Conformidad

Logre la conformidad normativa en los entornos más regulados

Descargar el informe técnico sobre PSD2

Cumplimiento normativo

Seleccionar leyes, reglamentos, normas y marcos

Ciberseguridad y autenticación fuerte

Américas

NYDFS: requisitos de ciberseguridad para empresas de servicios financieros

El NYDFS regula aproximadamente 1,500 bancos e instituciones financieras. Estos incluyen EE. UU. instituciones, así como muchas instituciones internacionales con operaciones en Nueva York. 

 

los Requisitos de ciberseguridad para empresas de servicios financieros consta de 22 disposiciones que requieren que las organizaciones de servicios financieros protejan mejor los datos. Las instituciones financieras deben implementar controles efectivos para evitar el acceso no autorizado a los sistemas de información o información no pública a través de la evaluación de riesgos, pero los medios por los cuales pueden hacerlo pueden incluir autenticación multifactor , autenticación biométrica o autenticación basada en riesgo .

 

Obtenga más información en este blog: Requisitos de seguridad cibernética del NYDFS para empresas de servicios financieros

 

 

EMEA

PSD2: Directiva de servicios de pago 2

La Directiva de servicios de pago (PSD2) de la UE contiene requisitos relacionados con la autenticación fuerte de cliente (SCA). Las instituciones financieras tienen plazo hasta septiembre de 2019 para cumplir estos requisitos. Sin embargo, los proveedores de servicios de pago específicos (PSP) podrían calificar para una extensión excepcional en el contexto de pagos con tarjeta para comercio electrónico de acuerdo con un dictamen reciente de la EBA .

 

Estos requisitos incluyen cinco criterios de cumplimiento:

 

  • Autenticación fuerte: La autenticación debe basarse en dos o más factores, incluidas las contraseñas o PIN, tokens o dispositivos móviles o datos biométricos.

 

  • Análisis de riesgo de transacción: Manda el uso de análisis de riesgo de transacción para disuadir pagos fraudulentos. 

 

  • Protección de replicación: PSD2 exige el uso de contramedidas de clonación de aplicaciones móviles dedicadas en aplicaciones.

 

  • Enlace Dinámico: Para las transacciones de pago, el código de autenticación debe estar vinculado dinámicamente a la cantidad y al beneficiario.

 

  • Elementos independientes Los proveedores de servicios de pago deben adoptar medidas de seguridad para mitigar el riesgo resultante de dispositivos móviles comprometidos.

Marco de certificación de ciberseguridad de la UE

El nuevo Marco de Certificación de Ciberseguridad de la UE, originalmente propuesto en 2017, se desarrolló para mejorar la ciberseguridad de los servicios en línea y dispositivos de consumo, incluidos los dispositivos IoT. Una vez aprobado formalmente por el Parlamento Europeo, se publicará en el Diario Oficial de la UE y entrará en vigor oficialmente de inmediato. Para más información, lea El comunicado de prensa oficial.

Autoridad Monetaria de Arabia Saudita (SAMA)

Para mejorar la resistencia contra las amenazas cibernéticas, la Autoridad Monetaria de Arabia Saudita (SAMA) introdujo el Marco de seguridad cibernética de SAMA en mayo de 2017. Esto sigue una tendencia global en la que los reguladores gubernamentales y de la industria bancaria de todo el mundo están introduciendo normas y orientaciones de seguridad cibernética. 

 

Los cuatro aspectos clave del marco incluyen:

 

  • Gestión de identidad y acceso.
  • Canal de comunicación seguro para banca en línea y móvil
  • Blindaje de aplicaciones móviles
  • Detección y prevención de fraudes

Obtenga más información en este blog: Cumplimiento del marco de seguridad cibernética de SAMA

 

Asia Pacífico

Singapur: Directrices de gestión de riesgos tecnológicos (TRM) y Directrices de gestión de continuidad del negocio (BCM)

La Autoridad Monetaria de Singapur (MAS) ha emitido Directrices de Gestión de Riesgos Tecnológicos (TRM) y Directrices de Gestión de Continuidad de Negocios (BCM).

