Cinco áreas en las que una mejor protección de las API refuerza la seguridad en los servicios financieros

Joshua Goldfarb

La seguridad de las API es un tema de plena actualidad, y con razón. Si lo pensamos bien, la mayoría de las organizaciones de servicios financieros se han convertido en empresas cada vez más parecidas a las tecnológicas. Se ven sometidas a una presión constante para innovar y seguir el ritmo de las FinTech, que están elevando el listón a la hora de satisfacer las demandas de los clientes digitales, o incluso para colaborar con ellas. La consiguiente evolución del ecosistema de servicios financieros, que integra a las FinTech mediante API, ha impulsado considerablemente el movimiento de las finanzas abiertas. Esto hace que las entidades de servicios financieros dependan más que nunca de las API para el funcionamiento de su negocio.

Como era de esperar, al igual que los bancos han comprendido la importancia de las API, también lo han hecho los atacantes. Las API críticas para el negocio son objeto constante de ataques por parte de quienes saben que pueden obtener beneficios económicos o de otro tipo explotándolas, haciendo un uso indebido de ellas o comprometiéndolas. Al mismo tiempo, la superficie de ataque se ha ampliado considerablemente en los últimos años. Esto se debe, en gran medida, al aumento de la complejidad y de la dificultad para gestionar entornos híbridos y multinube que se ha extendido por todo el sector. Todo ello tiene importantes repercusiones empresariales, como filtraciones de datos a gran escala, problemas de cumplimiento normativo y sanciones regulatorias.

Por supuesto, no todo son malas noticias. Cuando las organizaciones de servicios financieros trabajan con un socio de confianza, pueden protegerse mejor frente a las amenazas que afectan a sus API. Veamos cinco áreas en las que el socio de confianza adecuado puede ayudar a mejorar la seguridad de las API.

1. Desarrollo: Los equipos de desarrollo se enfrentan a un reto difícil. Por un lado, tienen plazos estrictos para desarrollar las funcionalidades necesarias y conseguir que funcionen. Por otro, desarrollan las API conforme a los requisitos definidos por el equipo de seguridad. Sin embargo, no existe una forma eficaz de aplicar esos requisitos ni de comprobar su cumplimiento. Es cierto que el código se puede auditar y revisar, pero se trata de un proceso tedioso y lento, propenso a errores humanos y descuidos. Además, suele quedar relegado frente a otras prioridades más urgentes. En la mayoría de las empresas, el número de desarrolladores suele superar con creces al de profesionales de la seguridad, lo que genera un problema de escalabilidad. Como resultado, los fallos, los descuidos y las vulnerabilidades atraviesan el proceso de desarrollo y llegan a las API de producción. Solo la automatización permite ampliar los controles de seguridad sin que el equipo de seguridad se convierta en un obstáculo ni ralentice el ritmo que exige el negocio. Una opción mejor es trabajar con un socio de confianza para aplicar automáticamente esquemas, estándares y políticas.
2. Control de acceso: Aunque parezca increíble, controlar quién tiene acceso a qué API sigue siendo todo un reto. Si tenemos en cuenta la complejidad de las empresas modernas, quizá no resulte tan difícil de creer. La mayoría de las empresas trabajan con dos o más proveedores de servicios en la nube, además de contar con entornos locales o de centros de datos. Por lo general, se necesitan varios equipos para gestionar las redes y las infraestructuras tecnológicas, de desarrollo y de seguridad en cada una de estas ubicaciones dispares. Por tanto, no es de extrañar que controlar (y supervisar) el acceso a las API se haya convertido en un reto importante. De hecho, cuatro de los 10 principales riesgos de seguridad de las API de OWASP de 2023 están relacionados con la autenticación o la autorización. Un proveedor de confianza adecuado puede ayudar a simplificar esta complejidad y aliviar la sobrecarga. Esto permite a la empresa centrarse plenamente en el funcionamiento, el mantenimiento y la protección de dichos entornos, incluido un control de acceso adecuado.
3. API no autorizadas: A veces, los procesos formales requieren su tiempo y los desarrolladores ponen en marcha nuevas infraestructuras y endpoints para cumplir un plazo de desarrollo. O quizá algunas infraestructuras y endpoints pasaron desapercibidos y nunca se inventariaron, gestionaron, supervisaron ni protegieron adecuadamente. Sea cual sea el motivo, existen API no autorizadas. Si no se conoce una API, no se puede inventariar, gestionar, supervisar ni proteger. Un buen socio de confianza ayudará a la empresa no solo a detectar API desconocidas, sino también a protegerlas.
4. Un WAF no es suficiente: No cabe duda de que los firewalls de aplicaciones web (WAF) son un elemento esencial de cualquier conjunto de soluciones de seguridad. Los WAF ofrecen una protección importante frente a una amplia variedad de amenazas. Sin embargo, nunca se concibieron como una solución capaz de detener todos los tipos de ataques que reciben las API a diario. Además, las API evolucionan rápidamente, lo que da lugar a clases de vulnerabilidades completamente nuevas que pueden pasar inadvertidas para los controles de seguridad. La oferta de un socio de confianza no está completa si no proporciona, además de estar integrada con el WAF, funcionalidades avanzadas para identificar y mitigar las vulnerabilidades de las API.
5. Ataques sofisticados: Atrás quedaron los días en que las aplicaciones eran objeto de ataques conocidos y habituales. Los atacantes sofisticados lanzan ataques avanzados, concretamente aquellos que pasan desapercibidos para dejar al descubierto flujos de negocio sensibles, extraer datos, cometer fraudes, inutilizar aplicaciones y dañar la reputación. Esto incluye tanto ataques manuales como automatizados (bots). Para identificar, detectar y mitigar estos tipos de ataques sofisticados se requieren conocimientos especializados. La protección frente a los ataques más sofisticados debe formar parte de la oferta de seguridad de las API de cualquier socio de confianza.

Por supuesto, esta no es una lista exhaustiva. Cada organización de servicios financieros debe revisar su registro de riesgos para determinar qué riesgos y amenazas pueden tener un mayor impacto en el negocio. Se puede dar mayor prioridad a aquellos que probablemente tengan consecuencias más graves. Sin embargo, es importante señalar que muchos responsables quizá no sepan cómo evaluar de la forma más eficaz el verdadero alcance del riesgo para la seguridad de las API. Por ello, trabajar con el socio adecuado cobra aún más importancia. Lo ideal es que los riesgos relacionados con la seguridad de las API ocupen un lugar destacado en la lista, convirtiéndose así en un asunto prioritario que merece inversión. Esto incluye colaborar con el socio adecuado, que comprenda la importancia de la seguridad de las API y aporte las soluciones idóneas.

Para obtener más información, visite Ciberseguridad para la banca y los servicios financieros.

Sobre el autor

Joshua Goldfarb

Más artículos de Joshua Goldfarb