Commerzbank reforzó API Security con Akamai 

Commerzbank, una de las mayores entidades financieras de Europa con fuerte presencia internacional, ofrece a sus clientes servicios digitales innovadores basados en API. Desde el principio, el banco apostó por crear soluciones altamente reutilizables, empezando por sus operaciones CRUD (Create, Read, Update, Delete). Este enfoque sentó las bases de una arquitectura escalable y flexible, que facilitó la integración progresiva de API internas y externas en su ecosistema.

Sin embargo, en un contexto acelerado por la IA, Commerzbank comprendió que los enfoques tradicionales de seguridad por diseño ya no bastaban para mantener la confianza de los clientes ni responder a las crecientes exigencias de acceso seguro y fluido. La entidad ya aplicaba múltiples mecanismos sólidos, como el cumplimiento de los principios OWASP, definiciones de interfaces claras, políticas estrictas, modelos seguros de autenticación y pruebas de penetración periódicas. Aun así, ante el aumento de amenazas y complejidad, necesitaba una solución capaz de adaptarse en tiempo real.

Con ese fin, el banco se asoció con Akamai y Deloitte para implantar una capa dedicada de seguridad para API que reforzara su plataforma de gestión existente. Esta iniciativa permitió detectar anomalías, detectar API en la sombra no gestionadas y reforzar la gobernanza entre equipos, manteniendo al mismo tiempo la agilidad, el cumplimiento normativo y la capacidad de escalar de forma segura.

Commerzbank procesa más de 6000 millones de llamadas de API que sostienen un amplio ecosistema digital de aplicaciones para clientes, partners y equipos internos. Desde 2017, ha confiado en la plataforma de gestión de API Amplify Axway para gestionar tanto API internas como expuestas a Internet. Sin embargo, a medida que las amenazas se volvían más sofisticadas, Volker Sulzbach, ingeniero principal de software y arquitecto de soluciones, detectó la necesidad de reforzar la protección de API.

"Nuestra plataforma de gestión de API funciona bien", explicó Sulzbach. "Pero queríamos detectar comportamientos anómalos y posibles ataques antes de que generaran problemas".

Mientras que el SOC se encargaba de la protección general de red, como los los firewalls, su equipo necesitaba visibilidad directa sobre todas las API críticas para el negocio, con el fin de identificar anomalías y API en la sombra de forma temprana, sin frenar la innovación.

Tras evaluar varios proveedores, Commerzbank eligió API Security de Akamai, una solución que descubre, clasifica y protege API de forma continua en todos los entornos. "La detección de anomalías era nuestra prioridad absoluta", señaló Sulzbach.

"Necesitábamos un análisis basado en el comportamiento, no solo una inspección llamada por llamada. Akamai nos lo ofrece. Akamai lo hace posible", añadió. Gracias a modelos de aprendizaje automático, API Security identifica usos anómalos, posibles abusos y API en la sombra, y proporciona visibilidad completa tanto de endpoints gestionados como no gestionados.

"Nos impresionó que API Security ayudara a detectar API no autorizadas e incorporara la seguridad desde la fase de desarrollo", explicó Sulzbach.

La primera fase de implantación comenzó en la puerta de enlace del entorno de pruebas de Commerzbank, donde se prueban las API antes de pasar a producción. Tras validar la precisión y rapidez de respuesta de API Security, el equipo protegió inicialmente unas 25 API en producción.

"Primero queríamos definir reglas, reducir falsos positivos y asegurarnos de que los equipos pudieran actuar sobre las alertas. Después ampliaríamos el uso de API Security", explicó Sulzbach.

Esa ampliación acabará cubriendo miles de API y endpoints, con visibilidad y protección continuas tanto en tráfico interno como externo.