 

Las Directrices TRM brindan instrucciones para la seguridad del desarrollo de software, la vigilancia cibernética, la simulación de ataques adversos y cómo gestionar los riesgos cibernéticos que plantea Internet de las cosas. El TRM también incluye una sección sobre "Seguridad de los servicios financieros en línea", que cubre lo siguiente:

 

  • Sec.14.1.7 "Los dispositivos móviles enraizados o con jailbreak deben tener bloqueado el acceso a las aplicaciones móviles de la FI para realizar transacciones financieras, ya que dichos dispositivos son más susceptibles a las vulnerabilidades de malware y seguridad".

  • Segundo. 14.2.1 "La autenticación multifactor debe implementarse al iniciar sesión para los servicios financieros en línea para asegurar el proceso de autenticación del cliente".

  • Segundo. 14.2.4 "FI puede aplicar un enfoque basado en el riesgo e implementar una autenticación adecuada basada en el riesgo o adaptativa que presente a los clientes opciones de autenticación que sean acordes con el nivel de riesgo de la transacción y la sensibilidad de la información". 

  • Segundo. 14.2.8 "Cuando se utiliza el token virtual para la autenticación del cliente, se deben implementar medidas apropiadas, como verificar la identidad del cliente, detectar y bloquear dispositivos rooteados o liberados, y realizar la vinculación del dispositivo, para el proceso de aprovisionamiento del token virtual".

  • Segundo. 14.3.1 "La IF debe implementar sistemas de monitoreo o vigilancia de fraude en tiempo real para identificar y bloquear transacciones en línea sospechosas o fraudulentas".

Global

PCI DSS 3.2

Estándar de seguridad de datos de la industria de tarjetas de pago

 

PCI DSS 3.2 es un estándar de seguridad de la información para organizaciones que manejan tarjetas de crédito de marca de las principales marcas de tarjetas. Se implementó para abordar las amenazas de seguridad a la información de pago del cliente. Todas las entidades involucradas en el procesamiento de tarjetas de pago deben cumplir con PCI DSS, incluidos los adquirentes, emisores, comerciantes, procesadores y proveedores de servicios. También se aplica a todas las demás entidades que almacenan, procesan o transmiten datos de titulares de tarjetas.

 

El requisito 8.3, que se convirtió en obligatorio en 2018, requiere que las organizaciones incorporen autenticación multifactor para todo el acceso que no sea de consola al entorno de datos del titular de la tarjeta, así como el acceso remoto a la red que se origina fuera de la red de la entidad.

 

Programa de seguridad del cliente SWIFT

Para adaptarse al entorno cambiante de amenazas y adelantarse a los cibercriminales, RÁPIDO (la Society for Worldwide Interbank Financial Telecommunication) presentó el Marco de controles de seguridad SWIFT y Programa de seguridad del cliente (CSP). Para obtener más información sobre cómo SWIFT ayuda a garantizar la seguridad e integridad de los sistemas que se conectan a la red SWIFT, consulte esto Blog . 

 

Privacidad y protección de datos

Norteamérica

EE. UU .: Ley Gramm-Leach-Bliley

La Comisión Federal de Comercio de los Estados Unidos (FTC, por sus siglas en inglés) anunció en marzo de 2019 sus planes para implementar cambios en la Regla de Salvaguardas y la Regla de Privacidad bajo la Ley Gramm-Leach-Bliley. Éstas incluyen:

 

  • La regla de salvaguardas:
    En vigor desde 2003, la Regla de Salvaguardias requiere que las instituciones financieras establezcan medidas para mantener segura la información del cliente. Las instituciones también son responsables de garantizar que sus afiliados y proveedores de servicios protejan la información del cliente. (La mejor práctica para lograr esto es mediante la implementación autenticación multifactor .)

 

  • La regla de privacidad:
    En vigor desde el año 2000, la Regla de Privacidad requiere que una institución financiera informe a los clientes sobre sus prácticas de intercambio de información y les permita optar por no compartir su información con ciertos terceros.

 

EE. UU .: Regla de privacidad de HIPAA

La Ley de Privacidad de Datos de la Ley de Portabilidad y Responsabilidad de Seguros de Salud de 1996 (HIPAA) proporciona normas y orientación para la protección adecuada de los registros médicos del paciente y la información de salud personal. Se aplica a planes de salud, cámaras de compensación de atención médica y proveedores de atención médica que realizan transacciones seleccionadas electrónicamente. 

 

Nuestra solución de firma electrónica, OneSpan Sign, facilita el cumplimiento de todos los requisitos de HIPAA que se aplican a los socios comerciales.

