开放银行：美国金融机构力求兼顾高性能、低延迟与消费者隐私关切

F5生态系统 | 2020年10月02日

Andy Franklin解决方案工程高级总监，银行、金融服务和保险行业 | F5

在金融科技应用蓬勃发展的时代，开放银行已成为金融机构与第三方提供商（TPP）共享数据的首选方式。最新的开放银行协议倾向于使用应用程序编程接口（API）来提升性能并降低延迟，但与任何数字化数据共享流程一样，安全和消费者隐私至关重要。

The Clearing House开展的一项2018年调查清楚地表明，消费者非常重视金融数据保护。近三分之二的受访者表示，在使用金融科技应用时，他们非常或极其担忧数据隐私问题；大多数受访者表示，希望能够控制第三方可访问哪些金融账户和数据类型。

评估API

消费者对数据安全和隐私的担忧，是衡量API作为开放银行解决方案是否有效的合理标准。显然，API具有多项优势。消费者与第三方提供商（TPP）共享金融数据时，可以拥有更多选择、更强的控制力和更高的便利性。金融机构也能从中受益，不仅可以提高数据共享效率，还能更全面地了解客户的财务状况。

然而，安全需求是所有开放银行协议的核心，而API在这方面优于其他数据共享技术。今年早些时候，美国货币监理署（OCC）发布了《补充文件》，作为对《OCC公告2013-29：第三方关系》的补充。该文件指出，API是一种高效且安全的渠道，银行可通过API与数据聚合商共享敏感的客户数据。OCC表示，与数据聚合商签订双边协议的银行可以使用API，减少采用屏幕抓取等效果较差的方法，同时让客户更好地界定和管理希望共享的数据。

与屏幕抓取不同，API无需消费者向第三方实体提供账户登录凭据。个人信息能够得到保护，这让消费者使用热门金融应用时更加安心，例如Venmo、Mint等。这些消费者既希望享受应用带来的便利，又出于隐私考虑，不愿在核心银行业务之外共享用户名和密码。

监管展望

美国尚未实施任何规范开放银行标准使用的法规，但美国货币监理署（OCC）已发布拟议规则制定预先通知（ANPR），这表明相关法规可能即将出台。美国消费者金融保护局也在就消费者授权访问金融记录准备一份ANPR，但该局迄今采取的做法是允许行业自行制定这一领域的标准，不进行直接监管干预。

尽管美国的开放银行领域尚未受到监管干预，但世界其他地区已实施相关举措。在欧洲，欧盟已颁布《第二版支付服务指令（PSD2）》，要求银行建立相应机制（最常见的是API），在征得客户同意后，快速、安全、可靠地向第三方支付服务提供商提供数据。其他国家/地区，如英国、加拿大、（中国）香港特别行政区、日本、墨西哥和澳大利亚，也在推进开放银行标准。

在美国尚无相关法规的情况下，银行业正积极推动API协议的应用。竞争压力促使富国银行和美国银行等许多大型银行优先实施各自的API解决方案。银行业也在开展联合行动，这些行动可能为最终规范API使用的监管标准提供参考范本。

实现行业标准化

有迹象表明，联邦金融监管机构和其他政府机构正在鼓励开展行业主导的工作，以此加强安全性和隐私保护并促进创新。其中，较为引人注目的行业举措来自金融服务信息共享与分析中心（FS-ISAC），该中心于2018年发起成立了金融数据交换联盟（FDX）。该联盟由多家金融服务机构组成，致力于共同定义和标准化数据传输，并保障其安全。

FDX的使命是定义一个API框架，让消费者在控制和共享其金融数据方面“掌握主动权”。今年早些时候，该联盟推出了FDX API 4.0，这是朝着这一目标迈出的重要一步。该版本更新了API标准，旨在提升各种受支持用例的互操作性和性能，让消费者能够更好地掌控自己的储蓄、投资、数字支付和纳税记录。