オープンバンキングとは？テクノロジーのメリットとデメリット

オープンバンキングでは、サードパーティの決済サービスやその他の金融サービスプロバイダーが、アプリケーションプログラミングインターフェース（API）を介して、従来の銀行や金融機関の取引情報などのデータにアクセスできます。この安全なデータ相互運用性により、消費者は複数のプラットフォームにわたって金融情報にアクセスして管理できるようになり、分散型バンキングサービス、新たな決済機能、より革新的でパーソナライズされた金融サービスのビジネスモデルを活用できる可能性が広がります。

オープンバンキングを理解する

従来の銀行業務では、金融データは通常、各銀行内に分散して保管されています。顧客が自身のデータを第三者と共有する手段は限られており、データへのアクセスも銀行の閉鎖的なサービスプロバイダーのエコシステム内に制限されることが多いため、選択肢が狭まり、競争とイノベーションが阻害されています。オープンバンキングは、金融サービス業界（FSI）におけるデータ共有、競争、顧客の主体性を重視する点で、従来の銀行業務とは異なります。

オープンバンキングとは

オープンバンキングは、セキュアなAPIを通じて、金融機関と認可されたサードパーティプロバイダー間での安全なデータ共有を促進する、銀行システム向けのテクノロジーベースのフレームワークです。競争とイノベーションを促進し、顧客が金融データをより適切に管理できるようにすることで、強固なセキュリティ対策を維持しながら、消費者がより幅広い金融サービスやアプリケーションを利用できるようにします。オープンバンキングは、透明性の向上、顧客体験の強化、よりパーソナライズされた金融商品やサービスの開発促進を目的としています。

主要な関係者と構成要素

オープンバンキング環境は、安全なデータ共有と新たな金融サービスの開発を可能にするために相互に連携する、複数の主要な関係者と構成要素で成り立っています。

オープンバンキングシステムの中核を担うのは、従来型の金融サービスを提供し、顧客の口座や金融データを保有する銀行、信用組合、証券会社などの金融機関です。こうした機関に加え、オープンバンキングAPIを活用して新たな金融商品やサービスを提供するサードパーティプロバイダー（TTP）も存在します。TTPには、最新技術を活用して、より使いやすく革新的で、多くの場合はニッチな商品やサービスを生み出し、従来の金融サービス業界（FSI）の事業者に変革をもたらそうとするソフトウェア開発者や金融テクノロジー（フィンテック）企業が含まれます。また、銀行規制を監督・執行し、金融サービス業界全体におけるデータ共有とセキュリティを規定するルールや基準を策定する規制当局も、オープンバンキングのエコシステムを支える主要な担い手です。

オープンバンキングは、複数の主要テクノロジーにも支えられています。中でも重要なのがAPIです。APIは、アプリケーションが他のアプリケーション、サービス、プラットフォームと通信し、データを交換できるようにするインターフェースです。オープンバンキングでは、銀行、TTP、顧客、場合によってはデータアグリゲーターの間での通信とデータ交換を可能にします。このデータ交換を攻撃から保護するには、データプライバシーを維持し、サイバー攻撃、データ侵害、不正アクセスを防ぐために、暗号化、認証と認可、データ共有プロトコルなどの堅牢なセキュリティ対策を講じる必要があります。

オープンバンキングAPI

APIは、銀行が顧客の金融データをサードパーティプロバイダーと安全かつ標準化された方法で共有するための仕組みを提供します。

オープンバンキングにおけるAPIの役割

APIは、オープンバンキングを実現する要です。APIにより、双方は相手のアーキテクチャの詳細を把握しなくても、互いのシステムを理解し、連携できます。銀行は厳格な認可メカニズムを使用して、API経由でアクセス可能なデータをきめ細かく制御し、第三者が必要なデータのみにアクセスできるようにします。通常、APIまたはAPIゲートウェイには監査機能が備わっており、銀行はデータアクセスを監視・追跡できます。これにより、不審なアクティビティや不正なアクティビティを特定し、誰が、いつ、どのデータにアクセスしたかを記録できます。

オープンバンキングAPI標準

オープンバンキングシステム内の組織間で安全なデータ共有と交換を可能にするには、一貫性、セキュリティ、相互運用性を確保するための共通API標準とプロトコルが不可欠です。これには、以下が含まれます。