EE. UU .: Ley de Privacidad del Consumidor de California (CCPA)

La Ley de Privacidad del Consumidor de California se basa en el RGPD y busca proteger los datos de los californianos. Incluye muchos de los mismos inquilinos que GDPR, que incluyen:

 

  • Requisitos de consentimiento ampliado
  • Derecho de acceso
  • El derecho a ser olvidado

 

Además, muchos estados en los Estados Unidos están en proceso de aprobar una legislación modelada, al menos en parte, por la Ley de Privacidad del Consumidor de California.
 

Leyes de protección de datos de seguros estatales de EE. UU.

Varios estados de los EE. UU. Han promulgado leyes para hacer cumplir los requisitos de autenticación de factores múltiples (MFA) para cualquier persona que acceda a "información no pública", incluida la información de seguros privados.

 

  • Carolina del Sur: Ley N ° 171 entró en vigencia el 1 de enero de 2019, requiriendo que los licenciatarios de Carolina del Sur implementen un programa de seguridad de la información antes del 1 de julio de 2019. También deben cumplir con los requisitos de diligencia debida para los proveedores de servicios externos antes del 1 de julio de 2020.

 

  • Michigan: House Bill 6491 entrará en vigencia el 20 de enero de 2021, requiriendo que los licenciatarios de Michigan implementen un programa de seguridad de la información antes del 20 de enero de 2022. También deben cumplir con los requisitos de diligencia debida para proveedores de servicios externos antes del 20 de enero de 2023.

 

  • Ohio: Proyecto de ley 273 del Senado entró en vigencia el 20 de marzo de 2019 y se aplica a todas las aseguradoras en Ohio. El proyecto de ley estipula medidas de seguridad que deben implementarse antes del 20 de marzo del año siguiente.

 

  • Misisipí: Proyecto de ley 2831 del Senado entró en vigencia el 1 de julio de 2019. Los licenciatarios deben tener MFA en vigor antes del 1 de julio de 2020. Además, también deben cumplir con los requisitos de diligencia debida para los proveedores de servicios externos antes del 1 de julio de 2021.

Canadá: Ley de Protección de Información Personal y Documentos Electrónicos (PIPEDA)

PIPEDA es la regulación federal que rige los requisitos de seguridad en torno a la recopilación, uso y divulgación de información personal en Canadá. Se aplica tanto a las organizaciones gubernamentales como a las organizaciones privadas que recopilan, usan y divulgan información personal como parte de sus negocios, como las instituciones financieras. 

EMEA

UE: el Reglamento general de protección de datos (GDPR)

El Reglamento General de Protección de Datos (GDPR) de la Unión Europea se aplica a la protección de datos de datos personales de todos los ciudadanos de la UE. Se aplica a cualquier empresa que procese o recopile datos personales de un ciudadano de la UE, independientemente de si la organización tiene su sede en la UE, es decir, en todo el mundo.

 

El GDPR establece siete principios clave: 

 

  • Legalidad, equidad y transparencia.
  • Limitación de propósito
  • Minimización de datos
  • Exactitud
  • Limitación de almacenamiento
  • Integridad y confidencialidad (seguridad)
  • Responsabilidad

 

Debajo Artículo 32 las empresas consideradas como controladores o procesadores de datos personales están obligadas a implementar medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad adecuado al riesgo ". ENISA, la Agencia de la Unión Europea para la Seguridad de las Redes y la Información, asesora a los estados miembros y a las organizaciones del sector privado en la implementación de la legislación de la UE y, como tal, proporciona pautas sobre cómo tomar las medidas adecuadas para cumplir con el GDPR. 

 

  • Para control de acceso y autenticación: ENISA recomienda implementar la autenticación de dos factores en casos de alto riesgo y en ciertos casos de impacto medio, de la siguiente manera: “La autenticación de dos factores debe usarse preferiblemente para acceder a sistemas que procesan datos personales. Los factores de autenticación podrían ser contraseñas, tokens de seguridad, memorias USB con un token secreto, datos biométricos, etc.

 

  • Para dispositivos móviles: ENISA informa que se debe tener especial cuidado para garantizar que los datos relacionados con el negocio no se vean comprometidos. Como resultado, su directriz establece que "se debe considerar la autenticación de dos factores para acceder a dispositivos móviles, y los datos personales almacenados en el dispositivo móvil se deben cifrar".
     
