Punti chiave
- PSD2 è un quadro normativo dell’Unione Europea che disciplina la sicurezza dei pagamenti, l’accesso all’open banking e la tutela dei consumatori.
- L’autenticazione forte del cliente richiede almeno due fattori di verifica indipendenti per proteggere le transazioni elettroniche da accessi non autorizzati.
- L’open banking richiede alle banche di condividere i dati finanziari, previa approvazione dell’utente, con fornitori di servizi di pagamento terzi autorizzati; pertanto, il rafforzamento delle API, la verifica del consenso e la revoca dell’accesso rappresentano controlli fondamentali.
- Le valutazioni dei fornitori, il monitoraggio continuo e procedure definite per la segnalazione degli incidenti sono essenziali per la gestione del rischio di esposizione derivante da soggetti terzi.
- I controlli sugli endpoint e sull’identità costituiscono la spina dorsale operativa di un’infrastruttura di pagamento conforme a PSD2.
- I requisiti di conformità PSD2 devono essere in linea con altri quadri normativi che contengono disposizioni sovrapposte.
La Payment Services Directive 2 (PSD2) stabilisce le norme che regolano il funzionamento dei servizi di pagamento in tutta l’Unione europea (UE). Per le organizzazioni che gestiscono transazioni finanziarie all’interno dello Spazio economico europeo (SEE) o che elaborano transazioni “one-leg-out”, è indispensabile allinearsi ai requisiti di conformità PSD2 .
Se la tua organizzazione rientra in questo ambito operativo, continua a leggere: questa guida ti spiegherà come allineare i controlli IT e di sicurezza ai requisiti normativi di PSD2.
Che cos’è PSD2: Una panoramica sul suo ambito di applicazione e sulla sua applicabilità
PSD2, nota anche come Direttiva rivista sui servizi di pagamento, affronta la rapida evoluzione dei servizi di pagamento digitali, compreso l’open banking e il ruolo sempre più importante delle organizzazioni finanziarie non bancarie.
L’architettura di PSD2 si concentra sui seguenti obiettivi:
| Obiettivi | Descrizione |
| Sicurezza | Ridurre le frodi e gli accessi non autorizzati lungo l’intera catena dei pagamenti. |
| Open banking | Promuovere la concorrenza rendendo obbligatorio l’accesso di terze parti all’infrastruttura dei conti. |
| Trasparenza | Garantire ai consumatori una maggiore chiarezza in merito ai propri diritti, all’informativa sulle commissioni e alle procedure di ricorso. |
| Standardizzazione dei pagamenti | Armonizzare le norme relative ai pagamenti elettronici in tutta l’UE e nel SEE per semplificare i pagamenti transfrontalieri. |
Sebbene PSD2 si concentri sugli istituti finanziari con sede nell’UE, anche qualsiasi organizzazione al di fuori dell’UE che fornisca servizi finanziari ai cittadini dell’UE è soggetta alle sue disposizioni. La direttiva si applica alle banche tradizionali e a qualsiasi azienda fintech emergente, in particolare:
- Banche, istituti di credito e altri soggetti che offrono conti di pagamento o gestiscono transazioni elettroniche.
- Istituzioni di pagamento autorizzate che effettuano operazioni di pagamento o offrono servizi di avvio dei pagamenti.
- Istituzioni di moneta elettronica (EMI) che emettono valuta digitale e facilitano i trasferimenti di fondi.
- Fornitori di servizi di pagamento di terze parti (TPP), compresi i fornitori di servizi di informazione sui conti e i fornitori di servizi di avvio dei pagamenti.
- Società fintech che operano nell’Unione europea o che forniscono servizi a clienti all’interno dell’Unione europea, indipendentemente dalla loro sede.
Le organizzazioni che rientrano in una di queste categorie sono tenute ad adeguarsi ai requisiti di conformità PSD2, dall’implementazione dei controlli relativi all’autenticazione forte del cliente (SCA) alla gestione di API bancarie aperte e sicure.
Allineare la tua infrastruttura IT ai requisiti di conformità della PSD2
Per soddisfare i requisiti PSD2, gli istituti finanziari devono riesaminare le modalità con cui i propri sistemi autenticano gli utenti, regolano l’accesso di terze parti, gestiscono gli incidenti e proteggono i percorsi di trasmissione dei dati.
Per alcune organizzazioni, ciò può significare rivedere l’infrastruttura esistente per colmare le lacune e garantire che gli obblighi specifici relativi ai pagamenti siano in linea con l’architettura più ampia di sicurezza e conformità.
Le sezioni che seguono illustreranno le principali aree in cui i controlli IT e di sicurezza devono essere in linea con i requisiti tecnici di PSD2.
Requisiti SCA previsti da PSD2
La tecnologia odierna dei pagamenti digitali consente ai consumatori di acquistare prodotti con maggiore facilità, direttamente dai propri schermi. Al fine di proteggere le transazioni di pagamento elettronico, PSD2 impone controlli SCA che richiedono procedure di autenticazione combinando almeno due fattori indipendenti tra i seguenti:
| Fattori | Definizione | Esempi |
| Conoscenza | Qualcosa che l’utente sa. |
|
| Possesso | Qualcosa che l’utente possiede. |
|
| Identificazione personale | Caratteristiche fisiologiche utilizzate come identificatori biometrici. |
|
Richiedere l’autenticazione attraverso almeno due dei fattori sopra menzionati riduce al minimo gli accessi non autorizzati, contribuendo a ridurre il rischio di frode nelle transazioni digitali.