• OAuth（Open Authorization）は、APIの安全な認可と認証に広く使用される認可プロトコルです。第三者アプリケーションは、ユーザーの認証情報を公開することなく、そのユーザーのデータにアクセスできます。
• RESTful API（Representational State Transfer API）は、ネットワークアプリケーションを設計するための軽量なWeb APIアーキテクチャです。RESTful APIは、インターネットを介して異なるソフトウェアシステム間の通信とデータ交換を可能にするよう設計されており、Webサービスの構築に広く採用されています。RESTful APIはステートレスであるため、クライアントからサーバーへの各リクエストには、その内容を解釈して処理するために必要なすべての情報を含める必要があります。
• JSON Web Tokens（JWT）は、2者間でデータをコンパクトかつ自己完結型の安全な形式で転送するための、オープン標準に基づく方式です。JWTは、トークンベースの認証と認可に広く使用されています。
• SSL/TLS暗号化（https://www.f5.com/glossary/ssl-tls-encryption）は、安全なWebブラウジングを実現するセキュリティフレームワークであり、高度なセキュリティを提供し、安全な通信と認証を促進します。TLSプロトコルの最新バージョンはTLS 1.3（https://community.f5.com/t5/technical-articles/lightboard-lessons-explaining-tls-1-3/ta-p/281575）で、Perfect Forward Security（PFS）と呼ばれる重要な新しいセキュリティ機能が含まれています。PFSプロトコルで使用される鍵交換メカニズムはセッションごとに動的に生成され、そのセッションでのみ使用されます。攻撃者が現在の通信の暗号化に使用されている秘密鍵を入手した場合でも、PFSにより、過去または将来の通信を復号することはできません。

オープンバンキングAPIのユースケース

オープンバンキングAPIにより、フィンテック企業やTPPは、以下をはじめとする新しく革新的な金融ソリューションを提供できます。

• 口座情報の集約：銀行口座、クレジットカード、投資、ローンなど、複数の金融機関や口座の金融情報を1つの画面に集約し、統一されたインターフェースで財務状況の全体像を確認できるようにします。オープンバンキングAPIを使用すると、さまざまな銀行や金融機関の口座情報に安全にアクセスして取得できるため、利用者は資金管理、支出の把握、予算設定、十分な情報に基づく財務上の意思決定を行いやすくなります。
• 支払い開始は、消費者が小切手やクレジットカードなどの従来の手段を使わず、銀行口座から直接支払いを行える電子決済取引の一種です。支払開始サービスプロバイダー（PISP）は、オープンバンキングAPIを使用して、従来の決済方法よりも迅速かつ効率的に、支払元の銀行口座から受取人の銀行口座へ資金を移動します。多くの場合、取引手数料も低く抑えられます。
• 信用スコアリング：消費者の金融履歴や行動に基づいて信用力を評価します。オープンバンキングAPIを通じて金融データをリアルタイムで取得し、より正確で十分な情報に基づく信用プロファイルを作成します。

オープンバンキングは安全ですか？

オープンバンキングでは、金融データと取引の機密性、完全性、可用性を保護するため、複数のセキュリティ対策が講じられています。これらの対策によってオープンバンキングの安全性は大幅に向上しますが、リスクがまったくないシステムはありません。サイバーセキュリティの脅威は絶えず進化しており、脆弱性が生じる可能性もあります。オープンバンキングは一般に安全ですが、そのセキュリティは、標準化されたセキュリティ対策の実施と規制の遵守に大きく左右されます。

欧州連合では、オープンバンキングはPSD2（改正決済サービス指令2）に基づく強固な規制の枠組みによって管理されており、銀行とTPPの双方に対して、強力な顧客認証、データ保護、セキュリティ基準が義務付けられています。一方、米国にはオープンバンキングに特化した規制の枠組みはありませんが、米国内の銀行関連業務には、通貨監督庁（OCC）、連邦準備制度、消費者金融保護局（CFPB）などの連邦機関が所管する既存の金融規制やデータ保護法が複合的に適用されます。米国では、Financial Data Exchange（https://www.f5.com/company/blog/key-learnings-from-fdx-global-summit）（FDX）も一定の役割を担っています。FDXは、北米の大手金融サービス機関の代表者で構成される非営利団体であり、相互運用可能な共通データ標準としてFDX API標準の策定に取り組んでいます。

さらに、オープンバンキングソリューションは、金融データと取引の機密性、完全性、可用性を保護するためのセキュリティ対策を備えるよう設計されています。銀行とTPPは、不正アクセスを防止し、攻撃から保護するため、アクセス制御、レート制限、脅威監視など、APIに対する堅牢なセキュリティ対策を実装する必要があります。また、オープンバンキングでは、金融データへのアクセスや支払いの開始に強力な顧客認証が求められるほか、銀行、TPP、消費者間のデータ伝送を保護するために暗号化プロトコルが組み込まれています。