  • Para el desarrollo de aplicaciones: ENISA recomienda garantizar que se tenga en cuenta la seguridad de los datos personales. Durante el ciclo de vida del desarrollo, esto abarca "las mejores prácticas, el estado del arte y las prácticas, marcos o estándares de desarrollo seguros y reconocidos que deben seguirse", incluso en casos de bajo riesgo. Obtenga más información sobre la autenticación de dos factores en este blog

 

Además, no se pueden procesar datos personales sin una base legal. Una de esas bases es el "consentimiento". Cualquier organización que evalúe su política de consentimiento y mecanismos para cumplir con el RGPD podría considerar el uso de firmas electrónicas, especialmente al manejar datos personales confidenciales, como información financiera personal o registros médicos. Las firmas electrónicas proporcionan una solución segura, auditable y fácil de usar para ayudar a implementar medidas técnicas y organizativas de acuerdo con el RGPD. Esta tecnología es un método apropiado para que los controladores de datos capturen el consentimiento, cumplan con el requisito de aceptación activa y demuestren detalles de cómo se obtuvo el consentimiento, incluido qué se consintió, cuándo y por quién. Obtenga más información sobre cómo obtener el consentimiento del cliente en este blog

Sudamerica

Chile: Ley N ° 19.628 sobre la Protección de la Vida Privada o Ley de Protección de Datos Personales

Esta ley define los requisitos con respecto al tratamiento de la información personal en bases de datos públicas y privadas.

Brasil: Lei Geral de Proteção de Dados (LGPD)

Lei Geral de Proteção de Dados (LGPD) entra en vigencia en agosto de 2020. La regulación incluye algunas de las disposiciones del GDPR en Europa. Sin embargo, también aplica obligaciones de cumplimiento adicionales a las organizaciones que procesan datos u ofrecen servicios a personas en Brasil. Las empresas deben obtener el consentimiento explícito de la persona antes de recopilar datos. Se debe informar al individuo exactamente qué datos se recopilan, el motivo de su recopilación y la duración en que se almacenarán. Además, cuando una empresa ya no necesita los datos adquiridos, debe destruirse.

Asia Pacífico

Tailandia: Ley de Protección de Datos Personales BE 2562 (2019) (PDPA)

Aprobado en mayo de 2019 y que entrará en vigencia en 2020, el PDPA define los datos personales como cualquier información que pueda usarse para identificar a un individuo. Esta definición amplia se aplica a los datos que pertenecen a clientes, empleados y empresas, y el PDPA aplica restricciones significativas en su recopilación y uso.

 

Además, el PDPA proporciona derechos al sujeto de datos personales similares a GDPR, como el derecho de acceso, el derecho de borrado, el derecho a objetar y el derecho a la portabilidad de los datos.
 

Firma electrónica

Norteamérica

EE. UU .: Ley de ESIGN y UETA

En los Estados Unidos, las leyes federales y estatales otorgan a las firmas electrónicas el mismo estatus legal que las firmas manuscritas. La Ley Federal de Firmas Electrónicas en el Comercio Global y Nacional (ESIGN) otorga reconocimiento legal a las firmas y registros electrónicos para satisfacer los requisitos legales "por escrito" para las transacciones, incluidas las divulgaciones, y permite a las organizaciones cumplir los requisitos legales de retención de registros únicamente mediante el uso de registros electrónicos ESIGN requiere el consentimiento de una persona para realizar negocios electrónicamente.

 

A nivel estatal, cuarenta y siete estados, el Distrito de Columbia, Puerto Rico y las Islas Vírgenes han adoptado la Ley Uniforme de Transacciones Electrónicas (UETA). Además, la ley federal de ESIGN establece que las firmas electrónicas son legalmente exigibles para el comercio intraestatal y dentro de los estados que no han adoptado UETA.

EE. UU .: Ley IDEA del siglo XXI

El 20 de diciembre de 2018 La Ley de experiencia digital integrada del siglo XXI (IDEA del siglo XXI) fue firmado en ley. Crea estándares mínimos de funcionalidad y seguridad para las agencias federales en los EE. UU. Con el objetivo de mejorar las interacciones digitales entre los ciudadanos y el gobierno. Por ejemplo, requiere que las agencias ofrezcan versiones digitales de todos los servicios en papel y acepten firmas electrónicas de los ciudadanos.

