamos las áreas clave en las que los controles de TI y seguridad deben ajustarse a las expectativas técnicas de la PSD2.
Requisitos de SCA de la PSD2
La tecnología de pago digital actual permite a los consumidores comprar productos sin levantarse del sofá. Para proteger las transacciones de pago electrónico, la PSD2 impone controles de SCA que exigen procedimientos de autenticación con al menos dos factores independientes de entre los siguientes:
| Factores | Definición | Ejemplos |
| Conocimiento | Algo que el usuario sabe. |
|
| Posesión | Algo que el usuario tiene. |
|
| Inherencia | Características fisiológicas usadas como identificadores biométricos. |
|
Exigir la autenticación de al menos dos de esos factores reduce los accesos no autorizados y ayuda a rebajar el riesgo de fraude en las transacciones digitales.
Open banking y gobierno de las API
La disposición de open banking de la PSD2 permite que los TPP con licencia (aplicaciones de finanzas personales, plataformas de pago o servicios fintech) accedan a los datos financieros autorizados por el usuario. Las API son el puente entre las cuentas bancarias y las aplicaciones de terceros.
Para proteger las API como es debido, las entidades financieras tienen que:
- Aplicar estándares de cifrado, validación de certificados y controles de acceso en cada endpoint de API.
- Mantener la supervisión de los TPP conectados, incluidos qué datos consultan y cuándo lo hicieron.
- Limitar estrictamente el acceso de las API al alcance aprobado por el cliente.
- Desarrollar la capacidad de cortar el acceso de un TPP casi en tiempo real cuando se retira el consentimiento.
- Implementar handshake mTLS y certificados conformes con eIDAS en todas las comunicaciones de open banking.
Un buen hardening de las API garantiza que los procedimientos de open banking queden protegidos frente a accesos no autorizados, usos indebidos y abusos, tanto de actores externos como de actores que no cumplen la norma.
Gestionar la exposición al riesgo de terceros
El open banking amplía la superficie de ataque de una infraestructura de TI: cada conexión con un TPP es una posible puerta de entrada, y la exposición de esas conexiones puede afectar al perfil de riesgo de la organización.
Reducir el riesgo de terceros bajo la PSD2 debería cubrir:
- Evaluación del riesgo de proveedores: valorar con detalle la postura de seguridad y cumplimiento de un TPP antes de concederle acceso.
- Controles seguros de autenticación de API: aplicar una verificación de identidad sólida en cada conexión con terceros.
- Visibilidad de las conexiones con terceros: la monitorización continua ayuda a detectar en tiempo real patrones de acceso sospechosos, intentos de exfiltración de datos e incumplimientos de políticas.
- Procedimientos de notificación de incidentes: definir vías de alerta claras para avisar rápidamente a los reguladores y a las partes afectadas cuando se produzca un incidente relacionado con un TPP.
Vigilar estas áreas reduce el riesgo en todo el entorno y pone a la infraestructura de TI en condiciones de demostrar el cumplimiento durante las auditorías regulatorias.
Alinear los controles de endpoints e identidad con la normativa PSD2
La PSD2 exige a las entidades financieras una identificación rigurosa para establecer confianza tanto con los usuarios como con los TPP. Por eso es fundamental que los técnicos garanticen el cumplimiento de los controles de endpoints e identidad que impone la PSD2, entre ellos:
- Validación de la confianza del dispositivo: evalúa la integridad del dispositivo en el momento de la autenticación, sobre todo en los factores de posesión basados en móvil.
- Autenticación segura de endpoints: garantiza que solo los dispositivos de confianza puedan iniciar o autorizar transacciones de pago.
- Monitorización de sesiones: vigila las sesiones activas para detectar comportamientos sospechosos que puedan indicar una cuenta comprometida o una sesión secuestrada.
- Registro de accesos y políticas de retención: mantén registros auditables de los eventos de autenticación y de la autorización de transacciones conforme a los requisitos de retención de la PSD2.
- Sistemas de detección de fraude: integra en la cadena de pago analytics de comportamiento en tiempo real y motores de análisis del riesgo de la transacción (TRA) para reforzar la seguridad y los controles de SCA.
Unos controles sólidos de seguridad de los pagos deben generar confianza en el usuario final y en el dispositivo que utiliza. Si los controles flojean en este nivel, pueden echar por tierra estrategias por lo demás robustas de SCA, API y gestión de TPP.
Encajar la PSD2 en un panorama normativo más amplio
Las entidades financieras que operan en la UE no solo deben cumplir los requisitos de la PSD2, sino también los de otros marcos normativos aplicables más amplios. Un enfoque unificado del cumplimiento evita que la alineación con la PSD2 provoque incumplimientos en marcos colindantes.
Por ejemplo, la PSD2 permite compartir los datos financieros autorizados por el usuario, pero esos procedimientos de intercambio de datos siguen teniendo que cumplir los requisitos del cumplimiento del RGPD en materia de consentimiento, minimización de datos y notificación de brechas.
Conviene documentar de forma explícita los requisitos de cumplimiento que se solapan para evitar controles duplicados, agilizar las auditorías y reducir las lagunas de gobernanza.
Cumple los requisitos de la PSD2 para proteger tus transacciones
El cumplimiento de la PSD2 obliga a las entidades financieras y a los PSP a reforzar la autenticación, proteger las API de open banking y gestionar el riesgo de terceros. Cumplir estos requisitos implica alinear la arquitectura de identidad, la seguridad de endpoints y el gobierno de las API con los mandatos específicos de pagos de la PSD2.
NinjaOne ayuda a sus clientes a cumplir la PSD2 con una plataforma unificada que automatiza la gestión de endpoints, la aplicación de parches de seguridad y la monitorización del cumplimiento. Así se facilita una autenticación reforzada de clientes y la protección de los datos, y se dejan registros de auditoría detallados que sirven de respaldo ante el regulador.
Temas relacionados:
