Open banking API-rajapintojen tietoturvariskit - Elfvengren, Patrik (2023)
Avoimen tiedon saatavuudesta on tullut tavoiteltava arvo kaikilla aloilla. Tämä pätee myös rahoitusalaan, jossa EU on ennakoinut tämän suhteen ja asettanut rajat toiminnalle toisen maksupalveludirektiivin muodossa (PSD2). Tämä direktiivi edellyttää pankkeja avaamaan heidän API-rajapintansa kolmansien osapuolien maksupalveluiden tarjoajille, jotka voivat tämän avulla tuoda parannettuja palveluita markkinoille käyttäen pankin asiakkaiden pankkitietoja heidän luvallansa. Tämä direktiivi lisää läpinäkyvyyttä ja kilpailua pankkisektorilla. API (Application programming interface) on teknologia, jonka avulla kaksi eri ohjelmaa voi keskustella keskenään ja lähettää tietoa käyttäen yhteistä kieltä. Tämä rajapinta on direktiivissä mainittu suositeltavana teknologiana. API-rajapintojen yleisempiä tietoturvariskejä on tutkittu laajasti ja ne kuvataan myös tässä tutkielmassa. Toisen maksupalveludirektiivin myötä on myös syntynyt Open banking -käsite (OB), joka kuvaa tätä PSD2 mukaista toimintamallia universaalimpana käsitteenä. Tämä toimintamalli herättää luontaisesti huolta käyttäjien kallisarvoisten pankkitietojen turvallisuudesta, kun kolmansille osapuolille annetaan mahdollisuus käyttää asiakkaiden tilitietoja palveluiden tuottamisessa. Tässä tutkielmassa tunnistettiin kirjallisuuskatsauksen muodossa näitä mahdollisia riskejä API-rajapinnan teknisellä ja organisatorisella käyttöönottoon liittyvällä tasolla keräämällä tietoa olemassa olevasta tutkimustiedosta aiheesta. Aihetta ei ole entuudestaan tutkittu vielä riittävästi, johtuen koko ilmiön tuoreudesta. Tämä tutkielma auttaa tunnistamaan olemassa olevia riskejä OB API-rajapintojen kehittämiseen ja ylläpitoon liittyen.