 

Aprende más en este blog
 

EE. UU .: Autoridad de Regulación de la Industria Financiera

La Regla 4512 (a) (3) (Información de la cuenta del cliente) de FINRA de EE. UU. Requería previamente que las firmas de corretaje obtuvieran la firma "húmeda" de cada persona física nombrada autorizada para ejercer discreción en una cuenta antes de abrirla. El 16 de abril de 2019, la Comisión de Intercambio de Seguridad de EE. UU. (SEC) aprobó un cambio propuesto a la Regla 4512 (a) (3) que brinda a los miembros la opción de obtener una firma electrónica en lugar de una firma húmeda.

 

Aprende más en esto Blog .

EE. UU .: Leyes estatales de notarización remota en línea

Numerosos estados en los EE. UU. Han aprobado o están considerando legislación que facultaría a sus notarios estatales para realizar notarizaciones remotas en línea. Esto incluye:  

 

Canadá: ley provincial

Al igual que las leyes UETA de EE. UU., Las leyes de firma electrónica provincial de Canadá otorgan a las firmas electrónicas el mismo estatus legal que las firmas manuscritas. 

 

Se han promulgado leyes de comercio electrónico y firma electrónica sustancialmente uniformes en todo Canadá. Todas las provincias y territorios tienen estatutos de comercio electrónico independientes de aplicación general basados en leyes modelo promulgadas por la ONU y la Conferencia de Derecho Uniforme de Canadá (ULCC). 

 

Por ejemplo, en Ontario, la Ley de Comercio Electrónico de 2000 (ECA) aborda el uso de documentos electrónicos en transacciones comerciales. En un informe titulado Firmas electrónicas en la legislación canadiense, la firma de abogados de negocios canadiense Stikeman Elliott LLP declara: “Si bien hay algunas variaciones, los estatutos provinciales de comercio electrónico generalmente estipulan que las firmas, los documentos y los originales no son inválidos o inaplicables por el solo motivo de estar en forma electrónica ".

 

Para obtener más información, lea el Guía legal de Stikeman Elliott a firmas electrónicas. 

EMEA

UE: eIDAS (identificación electrónica y servicios de confianza)

El Reglamento de 2014 sobre identificación electrónica y servicios de confianza para transacciones electrónicas en el mercado interior (eIDAS) entró en vigor en toda la Unión Europea el 1 de julio de 2016, reemplazando la Directiva 1999/93 / CE sobre firmas electrónicas. A diferencia de la Directiva, el reglamento eIDAS se aplica por igual a cada Estado miembro de la UE. 

 

eIDAS facilita el reconocimiento transfronterizo de firmas electrónicas e identidades electrónicas. También identifica tres niveles de firma electrónica: la firma electrónica simple, avanzada y calificada.

 

Obtenga información sobre la exigibilidad legal de los tres niveles de firma electrónica en este documento técnico: eIDAS y firma electrónica: una perspectiva legal , escrito por Lorna Brazell de Osborne Clarke LLP.

Sudamerica

Brasil

En Brasil, el uso de firmas electrónicas se divide en dos categorías:

 

  • Tecnológicamente neutral: la ley brasileña permite una firma electrónica en casos de uso donde el tipo de firma no está especificado por la ley. En este enfoque, la firma electrónica debe garantizar la integridad del documento firmado y la autenticidad de la autoría de la firma, pero la ley no especifica la tecnología. La libertad de forma en la ley brasileña infiere este enfoque de tecnología neutral.
  • Específico de la tecnología: Ciertos tipos de documentos y firmantes requieren el uso de un certificado digital emitido al firmante por la infraestructura de ICP-Brasil. Este es un sistema de tecnología específica donde los certificados ICP-Brasil proporcionan una verificación de terceros confiable de la firma electrónica. ICP-Brasil establece la infraestructura de clave pública para el país, que proporciona la marca de tiempo y las políticas necesarias para crear el equivalente de una firma electrónica calificada (QES). 

Obtenga más información en este libro blanco portugués sobre Firmas electrónicas y la ley en Brasil , escrito en colaboración con Opice Blum LLP. 

Colombia

La Ley 527 de 1999 estableció las firmas electrónicas como el equivalente de las firmas manuscritas. Otorga a las firmas electrónicas la misma validez y efecto legal que una firma manuscrita, siempre que la firma electrónica cumpla con los requisitos de confiabilidad establecidos en el Decreto 2364 de 2012.

