Open banking: audit a odvolání souhlasů, správa auditních stop

Open banking: souhlasy, odvolání přístupu a auditní stopy

Open banking umožňuje třetím stranám (TPP – Third Party Providers) na základě vašeho výslovného souhlasu číst bankovní data (AIS – Account Information Services) nebo iniciovat platby (PIS – Payment Initiation Services). Ačkoli jde o inovaci s vysokou přidanou hodnotou, klíčem k bezpečnosti a soukromí je správa souhlasů, schopnost okamžitě odvolat přístup a prokazatelná auditní stopa všech operací.

Ekosystém a role: kdo za co odpovídá

Držitel účtu (spotřebitel/firma): uděluje a odvolává souhlasy, má právo na přístup k záznamům a kontroluje rozsah a dobu zpracování.
Banka (ASPSP – Account Servicing Payment Service Provider): spravuje technická rozhraní, vede záznamy o přístupech a odpovídá za SCA (Strong Customer Authentication).
TPP (poskytovatel AIS/PIS): odpovídá za získání informovaného souhlasu, bezpečné nakládání s tokeny a soulad s právními předpisy a standardy.
Trust infrastruktura (PKI/eIDAS): zaručuje identitu TPP (certifikáty QWAC/QSeal), vzájemné TLS a podepisování požadavků/odpovědí.

Typy souhlasů a jejich granularita

Souhlas AIS (pouze ke čtení): čtení zůstatků, transakcí a podrobností o účtech. Doporučená granularita: konkrétní účty, maximální časový rozsah (např. posledních 90 dní), četnost dotazů a účely.
Souhlas PIS (transakční): jednorázové nebo opakované iniciování plateb s limity (maximální částka, měna, příjemce, periodicita).
Časová omezení: pevná doba platnosti souhlasu (např. 90 dní pro AIS), možnost souhlasu pouze pro danou relaci („session-only“) u jednorázových úkonů.
Rozsah a účel: minimalizace údajů – pouze ta pole, která jsou pro fungování služby nezbytně nutná; zákaz „plošného“ přístupu bez zdůvodnění.

Životní cyklus souhlasu: od získání po zánik

Získání souhlasu v aplikaci TPP s jasným vysvětlením účelu, rozsahu, doby platnosti a rizik.
Přesměrování do banky (redirect/decoupled) a SCA – dvoufaktorové ověření držitele účtu.
Vydání tokenů (OAuth 2.0 – authorization code + refresh token; doporučené profily FAPI/MTLS/DPoP) vázaných na konkrétní souhlas.
Provoz – TPP přistupuje k údajům v povoleném rozsahu; banka vede podrobné záznamy o dotazech a odpovědích.
Obnovení/rotace – pravidelná opětovná autorizace po vypršení platnosti; rotace klíčů a tokenů.
Odvolání – držitel účtu nebo banka (např. v případě incidentu) může souhlas kdykoli odvolat; TPP musí okamžitě ukončit zpracování.

Silné ověření klienta (SCA) a uživatelská zkušenost

Faktory: něco, co znáte (PIN/heslo), něco, co máte (mobil/bezpečnostní klíč), něco, čím jste (biometrie).
Decoupled SCA: potvrzení v mobilní bankovní aplikaci i při webovém požadavku TPP – snižuje riziko phishingu.
Zobrazení klíčových údajů: před potvrzením musí být jasně uveden rozsah, účty, čas, limity a identita TPP.

Odvolání přístupu: kanály, mechanismy, prodleva

V bance: centrální stránka „Moje souhlasy“ – zapnutí/vypnutí každého souhlasu, selektivní omezení na účty, okamžitá invalidace tokenů a obnovovacích tokenů (refresh tokens).
U TPP: uživatelský portál – zrušení souhlasu a potvrzení bankou. Správná implementace rovnou volá revocation endpoint banky.
Nouzové odvolání: při podezření na kompromitaci – „panic revoke“ současně ve všech bankách a u všech TPP (ideálně prostřednictvím bankovní aplikace).
Prodleva: odvolání musí být účinné okamžitě pro nové požadavky; u probíhajících dotazů nejpozději do dokončení transakce nebo ukončení spojení.

Signalizace odvolání a zpracování na straně TPP

HTTP 401/403 + specifické chybové kódy: po odvolání banka vrátí jednoznačný signál; TPP nesmí opakovaně zkoušet použít tentýž token.
Webhooky/obchodní události: volitelné rozšíření – banka informuje TPP oznámením o změně stavu souhlasu.
Bezpečné ukončení procesů („shutdown“): TPP po odvolání ukončí naplánované úlohy, vymaže mezipaměť a chrání historii dat prostřednictvím zásad uchovávání.

Auditní stopa: co zaznamenávat a jak uchovávat

Na straně banky: identita TPP (certifikát/ID), identita účtu (v záznamech pseudonymizovaná), přesný rozsah požadavku, čas, výsledek, důvod zamítnutí.
Na straně TPP: verzované znění souhlasu (účel, pole, doba platnosti), důkaz o SCA, časová osa tokenů (vydání/obnovení/odvolání), seznam dotazů a odpovědí (minimálně metadata).
U uživatele: záznamy o udělení a zrušení souhlasu (potvrzení e-mailem/SMS), export auditní stopy na vyžádání.
Integrita záznamů: časové razítko (synchronizace NTP), neměnné úložiště (WORM), pravidelné hašování/Merkleův strom pro zajištění prokazatelnosti.
Uchovávání a minimalizace: uchovávat pouze nezbytná metadata po dobu vyžadovanou zákonem/smlouvou; citlivý obsah pseudonymizovat.

Ochrana soukromí a právní rámec

Zásady GDPR: zákonnost, omezení účelu, minimalizace, přesnost, omezení doby uchovávání, integrita a důvěrnost, odpovědnost.
Transparentnost: jasně sdělené účely a rozsah, přístup k záznamům o tom, kdo a kdy přistupoval k účtu.
Práva subjektu údajů: přístup k údajům, oprava, výmaz, omezení zpracování, vznesení námitky; v oblasti open bankingu se obvykle uplatňují prostřednictvím TPP i banky.
DPIA (posouzení vlivu na ochranu osobních údajů): u nových případů použití a rozsáhlých integrací je nutné analyzovat rizika a opatření k jejich zmírnění.

Bezpečnostní architektura: doporučené standardy a kontroly

Přenos a klient: vzájemné TLS (mTLS), eIDAS/QWAC, podepisování požadavků/odpovědí (JWS), ochrana proti opakovanému přehrání (replay; nonce, DPoP).
Autorizace: OAuth 2.0 s authorization code + PKCE, omezené obnovovací tokeny (refresh tokens), token binding, profily FAPI, segmentace podle účelu.
Omezení přístupu: rate limiting, detekce anomálií, povinná opětovná autorizace po změně rizikového kontextu (nové zařízení/IP).
Ochrana koncových bodů: blokování požadavků s „wildcard“, seznam povolených TPP, přísná validace schématu (schema validation) datových částí požadavků.
Bezpečné zaznamenávání: redakce citlivých polí, šifrování záznamů, oddělení klíčů, zásady rotace.

Postup pro uživatele: jak v praxi spravovat souhlasy

Inventarizace: v bankovní aplikaci zkontrolujte sekci „Souhlasy/Open banking“ a porovnejte ji se seznamem služeb, které používáte.
Minimalizujte: ponechte aktivní pouze souhlasy, které právě potřebujete; omezte je na konkrétní účty a časové období.
Oznámení: zapněte upozornění na nové přístupy a iniciování plateb PIS; sledujte podezřelé dotazy.
Rotace a kontrola: každé čtvrtletí souhlasy zrušte a znovu udělte, abyste vyřadili „zapomenuté“ integrace.
Reakce na incident: při podezření okamžitě odvolejte všechny souhlasy, změňte hesla, zkontrolujte zařízení a požádejte banku o výpis z auditu.

