Commerzbank ha rafforzato la sicurezza delle API con Akamai 

Commerzbank, una delle maggiori istituzioni finanziarie europee con una forte presenza internazionale, offre valore ai clienti tramite innovativi servizi digitali basati sulle API. Fin dall'inizio, la banca ha sottolineato la creazione di soluzioni altamente riutilizzabili, a partire dalle operazioni CRUD (Create, Read, Update, Delete). Questo approccio ha creato le basi per raggiungere un eccezionale livello di scalabilità ed estendibilità, rendendo più facile l'integrazione delle API interne ed esterne nell'ecosistema della banca nel tempo.

Ma in un'epoca accelerata dall'intelligenza artificiale, Commerzbank ha riconosciuto che le tradizionali funzionalità di sicurezza in fase di progettazione non erano sufficienti per mantenere la fiducia dei clienti e soddisfare le crescenti aspettative di un accesso sicuro e agevole. La banca ha implementato un'ampia gamma di solidi meccanismi, tra cui l'adesione ai principi dell'OWASP, interfacce chiare e intuitive, policy rigorose, token di sicurezza e test di penetrazione regolari. Nonostante la crescita delle minacce e della complessità, Commerzbank aveva bisogno di una soluzione in grado di adattarsi in tempo reale.

A tal fine, la banca ha collaborato con Akamai e Deloitte per implementare un livello di sicurezza delle API dedicato tale da rafforzare e ampliare la sua piattaforma di gestione delle API esistente. L'iniziativa ha aiutato la banca a rilevare anomalie, scoprire le API ombra non gestite e rafforzare la governance tra i vari reparti, mantenendo, al contempo, caratteristiche di agilità, conformità e scalabilità sicura man mano che il suo ecosistema delle API si espande.

Commerzbank elabora oltre 6 miliardi di chiamate API ogni mese, supportando un vasto ecosistema digitale di clienti, partner e applicazioni interne. Dal 2017, si è affidata alla soluzione Axway Amplify API Management Platform per la gestione delle API interne e presenti su Internet. Tuttavia, con l'aumento delle minacce sempre più sofisticate, Volker Sulzbach, Principal Software Engineer e Solutions Architect, ha riconosciuto l'esigenza di migliorare la difesa delle API.

"La nostra piattaforma di gestione delle API va bene", ha affermato Sulzbach, "però eravamo alla ricerca di un modo per identificare comportamenti anomali delle API e potenziali attacchi prima che causassero problemi".

Mentre il SOC della banca gestiva un più ampio sistema di protezione della rete come i firewall, il team di Sulzbach voleva raggiungere una supervisione diretta di tutte le API aziendali per rilevare tempestivamente eventuali anomalie e API ombra senza rallentare l'innovazione.

Dopo aver valutato più fornitori, Commerzbank ha scelto la soluzione Akamai API Security, che rileva, classifica e protegge continuamente le API in tutti gli ambienti. "Il rilevamento delle anomalie era la nostra priorità principale", ha affermato Sulzbach.

"Avevamo bisogno di una valutazione basata sui comportamenti, non solo di un'ispezione per singola chiamata, e Akamai ci consente di fare tutto ciò", ha continuato. Utilizzando il rilevamento delle anomalie basato sull'apprendimento automatico, API Security identifica comportamenti anomali delle API, potenziali usi impropri e API ombra, fornendo piena visibilità sia sugli endpoint gestiti che su quelli non gestiti.

"Siamo rimasti favorevolmente colpiti dal fatto che API Security contribuisca ad identificare le API non autorizzate e ad integrare le funzionalità di sicurezza durante la fase di sviluppo", ha spiegato Sulzbach.

La prima fase di implementazione è iniziata con il gateway sandbox di Commerzbank, utilizzato per simulare e testare le API prima della loro implementazione. Una volta verificata la precisione e la reattività di API Security, il team ha inizialmente protetto circa 25 API in fase di produzione.

"Innanzitutto, desideriamo definire le regole, ridurre il numero di falsi positivi e garantire che i nostri team possano agire in base agli avvisi. Nella fase successiva, ci occuperemo di ampliare l'uso di API Security", spiega Sulzbach.

Tale espansione consentirà di proteggere migliaia di API e di endpoint, fornendo un livello costante di visibilità e sicurezza sia sul traffico interno che su quello esterno.