 

Obtenga más información en este documento técnico en español sobre Firmas electrónicas y la ley en Colombia , escrito en colaboración con Erick Rincón Cárdenas, socio de Rincón Cárdenas y Moreno.

Perú

En 2000, el Congreso de la República del Perú aprobó la Ley N ° 27269 sobre Firmas y Certificados Digitales, que dice lo siguiente: “El propósito de esta ley es regular el uso de las firmas electrónicas, otorgándoles la misma validez y efectividad legal. como firmas manuscritas o similares que implican una declaración de voluntad ".

 

Obtenga más información en este documento técnico en español sobre Firmas electrónicas y la ley en el Perú , escrito en colaboración con Erick Rincón Cárdenas, socio de Rincón Cárdenas y Moreno.

Asia Pacífico

Australia: Ley de transacciones electrónicas

En 1999, el Parlamento australiano aprobó la Ley de transacciones electrónicas, que se modificó en 2011. La Ley de Transacciones Electrónicas otorga a las firmas electrónicas el mismo estatus legal que las firmas manuscritas. 

 

Según el gobierno australiano, "si una ley de la Commonwealth requiere que usted brinde información por escrito, proporcione una firma manuscrita, produzca un documento en forma material o registre o conserve información, la Ley de Transacciones Electrónicas significa que puede hacer estas cosas electrónicamente". 

 

Obtenga más información en nuestro libro electrónico, Firmas electrónicas y la ley: revisión de la legislación mundial . 
 

Japón: la Ley de Firmas Electrónicas y Certificación de Empresas

En vigor desde 2001, la Ley de Empresas de Certificación y Firmas Electrónicas de Japón reconoce la exigibilidad legal de dos tipos de firmas electrónicas utilizadas en todo el mundo: Firmas electrónicas avanzadas y Firmas electrónicas calificadas.

 

Obtenga más información en nuestro libro electrónico, Firmas electrónicas y la ley: revisión de la legislación mundial . 

Singapur: Ley de transacciones electrónicas (ETA)

Establecida en 1998, esta ley proporciona la base legal para las firmas electrónicas y brinda previsibilidad y certeza a los contratos electrónicos. Según el Gobierno de Singapur, “en el mundo electrónico, las firmas escritas a mano pueden reemplazarse por firmas digitales. Al igual que las firmas escritas, las firmas digitales pueden usarse para establecer la identidad de una parte o para hacer compromisos legales. La Ley de Transacciones Electrónicas establece el reconocimiento de firmas digitales bajo la ley de Singapur ".

 

Obtenga más información en nuestro libro electrónico, Firmas electrónicas y la ley: revisión de la legislación mundial.  

 

Banca Abierta

EMEA

UE: PSD2: Directiva de servicios de pago 2

La banca abierta promete desbloquear la innovación que mejorará profundamente la experiencia bancaria e introducirá nuevos servicios financieros. Por ejemplo, los proveedores de terceros (TPP) pueden proporcionar aplicaciones que permitan a los consumidores consultar varias cuentas bancarias desde una sola aplicación, o aplicaciones que faciliten a las empresas compartir datos con sus contadores.

 

Bajo PSD2, los bancos deben ofrecer una interfaz que permita a los TPP comunicarse con ellos. De esa manera, si el consumidor desea utilizar proveedores de servicios financieros que no sean el banco, estos proveedores pueden obtener acceso a los sistemas del banco y atender a los clientes del banco a través de la interfaz de comunicación abierta.

 

La introducción de API abiertas hace que los bancos dependan de la seguridad de los TPP que utilizan estas API.  Los bancos deben adoptar una serie de medidas de seguridad técnicas y organizativas para abordar estas y otras amenazas. En el contexto de la banca abierta, los bancos pueden mitigar el riesgo de múltiples maneras:

 

  1. Usar análisis de riesgo de transacción
  2. Elija el modelo de autenticación correcto
  3. Proteja el canal de comunicación con TPP
  4. Solicitar informes de auditoría de seguridad independientes de los TPP
  5. Evite vulnerabilidades de seguridad en la implementación de API

Para obtener más información, lea este blog en API de banca abierta en PSD2 . 
 