オープンバンキングのメリット

オープンバンキングは、より現代的なデジタル金融サービスと、多くの既存銀行との連携を加速します。消費者に多くのメリットをもたらし、金融サービスをより顧客中心で効率的、かつ誰もが利用しやすいものへと変革する可能性があります。

顧客体験の向上

オープンバンキングにより、単一の銀行では通常提供できない、より幅広い金融商品やサービスを利用できます。さまざまなサービスを1つの統合ダッシュボードにまとめることで、多くの場合、単一のモバイルアプリやプラットフォームを通じて、異なる銀行や金融機関の複数の口座を一元的に確認・管理できます。これにより資産管理が容易になり、財務状況を包括的に把握できます。厳格なアクセスセキュリティを維持しながら、CAPTCHAなどのセキュリティ質問やMFAメカニズムを不要にするフリクションレス認証（https://www.f5.com/solutions/use-cases/frictionless-authentication）対応サービスを利用すれば、カスタマーエクスペリエンスをさらに効率化できます。

競争の激化とイノベーションの促進

オープンバンキングは、従来の障壁を取り払い、新規参入企業が新たな金融商品やサービスを提供できるようにすることで、金融業界における競争の激化とイノベーションを促進します。こうした新規参入企業は、銀行業務や金融に新たなアプローチを取り入れることで、既存の銀行や金融機関に対抗できるほか、お客さまの資金面のニーズや目標により適した、個別化された金融商品やサービスを提供できます。また、銀行とTPP間の競争が激化することで、金融商品やサービスの価格が下がり、お客さまは手数料の引き下げ、金利の改善、取引条件の向上といったメリットを得られる可能性があります。

金融包摂とアクセシビリティ

オープンバンキングは、従来の信用履歴を持たず、金融サービスを十分に利用できていない人々へのサービス拡大にも役立ちます。公共料金の支払いや家賃の支払履歴など、従来とは異なる金融情報を評価することで、通常であれば利用を断られる可能性のある融資や金融商品を利用できるようになる場合があります。

オープンバンキングの課題と懸念事項

オープンバンキングには多くのメリットがある一方、導入を成功させ、普及を促進するために対処すべき課題や懸念事項もいくつかあります。

データプライバシーとセキュリティ

オープンバンキングでは、取り扱う金融情報の機密性が高いため、顧客データが盗まれたり悪用されたりする可能性が大きな懸念となっています。顧客データの保護を支援し、許可された範囲でのみアクセスおよび使用されるようにするための厳格なセキュリティ対策（https://www.f5.com/glossary/owasp-api-security-top-10）を講じ、顧客が自身の金融データを引き続き管理できるという確信を得られるようにする必要があります。セキュリティが脆弱な場合、データ漏えいが発生し、機密性の高い顧客情報がサイバー犯罪者や悪意のある攻撃者にさらされるおそれがあります。

規制遵守

オープンバンキングを取り巻く規制環境は、欧州のPSD2（https://www.f5.com/resources/solution-guides/psd2-security-customer-authentication-solution-overview）のように地域ごとに基準が異なるため、複雑になる場合があります。金融機関やTPPがコンプライアンス基準の異なる複数の国で事業を展開する場合、各国の規制に対応する必要があります。また、異なるシステム間の相互運用性を確保しながら、複数の規制枠組みに準拠することは、技術的に困難な場合があります。さらに、製品やサービスが規制上の境界をまたぐ場合、オープンバンキング基準を効果的に適用し、違反した当事者の責任を問うことが難しくなる可能性があります。

データ侵害と不正行為のリスク

銀行とTPPの間で顧客の金融データを共有すると、データ侵害のリスクが高まるため、顧客情報と口座情報を保護するには、堅牢な認証と暗号化が極めて重要です。また、顧客の金融データをTPPやオープンバンキングのエコシステム内の他の当事者と共有するために、顧客から明示的な同意を取得し、その同意を追跡、管理するプロセスは複雑になりがちです。顧客の同意が不正に利用されず、データ保護およびプライバシーに関する規制に従って、顧客の明示的な許可がある場合に限り顧客データへのアクセスと利用が行われるようにするには、明確で使いやすい同意の仕組みが必要です。

オープンバンキングの未来

より現代的な銀行サービスを求める顧客ニーズが高まる中、オープンバンキングは今後も大きく成長していくでしょう。また、テクノロジーの進歩、セキュリティへの関心の高まり、サイバー攻撃の蔓延も、オープンバンキングの進化に影響を及ぼします。

