Cinco áreas em que uma proteção aprimorada de APIs reforça a segurança nos serviços financeiros

Joshua Goldfarb

A segurança de APIs é um tema em alta atualmente, e não é por acaso. Se pararmos para pensar, a maioria das organizações de serviços financeiros passou a se assemelhar mais a empresas de tecnologia. Elas são constantemente pressionadas a inovar e acompanhar as FinTechs, que estão elevando o padrão no atendimento às demandas dos clientes digitais — ou até mesmo a firmar parcerias com elas. O ecossistema de serviços financeiros que surgiu dessa evolução, incorporando FinTechs por meio de APIs, impulsionou significativamente o movimento de finanças abertas. Com isso, as instituições de serviços financeiros dependem mais do que nunca das APIs para manter seus negócios em funcionamento.

Como era de se esperar, à medida que os bancos perceberam a importância das APIs, os invasores também perceberam. APIs essenciais para os negócios são constantemente visadas por invasores, que sabem que podem lucrar ou obter outros benefícios ao explorar, usar indevidamente e/ou comprometer APIs. Ao mesmo tempo, a superfície de ataque se ampliou significativamente nos últimos anos. Isso se deve, em grande parte, ao aumento da complexidade e da dificuldade de gerenciar ambientes híbridos e multinuvem que se disseminaram pelo setor. Tudo isso gera impactos significativos para os negócios, como violações de dados em larga escala, problemas de conformidade e multas regulatórias.

É claro que nem todas as notícias são ruins. Quando as organizações de serviços financeiros trabalham com um parceiro de confiança, elas conseguem se proteger melhor contra ameaças às suas APIs. Vejamos cinco áreas em que o parceiro de confiança certo pode ajudar a aprimorar a segurança das APIs.

1. Desenvolvimento: As equipes de desenvolvimento enfrentam um grande desafio. Por um lado, precisam cumprir prazos rigorosos para desenvolver as funcionalidades necessárias e fazê-las funcionar. Por outro, desenvolvem APIs de acordo com os requisitos definidos pela equipe de segurança. No entanto, não há uma forma efetiva de aplicar esses requisitos ou verificar seu cumprimento. É claro que o código pode ser auditado e revisado, mas esse é um processo trabalhoso e demorado, sujeito a erros humanos e falhas de supervisão. Além disso, na maioria das vezes, esse processo acaba ficando em segundo plano diante de outras prioridades urgentes. Na maioria das empresas, o número de desenvolvedores costuma ser significativamente maior que o de profissionais de segurança, o que gera um problema de escala. Como resultado, bugs, falhas de supervisão e vulnerabilidades passam pelo processo de desenvolvimento e chegam às APIs em produção. Somente a automação pode ajudar a ampliar os controles de segurança, evitando que a equipe de segurança se torne um obstáculo e reduza o ritmo exigido pelos negócios. Trabalhar com um parceiro confiável para aplicar automaticamente esquemas, padrões e políticas é uma abordagem melhor.
2. Controle de acesso: Acredite ou não, controlar quem tem acesso a quais APIs ainda é um desafio. Considerando a complexidade das empresas modernas, talvez isso não seja tão difícil de acreditar. A maioria das empresas utiliza dois ou mais provedores de nuvem, além de ambientes locais e/ou de data center. Em geral, são necessárias várias equipes para gerenciar as estruturas de rede, tecnologia, desenvolvimento e segurança em cada um desses diferentes locais. Portanto, não é de surpreender que controlar (e monitorar) o acesso às APIs tenha se tornado um grande desafio. Na verdade, quatro dos 10 principais riscos de segurança de APIs da OWASP de 2023 estão relacionados à autenticação/autorização. O provedor confiável certo pode ajudar a simplificar essa complexidade e trazer tranquilidade às equipes sobrecarregadas. Isso permite que a empresa se concentre totalmente em operar, manter e proteger esses ambientes, inclusive por meio de um controle de acesso adequado.
3. APIs não autorizadas: Às vezes, os processos formais levam o tempo necessário, e os desenvolvedores implementam novas infraestruturas e endpoints para cumprir um prazo de desenvolvimento. Ou talvez algumas infraestruturas e endpoints tenham passado despercebidos e nunca tenham sido devidamente inventariados, gerenciados, monitorados e protegidos. Seja qual for o motivo, existem APIs não autorizadas. Quando uma API é desconhecida, ela não pode ser inventariada, gerenciada, monitorada nem protegida. Um parceiro confiável e competente ajudará a empresa não apenas a detectar APIs desconhecidas, mas também a protegê-las.
4. WAF não é suficiente: Não há dúvida de que os firewalls de aplicações web (WAFs) são um elemento essencial de uma arquitetura de segurança. Os WAFs oferecem proteção importante contra uma ampla variedade de ameaças. No entanto, eles nunca foram concebidos para impedir todos os tipos de ataques direcionados diariamente às APIs. Além disso, as APIs estão evoluindo rapidamente, o que significa que passam a apresentar classes totalmente novas de vulnerabilidades que podem não ser detectadas pelos controles de segurança. A oferta de um parceiro confiável só é completa se fornecer, além do WAF e de forma integrada ao WAF, recursos avançados para identificar e mitigar vulnerabilidades de APIs.
5. Ataques sofisticados: Já se foi o tempo em que as aplicações eram alvo de ataques conhecidos e comuns. Invasores sofisticados lançam ataques sofisticados — especificamente aqueles que passam despercebidos para expor fluxos de negócios confidenciais, extrair dados, cometer fraudes, derrubar aplicações e arruinar reputações. Isso inclui tanto ataques manuais quanto ataques automatizados (bots). Identificar, detectar e mitigar esses tipos sofisticados de ataque exige conhecimento especializado. A defesa contra os ataques mais sofisticados deve fazer parte da oferta de segurança de APIs de qualquer parceiro confiável.

É claro que esta não é uma lista exaustiva. Cada organização de serviços financeiros deve analisar seu registro de riscos para entender quais riscos e ameaças provavelmente terão o maior impacto sobre os negócios. Aqueles com maior probabilidade de causar um impacto mais grave podem receber prioridade mais alta. No entanto, é importante observar que muitos líderes talvez não saibam avaliar da maneira mais eficaz a verdadeira dimensão dos riscos de segurança de APIs. Isso torna ainda mais importante trabalhar com o parceiro certo. Idealmente, os riscos relacionados à segurança de APIs devem ocupar uma posição de destaque na lista, tornando-se um tema prioritário que merece investimentos. Isso inclui trabalhar com o parceiro certo, que compreenda a importância da segurança de APIs e ofereça as soluções adequadas.

Para saber mais, acesse Cibersegurança para bancos e serviços financeiros.

Sobre o autor

Joshua Goldfarb

Mais publicações de Joshua Goldfarb