Bahrein: Reglas del Banco Central de Bahrein (CBB) para la banca abierta

El Banco Central de Bahrein (CBB) tiene varias reglas vigentes con respecto a la banca abierta. Esto incluye una regla que los proveedores de servicios de inicio de pago (PISP) deben tener implementado un proceso de autenticación de cliente sólido. (Aprender más sobre autenticación )

 

Las reglas también implican que los clientes compartirán sus datos de inicio de sesión directamente con los proveedores de terceros, en lugar de hacerlo a través de un mecanismo basado en la redirección donde el cliente se reenvía a una pantalla de inicio de sesión operada por su banco.

 

Los proveedores de servicios de información de cuenta (AISP) tendrán prohibido acceder a la información de un cliente más allá de la que se encuentra en una cuenta designada o almacenar datos por cualquier motivo que no sea proporcionar el servicio de información de cuenta "solicitado explícitamente por el cliente".

Asia Pacífico

Nueva Zelanda: Estándares API Open Banking

Payments NZ es un grupo de bancos, procesadores y proveedores de infraestructura de la industria de pagos. Después de un piloto que duró un año, el grupo publicó estándares para API.

 

Los estándares se limitan a las API para el inicio de pagos y los servicios de información de cuenta, pero se parecen a las iniciativas de banca abierta en otros países. 

 

La Asociación de Banqueros de Nueva Zelanda dijo que los bancos del país "apoyan plenamente" el estándar común.

Hong Kong: Directriz API abierta para bancos

La Autoridad Monetaria de Hong Kong (HKMA) publicó una directriz API abierta para bancos e instituciones financieras que operan en Hong Kong.

 

En sus etapas iniciales, el marco se centra exclusivamente en la banca minorista, pero si otros bancos lo consideran apropiado, HKMA los alienta a extender el estándar a otras líneas de negocios.

Japón: enmiendas a la Ley de Banca

En junio de 2018, Japón aprobó enmiendas a su Ley de Banca que establecieron requisitos para las asociaciones entre instituciones financieras y operadores de pago fintech.

República de Corea: enmiendas a la Ley de transacciones financieras electrónicas de 2007

Para aumentar la competencia y la innovación en los sectores de servicios financieros y fintech, la República de Corea modificó su Ley de transacciones financieras electrónicas. Las enmiendas obligan a los bancos coreanos a abrir sus sistemas de pago a organizaciones fintech de terceros, así como a otros bancos.

 

Este movimiento brinda a los clientes la posibilidad de acceder a sus cuentas en diferentes bancos y realizar pagos desde una sola aplicación.

Américas

Canadá: consulta de banca abierta

El Departamento de Finanzas de Canadá estableció un Comité Asesor para investigar el potencial de una política de Banca Abierta en septiembre de 2018. Luego, el comité lanzó un documento de consulta para impulsar la conversación pública sobre si la banca abierta proporcionaría beneficios significativos; cómo deben gestionarse los riesgos relacionados con la protección del consumidor, la privacidad y la seguridad; y qué papel debe jugar el gobierno en cualquier implementación.

EE. UU .: API de banca abierta

Financial Data Exchange (FDX) es una organización sin fines de lucro de la industria financiera y subsidiaria del Centro de Análisis e Intercambio de Información de Servicios Financieros (FS-ISAC). Su misión es crear un estándar común, interoperable y libre de regalías que brinde a las empresas y consumidores un acceso seguro a sus propios datos financieros.

México: LABORA

La Oficina Digital Nacional (CEDN), en colaboración con la Comisión Nacional de Banca y Valores (CNBV), C Minds, el Open Data Institute y Dev.f lideraron un esfuerzo en toda la industria para desarrollar un estándar bancario abierto. El estándar se centró en particular en la estandarización de API y datos abiertos a través del desarrollo de un piloto. 

 

El piloto, de marca LABORA , buscó confirmar la viabilidad de la implementación de un estándar bancario abierto en México. Probó de tres a cuatro puntos finales y realizó una implementación controlada con usuarios expertos para evaluar la usabilidad, interoperabilidad y valor de las API existentes, así como la implementación de puntos finales definidos por el estándar. 
 

La información contenida en esta página es solo para fines informativos, proporcionada a partir de la fecha de publicación, y no debe considerarse como asesoramiento legal o para determinar cómo se aplica la ley a su empresa u organización. No constituye asesoramiento jurídico. Le recomendamos que busque orientación de su asesor legal con respecto a la ley que se aplica específicamente a su negocio u organización y cómo garantizar el cumplimiento.