No dia 15, a Agência de Serviços FinanceirosPublicação de um rascunho de revisão parcial das "Diretrizes Abrangentes para Supervisão de Operadores de Negócios de Instrumentos Financeiros, etc." Começamos a aceitar comentários públicos sob o título. O prazo final é segunda-feira, 18 de agosto, às 17h (é necessário chegar até esta data).
Esta alteração está sendo feita à luz dos casos frequentes de acesso não autorizado e negociação não autorizada (negociação por terceiros) em serviços de negociação na Internet usando informações de clientes (IDs de login, senhas, etc.) roubadas de sites de phishing disfarçados de sites de empresas de valores mobiliários, a fim de fortalecer os métodos de autenticação e medidas de prevenção de fraudes na negociação na Internet.
O que pode ser do interesse dos leitores deste blog? (Apêndice 1)
"Diretrizes para Segurança Cibernética no Setor Financeiro"や"Diretrizes para impedir acesso não autorizado em negociações pela Internet" da Associação de Corretores de Valores Mobiliários do JapãoSe são tomadas medidas de segurança adequadas de acordo com o conteúdo dos serviços prestados, tendo em conta o acima exposto.Ataques do tipo "man-in-the-middle" e "man-in-the-browser"Você está levando em consideração o seguinte?
(Omitido)
Durante operações importantes, como login, retirada de fundos e alteração da conta bancária de retiradaAutenticação multifator resistente a phishing(Exemplo: autenticação por senha, autenticação baseada em PKI (infraestrutura de chave pública))Implementação e Obrigatoriedade(definido como padrão)
(Fonte) Agência de Serviços FinanceirosRevisão parcial das "Diretrizes abrangentes para supervisão de operadores de negócios de instrumentos financeiros, etc." (Rascunho) [Tabela comparativa das diretrizes antigas e novas]
A autenticação resistente a phishing agora é obrigatória. Veja por que ela é importante:"A ameaça de phishing em tempo real que não pode ser evitada por senhas de uso único: A verdadeira natureza da resistência ao phishing usando chaves de acesso"Por favor, consulte também o acima. Por outro lado, acredito que haja algum debate sobre a necessidade da autenticação multifator. Como já disse, acredito que é hora de abandonar a "maldição da autenticação multifator" e focar mais em "a quais ameaças ela está respondendo".
Outros materiais incluem:
(Apêndice 1)Revisão parcial das "Diretrizes abrangentes para supervisão de operadores de negócios de instrumentos financeiros, etc." (Rascunho) [Tabela comparativa das diretrizes antigas e novas]
(Apêndice 2)Revisão parcial das "Diretrizes de Supervisão para Agências de Classificação de Crédito" (Rascunho) [Tabela Comparativa entre o Antigo e o Novo]
(Apêndice 3)Revisão parcial (rascunho) das "Diretrizes de supervisão para comerciantes de alta velocidade" [Tabela comparativa do antigo e do novo]
(Apêndice 4)Revisão parcial (rascunho) das "Diretrizes de supervisão para operadores de negócios relacionados à gestão de investimentos" [Tabela comparativa entre o antigo e o novo]
Por outro lado, há alguns relatórios incompreensíveis: a autenticação biométrica não será obrigatória!
Por outro lado, existem alguns relatos difíceis de entender. Um exemplo típico é o do Nikkei:Agência de Serviços Financeiros e Associação de Corretores de Valores Mobiliários do Japão emitem novas diretrizes para tornar a autenticação biométrica obrigatória para evitar sequestro de contas de valores mobiliários"Nikkin também"A Agência de Serviços Financeiros propõe o fortalecimento de medidas contra o sequestro de contas de valores mobiliários, tornando obrigatória a autenticação biométrica e outras autenticações multifatoriais"O artigo afirma o seguinte:
No entanto, as diretrizes de supervisão revisadas mencionadas acima não mencionam "autenticação biométrica". Uma chave de acesso é dada como exemplo, mas uma chave de acesso não é autenticação biométrica. Gostaria que escrevessem sobre isso de forma adequada, em vez de simplesmente fugir da isca de "é fácil de entender". O importante desta vez é:Autenticação multifator obrigatória resistente a phishingSim, não é autenticação biométrica. Obviamente, você não pode fazer "autenticação biométrica" local e depois enviar sua senha para o site.
Então eu gostaria de pedir para a mídia ter muito cuidado.
A autenticação biométrica pode ser local ou remota. Para quem usa dispositivos móveis, a ISO padronizou os seguintes itens. Ambas são publicações do SC27 Segurança da Informação, Cibersegurança e Proteção da Privacidade, do qual atualmente presido o comitê técnico nacional relevante.
ISO / IEC 27553-1: 2022 Segurança da informação, cibersegurança e proteção da privacidade — Requisitos de segurança e privacidade para autenticação usando biometria em dispositivos móveis — Parte 1: Modos locais
ISO / IEC 27553-2: 2025 Segurança da informação, cibersegurança e proteção da privacidade — Requisitos de segurança e privacidade para autenticação usando biometria em dispositivos móveis — Parte 2: Modos remotos
ご参考になれば。
A propósito, se você fizer isso, a raspagem não será mais possível. Os bancos fornecem APIs, mas o setor de valores mobiliários está atrasado nesse aspecto, e há a preocupação de que não seja possível incorporar os dados em softwares de contabilidade doméstica ou de gestão de ativos. Portanto, parece que isso deve ser considerado juntamente com o fornecimento de APIs.