L'Agenzia per i servizi finanziari ha annunciato il 15Pubblicazione di una bozza di revisione parziale delle "Linee guida complete per la vigilanza degli operatori del settore degli strumenti finanziari, ecc." Abbiamo iniziato ad accettare commenti pubblici sotto questo titolo. La scadenza è lunedì 18 agosto alle 17:00 (i commenti devono pervenire entro questa data).
La presente modifica viene apportata alla luce dei frequenti casi di accesso non autorizzato e di negoziazione non autorizzata (negoziazione da parte di terzi) nei servizi di negoziazione su Internet utilizzando informazioni dei clienti (ID di accesso, password, ecc.) rubate da siti di phishing camuffati da siti web di società di titoli, al fine di rafforzare i metodi di autenticazione e le misure di prevenzione delle frodi nel commercio su Internet.
Cosa potrebbe interessare ai lettori di questo blog? (Appendice 1)
"Linee guida per la sicurezza informatica nel settore finanziario"や"Linee guida per prevenire l'accesso non autorizzato al trading online" della Japan Securities Dealers AssociationSe vengono adottate misure di sicurezza adeguate in base al contenuto dei servizi forniti, tenendo conto di quanto sopra.Attacchi "man-in-the-middle" e "man-in-the-browser"Stai prendendo in considerazione quanto segue?
(Snip)
Durante operazioni importanti come l'accesso, il prelievo di fondi e la modifica del conto bancario di prelievoAutenticazione multifattoriale resistente al phishing(Esempio: autenticazione con passkey, autenticazione basata su PKI (infrastruttura a chiave pubblica))Implementazione e Obbligatorietà(impostato come predefinito)
(Fonte) Agenzia per i servizi finanziariRevisione parziale delle "Linee guida complete per la vigilanza degli operatori del settore degli strumenti finanziari, ecc." (Bozza) [Tabella comparativa tra le vecchie e le nuove linee guida]
L'autenticazione a prova di phishing è ora obbligatoria. Ecco perché è importante:"La minaccia del phishing in tempo reale che non può essere prevenuta con password monouso: la vera natura della resistenza al phishing tramite passkey"Si prega di fare riferimento anche a quanto sopra. D'altra parte, credo che ci sia un certo dibattito sulla necessità dell'autenticazione "multifattoriale". Come ho già detto, credo sia giunto il momento di abbandonare la "maledizione dell'autenticazione multifattoriale" e concentrarsi maggiormente sulle "minacce a cui risponde".
Altri materiali includono:
(Appendice 1)Revisione parziale delle "Linee guida complete per la vigilanza degli operatori del settore degli strumenti finanziari, ecc." (Bozza) [Tabella comparativa tra le vecchie e le nuove linee guida]
(Appendice 2)Revisione parziale delle "Linee guida di vigilanza per le agenzie di rating del credito" (bozza) [Tabella comparativa tra vecchia e nuova versione]
(Appendice 3)Revisione parziale (bozza) delle "Linee guida di supervisione per gli operatori del trasporto merci ad alta velocità" [Tabella comparativa tra vecchia e nuova]
(Appendice 4)Revisione parziale (bozza) delle "Linee guida di vigilanza per gli operatori di attività legate alla gestione degli investimenti" [Tabella comparativa tra vecchia e nuova]
D'altro canto, ci sono alcuni resoconti incomprensibili: l'autenticazione biometrica non sarà obbligatoria!
D'altra parte, ci sono alcuni report che sono difficili da interpretare. Un esempio tipico è il Nikkei.L'Agenzia per i servizi finanziari e l'Associazione giapponese dei commercianti di titoli pubblicano nuove linee guida per rendere obbligatoria l'autenticazione biometrica per prevenire il furto di conti titoli."Anche Nikkin"L'Agenzia per i servizi finanziari propone di rafforzare le misure contro il furto di conti titoli rendendo obbligatoria l'autenticazione biometrica e altri sistemi di autenticazione multifattoriale"L'articolo afferma quanto segue:
Tuttavia, le linee guida di vigilanza riviste sopra menzionate non menzionano l'"autenticazione biometrica". Una passkey viene fornita come esempio, ma una passkey non è un'autenticazione biometrica. Vorrei che ne parlassero in modo appropriato, invece di limitarsi a schivare l'esca del "è facile da capire". La cosa importante questa volta è:Autenticazione multifattoriale obbligatoria resistente al phishingSì, non si tratta di autenticazione biometrica. Ovviamente, non è possibile effettuare un'autenticazione biometrica locale e poi inviare la password al sito.
Quindi vorrei chiedere a chi lavora nei media di stare molto attenti.
L'autenticazione biometrica può essere locale o remota. Per chi utilizza dispositivi mobili, l'ISO ha standardizzato quanto segue. Entrambe sono pubblicazioni del comitato SC27 "Sicurezza delle informazioni, sicurezza informatica e protezione della privacy", di cui attualmente sono presidente del comitato tecnico nazionale competente.
ISO / IEC 27553-1: 2022 Sicurezza delle informazioni, sicurezza informatica e tutela della privacy — Requisiti di sicurezza e riservatezza per l'autenticazione mediante dati biometrici su dispositivi mobili — Parte 1: Modalità locali
ISO / IEC 27553-2: 2025 Sicurezza delle informazioni, sicurezza informatica e tutela della privacy — Requisiti di sicurezza e privacy per l'autenticazione mediante dati biometrici su dispositivi mobili — Parte 2: Modalità remote
Spero che questo sia utile.
A proposito, se si fa questo, lo scraping non sarà più possibile. Le banche forniscono API, ma il settore dei titoli è indietro in questo senso e si teme che non sarà possibile integrare i dati in software di contabilità domestica o di gestione patrimoniale. Pertanto, sembra che questo sia un aspetto da considerare, insieme alla fornitura di API.