El día 15, la Agencia de Servicios FinancierosPublicación de un proyecto de revisión parcial de las "Directrices integrales para la supervisión de los operadores de negocios de instrumentos financieros, etc." Hemos comenzado a aceptar comentarios públicos bajo el título. La fecha límite es el lunes 18 de agosto a las 17:00 h (debe llegar antes de esta fecha).
Esta modificación se realiza a la luz de los frecuentes casos de acceso no autorizado y comercio no autorizado (comercio por parte de terceros) en servicios de comercio por Internet utilizando información de clientes (ID de inicio de sesión, contraseñas, etc.) robada de sitios de phishing camuflados como sitios web de compañías de valores, con el fin de fortalecer los métodos de autenticación y las medidas de prevención del fraude en el comercio por Internet.
¿Qué podría interesar a los lectores de este blog? (Apéndice 1)
Directrices para la ciberseguridad en el sector financieroやDirectrices de la Asociación de Corredores de Valores de Japón para prevenir el acceso no autorizado en las operaciones por InternetSi se adoptan las medidas de seguridad adecuadas al contenido de los servicios prestados, teniendo en cuenta lo anterior.Ataques "man-in-the-middle" y "man-in-the-browser"¿Estás tomando en consideración lo siguiente?
(Omitido)
Durante operaciones importantes como iniciar sesión, retirar fondos y cambiar la cuenta bancaria de retiroAutenticación multifactor resistente al phishing(Ejemplo: autenticación con clave de acceso, autenticación basada en PKI (infraestructura de clave pública))Implementación y Obligatoriedad(establecer como predeterminado)
(Fuente) Agencia de Servicios FinancierosRevisión parcial de las «Directrices integrales para la supervisión de los operadores de instrumentos financieros, etc.» (borrador) [Tabla comparativa de las directrices antiguas y nuevas]
La autenticación resistente al phishing ahora es obligatoria. Aquí explicamos por qué es importante:La amenaza del phishing en tiempo real que no se puede prevenir con contraseñas de un solo uso: La verdadera naturaleza de la resistencia al phishing mediante claves de acceso.Consulte también lo anterior. Por otro lado, creo que existe cierto debate sobre si la autenticación multifactor es necesaria. Como ya he dicho, creo que es hora de dejar atrás la "maldición de la autenticación multifactor" y centrarse más en las amenazas a las que responde.
Otros materiales incluyen:
(Apéndice 1)Revisión parcial de las «Directrices integrales para la supervisión de los operadores de instrumentos financieros, etc.» (borrador) [Tabla comparativa de las directrices antiguas y nuevas]
(Apéndice 2)Revisión parcial de las «Directrices de supervisión para las agencias de calificación crediticia» (borrador) [Tabla comparativa de las anteriores y las nuevas]
(Apéndice 3)Revisión parcial (borrador) de las "Directrices de supervisión para operadores de alta velocidad" [Tabla comparativa de versiones anteriores y nuevas]
(Apéndice 4)Revisión parcial (borrador) de las "Directrices de supervisión para operadores de negocios relacionados con la gestión de inversiones" [Tabla comparativa de versiones anteriores y nuevas]
Por otro lado, hay algunos informes incomprensibles: ¡la autenticación biométrica no será obligatoria!
Por otro lado, hay algunos informes que son difíciles de entender. Un ejemplo típico es el del Nikkei.La Agencia de Servicios Financieros y la Asociación de Distribuidores de Valores de Japón emiten nuevas directrices para hacer obligatoria la autenticación biométrica y así prevenir el secuestro de cuentas de valores." Nikkin tambiénLa Agencia de Servicios Financieros propone reforzar las medidas contra el robo de cuentas de valores, haciendo obligatoria la autenticación biométrica y multifactorial.El artículo dice lo siguiente:
Sin embargo, las directrices de supervisión revisadas mencionadas anteriormente no mencionan la "autenticación biométrica". Se da una clave de acceso como ejemplo, pero una clave de acceso no es autenticación biométrica. Ojalá escribieran sobre esto adecuadamente, en lugar de simplemente evadir la trampa de "es fácil de entender". Lo importante esta vez es...Autenticación multifactor obligatoria resistente al phishingSí, no es autenticación biométrica. Obviamente, no se puede realizar una autenticación biométrica local y luego enviar la contraseña al sitio.
Así que me gustaría pedir a los medios de comunicación que tengan mucho cuidado.
La autenticación biométrica puede ser local o remota. Para quienes utilizan dispositivos móviles, la ISO ha estandarizado lo siguiente. Ambas son publicaciones del Comité 27 sobre Seguridad de la información, Ciberseguridad y Protección de la Privacidad, del cual actualmente presido el comité técnico nacional correspondiente.
ISO / IEC 27553-1: 2022 Seguridad de la información, ciberseguridad y protección de la privacidad — Requisitos de seguridad y privacidad para la autenticación mediante biometría en dispositivos móviles — Parte 1: Modos locales
ISO / IEC 27553-2: 2025 Seguridad de la información, ciberseguridad y protección de la privacidad — Requisitos de seguridad y privacidad para la autenticación mediante biometría en dispositivos móviles — Parte 2: Modos remotos
Espero que esto sea útil.
Por cierto, si se hace esto, el scraping ya no será posible. Los bancos proporcionan API, pero el sector de valores está rezagado en este aspecto, y existe la preocupación de que no sea posible incorporar los datos en software de contabilidad doméstica o de gestión de activos. Por lo tanto, parece que esto es algo que debería considerarse, junto con el suministro de API.