Basta la parola
fintech a mettere in ansia i CIO delle banche tradizionali, ai quali si chiede una infrastruttura IT abbastanza elastica da
supportare sempre nuovi servizi in stile (appunto) fintech e di farlo in tempi rapidi. Ma anche le banche oggi considerate innovative non possono riposare sugli allori: abituati al nuovo,
i clienti chiedono sempre di più in termini di servizi e di comodità con cui fruirne. Dal punto di vista della
tutela delle transazioni finanziarie questa ricerca di elasticità e comodità comporta, per tutte le banche, vari problemi.
Il primo è che qualsiasi forma di protezione
implica una certa rigidità, mentre gli utenti cercano assoluta semplicità nell'accesso alle funzioni bancarie. Il secondo è quasi concettuale: in uno scenario in cui il cliente vuole usare una
molteplicità di canali digitali (home banking, ATM evoluti, mobile banking, sistemi di pagamento alla Apple Pay...), in qualsiasi momento e ovunque, per una banca l'obiettivo non è più garantire la sicurezza "a priori" dei sistemi (cosa impossibile, perché i parametri in gioco sono troppi) ma
gestire il rischio insito in ogni singolo accesso.
Il punto di vista di
OneSpan - software house già nota come Vasco Data Security - è che questa gestione granulare della sicurezza delle operazioni bancarie
sia effettivamente possibile. Serve però avere in tempo reale a disposizione la massima quantità possibile di informazioni sugli elementi in gioco (cliente, canale, operazione) per analizzarli a dovere con funzioni di machine learning. In estrema sintesi, questo è l'approccio che OneSpan ha seguito per sviluppare la sua
Trusted Identity Platform, che offre come
servizio SaaS in cloud.
Il principio chiave della Trusted Identity Platform è la cosiddetta
Intelligent Adaptive Authentication, ossia una forma di identificazione dell'utente che cerca di unire le esigenze di semplicità d'uso con quelle di sicurezza. Nell'era del mobile banking il
token di identificazione è lo smartphone del cliente, che però è solo un tassello nella catena di analisi del rischio del singolo accesso.
Non basta cioè l'identificazione allo smartphone, ad esempio via impronte digitali o riconoscimento facciale, per sbloccare qualsiasi operazione bancaria.
La Intelligent Adaptive Authentication prevede innanzitutto un
controllo sull'integrità del dispositivo e del suo ambiente software. Parallelamente esegue una serie di
verifiche sui dati di contesto e di analisi comportamentale, ad esempio valutando se l'accesso ai servizi bancari sta avvenendo da luoghi o in ore del giorno "improbabili", oppure se il modo stesso di usare l'app di mobile banking di chi sta operando in quel momento è quello "normale" già noto.
La Trusted Identity Platform passa poi ad
analizzare i dati della transazione richiesta. Qui entrano in gioco elementi più tradizionali di analisi del rischio, che anche in funzione del comportamento storico del singolo cliente arrivano a definire se l'operazione vada considerata lecita o piuttosto un tentativo di frode. A seconda di questa valutazione l'operazione richiesta può essere completata immediatamente, rigettata oppure accettata
ma con ulteriori controlli sull'identità dell'utente.
OneSpan punta in modo particolare sulla granularità della Trusted Identity Platform. L'idea è quella di non avere semplici controlli "binari" per tutti i clienti ma permettere alle banche di
definire un profilo di rischio specifico e dinamico per ciascuno di loro. Così un nuovo cliente può trovarsi di fronte a più controlli rispetto a uno già noto, oppure un medesimo utente può passare più o meno verifiche in funzione dell'importo dell'operazione che chiede di eseguire.
L'efficacia di questo modello è
proporzionale alla quantità di dati a cui la Trusted Identity Platform ha accesso. Anche per questo è un servizio SaaS: in cloud è più facile realizzare integrazioni ed inoltre il cloud è
la destinazione dell'IT di sempre più banche. Aiuta anche il fatto che la piattaforma di OneSpan preveda
una serie di API aperte tramite cui integrarsi con altre soluzioni, che possono fornirle ulteriori dati di analisi.
L'impostazione aperta della Trusted Identity Platform serve anche a
garantirne l'evoluzione futura. mettendola in grado di supportare le novità tecnologiche e di servizio richieste sia dalle banche sia dai loro clienti. "
La soluzione - ha spiegato
Giovanni Verhaeghe, Vice President Corporate Development and Hardware Operations di OneSpan -
deve comunque adattarsi al fatto che tutto cambia... In futuro ad esempio non useremo più il mobile banking, anche se oggi ci sembra così innovativo, ma qualcos'altro".