Postup pro TPP: vzorový proces pro zajištění souladu a důvěry

Registr souhlasů: centrální služba s verzemi souhlasů, mapováním na tokeny a referenčními záznamy SCA.
Návrh s důrazem na odvolání: uživatelské rozhraní s výrazným vypínačem, odvolání přímo v aplikaci (in-app) volá bankovní revocation endpoint, plánovače se okamžitě deaktivují.
Minimalizace dat: žádné zrcadlení kompletních výpisů, pouze odvozené souhrnné údaje, jasná politika uchovávání.
Export auditní stopy: uživateli jedním kliknutím; strojově čitelný formát s podpisem zajišťujícím integritu.

Specifika PIS: bezpečné iniciování plateb

Jednorázové vs. opakované PIS: u jednorázových plateb upřednostňujte jednorázové souhlasy; u trvalých plateb stanovte horní limity a schválené příjemce.
Silné potvrzení: před SCA zobrazte částku, měnu, IBAN příjemce a popis tak, aby bylo možné odhalit phishing.
Možnost zrušení: po odvolání přístupu již nelze platby dále iniciovat; u čekajících plateb informujte uživatele o stavu a možnostech zrušení.

Hodnocení vyspělosti: metriky a kontrolní seznamy

Pokrytí odvolání: procento souhlasů, které lze odvolat jediným krokem s účinností do jedné minuty.
MTTD/MTTR incidentu: doba do zjištění neobvyklého přístupu a doba do odvolání a potvrzení jeho účinnosti.
Prokazatelnost auditu: podíl událostí s kryptografickým důkazem integrity a synchronizovaným časem.
Minimalizace rozsahu: průměrný počet polí/účtů na jeden souhlas; trend k nižším hodnotám bez ztráty funkčnosti.

Antivzorce, kterým je třeba se vyhnout

„Trvalý otevřený přístup“: neomezené souhlasy AIS bez režimu expirace a bez oznámení.
Nejednoznačné obrazovky souhlasu: skryté limity, nečitelná identita TPP, předvyplněné souhlasy bez jasného účelu.
Odvolání pouze u TPP: odvolání musí fungovat i přímo v bance; spoléhat se na uživatelské rozhraní TPP je rizikové.
Záznamy bez integrity: upravitelné, bez časového razítka a bez vazby na SCA – při sporu je nelze použít jako důkaz.

Kontrolní seznam pro jednotlivce

Vím, které TPP mají přístup k mým účtům a za jakým účelem?
Vím, jak odvolat přístup v bankovní aplikaci během 1–2 minut?
Mám zapnutá oznámení o nových přístupech a PIS?
Kontroluji souhlasy každé čtvrtletí a ruším ty neaktivní?

Kontrolní seznam pro organizace (banky/TPP)

Implementováno FAPI/OAuth s mTLS/DPoP, rotací a odvoláváním tokenů.
Obrazovka „Moje souhlasy“ s možností správy každého souhlasu, okamžitým odvoláním a exportem auditní stopy.
Neměnné záznamy s digitálním podpisem, korelované se SCA a identitou TPP.
DPIA a zásady minimalizace; pravidelné penetrační testy a cvičení red teamu zaměřená na odvolání.

Open banking přináší pohodlí a nové služby, jeho bezpečný přínos respektující soukromí však závisí na disciplinované správě souhlasů, rychlém a univerzálním odvolání a kvalitní auditní stopě. Pokud nastavíte granularitu a časová omezení, budete důsledně monitorovat přístupy a budete mít odvolání „jedním tlačítkem“ s prokazatelnými záznamy, otevřete si dveře k výhodám open bankingu bez zbytečných rizik.