Açık bankacılık denildiğinde çoğu kişi şunu düşünür:
“Bankalar verilerimi üçüncü taraflarla paylaşıyor.”
Bu cümle teknik olarak doğrudur.
Ama eksiktir.
Çünkü açık bankacılıkta asıl mesele verinin paylaşılması değil, veriye hangi kapıdan, hangi şartla ve ne kadar süreyle erişildiğidir.
Bu yüzden açık bankacılığı en doğru anlatan kavram şudur:
GEÇİT.
Açık Bankacılık Bir Depo Değil, Bir Geçittir
Açık bankacılık sistemleri:
– veriyi üçüncü tarafa taşımaz, – veriyi kopyalamaz, – veriyi serbest bırakmaz.
Şunu yapar:
Belirli bir süre için, belirli bir kapsamla erişim izni verir.
Yani üçüncü taraf, bankanın içine girmez.
Bankanın açtığı kontrollü bir geçitten bakar.
Risk de tam burada başlar.
GEÇİT Mantığında Güvenlik Nerede Kurulur?
Bir geçidin güvenliği üç soruya bağlıdır:
– kim geçiyor? – neye bakıyor? – ne kadar süreyle?
Açık bankacılıkta da risk bu üçlü bozulduğunda ortaya çıkar.
1) “Kim Geçiyor?” Sorusu Zayıfladığında
Kullanıcı çoğu zaman şuna odaklanır:
“Uygulama güvenilir mi?”
Asıl soru ise şudur:
Bu uygulama adına kim, hangi yetkiyle erişiyor?
Riskli senaryolar:
– lisanslı ama zayıf güvenlik pratiği olan üçüncü taraflar – alt hizmet sağlayıcıların zincirleme erişimi – yetki devri net olmayan entegrasyonlar
Geçitten geçen kişi net değilse, veri güvenliği kağıt üzerinde kalır.
2) “Neye Bakıyor?” Sorusu Genişlediğinde
Açık bankacılıkta veri paylaşımı çoğu zaman paketler hâlindedir.
Kullanıcı ekranda şunu görür:
“Hesap bilgilerinize erişilecek.”
Ama bu cümle şunları kapsayabilir:
– bakiye – işlem geçmişi – alıcı/gönderici ilişkileri – düzenli ödeme alışkanlıkları
Risk, ihtiyacın ötesinde veri açıldığında oluşur.
Gereğinden geniş yetki, açık bankacılıktaki en sessiz risk alanıdır.
3) “Ne Kadar Süreyle?” Sorusu Unutulduğunda
Birçok kullanıcı erişimi bir kez verir ve bir daha dönüp bakmaz.
Oysa açık bankacılıkta risk şuradadır:
Süresi dolmayan, unutulmuş erişimler.
– artık kullanılmayan uygulamalar – silinmiş ama yetkisi duran servisler – arka planda veri okumaya devam eden entegrasyonlar
Geçit açık kaldıkça, risk zamana yayılır.
“Onayladım” Anı Neden Kritik?
Açık bankacılıkta en kritik an:
ilk onaydır.
Çünkü bu anda:
– veri kapsamı belirlenir – süre tanımlanır – üçüncü taraf yetkilendirilir
Kullanıcı bu adımı “teknik formalite” olarak görürse, kontrolü tamamen sisteme bırakır.
Ve sistem, kullanıcı adına en geniş senaryoyu seçebilir.
Risk API’de Değil, Davranışta Birikir
Açık bankacılık saldırılarının büyük kısmı:
– API kırarak, – şifre çalarak, – sistemi hackleyerek
gerçekleşmez.
Şöyle olur:
Kullanıcı doğru kapıyı, yanlış alışkanlıkla açar.
Risk teknik değil;
operasyoneldir.
Kullanıcılar İçin 4 Net Güvenlik Disiplini
1. Açık bankacılık izni verdiğiniz uygulamaları 3 ayda bir kontrol edin.
2. “Hepsi” yerine “gerekli olan” veri kapsamını seçin.
3. Kullanmadığınız uygulamaların erişimini iptal edin.
4. Aynı veriye erişen birden fazla uygulamayı normalleştirmeyin.
Kurumlar İçin Asıl Sorumluluk
Kurumlar açısından açık bankacılık güvenliği;
– API açmak değil, – yetkiyi anlamlı daraltmak, – kullanıcıyı doğru bilgilendirmek
ile sağlanır.
“Yasal onay aldık” demek yeterli değildir.
Onayın neye karşılık geldiğini anlaşılır kılmak gerekir.
Açık bankacılıkta güvenlik sorusu şudur:
“Veri paylaşılıyor mu?” değil, “hangi geçitten, hangi kapsamla, ne kadar süreyle?”
GEÇİT mantığı doğru kurulursa, açık bankacılık güçlü bir ekosistem üretir.
Yanlış kurulduğunda ise risk sessizce birikir.
Veri paylaşımı kaçınılmaz olabilir; ama geçidin kontrolü her zaman mümkündür.