オープンバンキング技術の進化

人工知能（AI）やブロックチェーンなどの新興技術は、セキュリティを強化し、革新的な金融サービスを実現することで、オープンバンキングの将来に大きな影響を与える可能性があります。AIを活用したセキュリティソリューションは、膨大なデータをリアルタイムで分析して不正行為や異常を検知できます。また、より堅牢な本人確認を可能にすることで、オープンバンキングプラットフォーム全体のセキュリティを強化できます。ブロックチェーン技術は、分散型金融アプリケーションの中核を担います。分散型金融では、金融資産の融資、借り入れ、取引を分散型の仕組みで行い、個人間の直接的なピアツーピア取引を可能にすることで、銀行や決済代行事業者などの従来の仲介機関を介さずに取引できます。こうしたイノベーションは、従来の銀行サービスにさらなる変革をもたらし、オープンバンキングの範囲を拡大する可能性があります。

さらに、規制の変更、技術の進歩、消費者の需要を背景に、相互接続性と競争力がより高いグローバルな金融環境の実現に向けた機運が高まっています。オープンバンキングの規制や標準を採用する国が増え、その取り組みが拡大し続ける中、国境を越えた相互運用性の確保が極めて重要になります。金融データやサービスを国境を越えてシームレスにやり取りし、海外への渡航時や国際的な事業展開時にも金融サービスを円滑に利用できるようにするには、標準化されたプロトコルと手法が必要です。

オープンバンキングは、金融業界におけるビジネスを、商品中心から顧客中心へと根本的に転換するものでもあります。顧客を戦略の中心に据え、個々のニーズに応じたサービスや体験を重視します。また、オープンバンキング事業者は、データ分析とAIを活用し、変化する顧客ニーズに応じたアドバイス、投資の選択肢、貯蓄戦略を提供できる可能性があります。

銀行業界に起こり得る変革

オープンバンキングによって銀行サービス全体の利便性が向上すると顧客が感じる可能性がある一方、その進展は銀行業界に混乱をもたらすこともあります。競争の激化により、従来型の銀行はサービスの改善、手数料の引き下げ、イノベーションを迫られます。レガシーITシステムを抱える従来型の銀行は、技術的な制約やシステム更新にかかる高額なコストにより、オープンバンキングへの対応に苦慮し、より機動力の高いフィンテック企業との競争についていけない可能性があります。また、オープンバンキングによって金融取引における仲介者の必要性が低下し、従来型の銀行を介さずに取引できる可能性もあります。こうした「中抜き」は、銀行の融資組成手数料や収益源に影響を及ぼす可能性があります。

しかし、オープンバンキングへの新規参入企業と従来の金融機関は、必ずしも対立する必要はありません。従来型銀行とフィンテック企業が連携することで、双方にメリットのあるパートナーシップを構築でき、従来型銀行は競争力を維持しながら、イノベーションを推進し、提供内容を強化できます。フィンテック企業との連携により、従来型銀行は多様なニーズや嗜好に応える幅広い金融商品やサービスを顧客に提供し、これまで開拓できていなかった市場や顧客層にもリーチできます。オープンバンキングは、双方が互いの強みと提供内容を補完し合う機会を生み出します。

F5がどのように支援できるか

オープンバンキングでは、複数のプラットフォームにまたがる金融情報へのアクセスと管理が可能になり、分散型バンキングサービス、新たな決済機能、より革新的でパーソナライズされた金融サービスのビジネスモデルを提供できる可能性があります。一方、オープンバンキングのエコシステムで金融データを共有すると、サイバーセキュリティとデータプライバシーに関するさまざまなリスクが生じます。そのため、銀行とTPPは、プライバシーを維持し、サイバー攻撃、データ侵害、不正アクセスから保護するために、暗号化、認証と認可、データ共有プロトコルなど、APIに対する堅牢なセキュリティ対策を実装する必要があります。

F5は、API、アプリ、およびそれらが支えるオープンバンキングサービスを強力に保護する、銀行・金融サービス向けの包括的なサイバーセキュリティ（https://www.f5.com/solutions/banking-and-financial-services/cybersecurity-for-financial-services）製品群を提供しています。これらのソリューションは、さまざまなアーキテクチャ、クラウド、エコシステム連携にわたってAPIとアプリを保護（https://www.f5.com/solutions/use-cases/api-security）し、リスクと運用の複雑さを軽減するとともに、APIセキュリティの総コストを削減します。F5ソリューションが、ポジティブAPIセキュリティモデルを組み込むことで、金融サービス業界のデジタルイノベーションを支援しながらリスク管理を改善し、オープンバンキングAPIを保護（https://www.f5.com/solutions/banking-and-financial-services/open-banking）する仕組みをご覧ください。