Open banking e governance delle API
La normativa sull’open banking prevista da PSD2 consente ai TPP autorizzati, quali app di gestione del budget, piattaforme di pagamento o servizi fintech, di accedere ai dati finanziari approvati dagli utenti. Le API fungono da ponte tra i conti bancari e le applicazioni di terze parti.
Per proteggere le API in modo adeguato, gli istituti finanziari devono:
- Applicare gli standard di crittografia, la convalida dei certificati e i controlli di accesso su ogni endpoint API.
- Mantenere il controllo sui TPP collegati, compresi i dati a cui accedono e il momento in cui è avvenuto l’accesso.
- Limitare in modo rigoroso l’accesso alle API all’ambito di accesso approvato dal cliente.
- Sviluppare la capacità di interrompere l’accesso al TPP quasi in tempo reale in caso di revoca del consenso.
- Implementare l’handshake TLS reciproco e certificati conformi alla direttiva eIDAS per tutte le comunicazioni nell’ambito dell’open banking.
Garantire un adeguato hardening delle API assicura che le procedure di open banking siano protette da accessi non autorizzati, uso improprio e abusi da parte di soggetti esterni e non conformi.
Gestione dell’esposizione al rischio di terze parti
L’open banking amplia la superficie di attacco di un’infrastruttura IT, poiché ogni connessione TPP rappresenta un potenziale punto di accesso e l’esposizione delle connessioni di terze parti può influire sul profilo di rischio di un’organizzazione.
La riduzione al minimo dei rischi legati a soggetti terzi ai sensi della PSD2 dovrebbe comprendere:
- Valutazione del rischio fornitore: Valutazione accurata del livello di sicurezza e conformità di un TPP prima di concedergli l’accesso.
- Controlli di autenticazione API sicuri: Applicare una rigorosa verifica dell’identità per ogni connessione di terze parti.
- Visibilità sulle connessioni di terze parti: Il monitoraggio continuo consente di individuare in tempo reale modelli di accesso sospetti, tentativi di esfiltrazione dei dati e violazioni dei criteri.
- Procedure di segnalazione degli incidenti: Definire percorsi di segnalazione chiari per informare tempestivamente le autorità di regolamentazione e le parti interessate in caso di incidenti relativi ai TPP.
Il monitoraggio di queste aree riduce il rischio a livello di ambiente e consente alle infrastrutture IT di dimostrare la propria conformità in occasione degli audit normativi.
Allineamento dei controlli sugli endpoint e sull’identità alla normativa PSD2
PSD2 impone agli istituti finanziari di adottare procedure di identificazione rigorose per mantenere la fiducia sia degli utenti che dei fornitori di servizi di pagamento terzi (TPP). Detto questo, è fondamentale che i tecnici garantiscano il rispetto dei controlli previsti da PSD2 in materia di endpoint e identità, tra cui:
- Verifica dell’affidabilità del dispositivo: Valuta l’integrità del dispositivo al momento dell’autenticazione, in particolare per i fattori di autenticazione basati su dispositivi mobili.
- Autenticazione sicura degli endpoint: Garantisce che solo i dispositivi affidabili possano avviare o autorizzare transazioni di pagamento.
- Monitoraggio delle sessioni: Monitora le sessioni attive per individuare comportamenti sospetti che possano indicare un account compromesso o sessioni dirottate.
- Logging degli accessi e criteri di conservazione: Conserva registrazioni verificabili degli eventi di autenticazione e delle autorizzazioni alle transazioni, in conformità con i requisiti di conservazione previsti da PSD2.
- Sistemi di rilevamento delle frodi: Integra nella catena di pagamento le analisi comportamentali in tempo reale e i motori di analisi del rischio delle transazioni (TRA) per supportare i controlli di sicurezza e di autenticazione forte (SCA).
L’adozione di rigorosi controlli di sicurezza nei pagamenti dovrebbe contribuire a instaurare un rapporto di fiducia con gli utenti finali e con i dispositivi da loro utilizzati. Controlli inadeguati a questo livello possono compromettere l’efficacia delle solide strategie di gestione relative a SCA, API e TPP.
L’integrazione di PSD2 in un ampio contesto normativo
Gli istituti finanziari che operano nell’UE devono non solo rispettare i requisiti di conformità previsti da PSD2, ma anche i quadri normativi applicabili più ampi. Un approccio unificato alla conformità garantisce che l’allineamento a PSD2 non comporti violazioni di altri quadri normativi correlati.
Per esempio, PSD2 consente la condivisione dei dati finanziari approvati dall’utente, ma tali procedure di condivisione dei dati devono comunque soddisfare i requisiti conformità GDPR in materia di consenso, minima raccolta di dati e segnalazione delle violazioni.
I requisiti di conformità che si sovrappongono dovrebbero essere documentati in modo esplicito per evitare la duplicazione dei controlli, snellire gli audit e ridurre le lacune nella governance.
Adeguarsi ai requisiti di conformità PSD2 per garantire la sicurezza delle transazioni
La conformità PSD2 impone agli istituti finanziari e ai fornitori di servizi di pagamento (PSP) di rafforzare le procedure di autenticazione, garantire la sicurezza delle API di open banking e gestire i rischi legati a soggetti terzi. Soddisfare tali requisiti significa allineare l’architettura delle identità, la sicurezza degli endpoint e la governance delle API ai requisiti specifici della direttiva PSD2 in materia di pagamenti.
NinjaOne aiuta i clienti a garantire la conformità PSD2 fornendo una piattaforma unificata che automatizza la gestione degli endpoint, il patching di sicurezza e il monitoraggio della conformità. Ciò contribuisce a garantire un’autenticazione forte dei clienti e la protezione dei dati, e permette al tempo stesso di conservare tracce di audit dettagliate a sostegno della conformità normativa.
Argomenti correlati:
