Por Carlos Tamayo, CEO, Digipals.
Una transacción digital atraviesa canales, plataformas y múltiples participantes. Proteger las interacciones entre ellos, integrar la seguridad desde la arquitectura y gestionar el riesgo de extremo a extremo permite sostener la confianza en el ecosistema de pagos.
Ejes de análisis
- De la plataforma al ecosistema
- Más seguridad detrás, menos fricción delante
- La confianza conecta a los participantes
La seguridad de los medios de pago ha ampliado su alcance a medida que las transacciones se integran a más canales, plataformas y participantes. Una operación puede comenzar en un POS, un teléfono, un comercio electrónico o una billetera digital y atravesar APIs, proveedores tecnológicos, sistemas de monitoreo antifraude, procesadores, adquirentes y marcas antes de completarse.
Durante las primeras etapas de las redes de puntos de venta, buena parte del trabajo de seguridad se concentraba en la infraestructura, las telecomunicaciones, los centros de procesamiento, los dispositivos y el perímetro tecnológico. Ese perímetro se ha vuelto más difuso con la incorporación de nuevos puntos de interacción y componentes conectados, ampliando la superficie que debe protegerse. El aseguramiento ya no corresponde únicamente a una plataforma, sino al ecosistema de pagos.
Este alcance comprende la protección del dato, la identidad, los dispositivos, las aplicaciones, las comunicaciones, las APIs, las llaves criptográficas, la infraestructura y la operación. La seguridad deja así de concentrarse exclusivamente en controles tecnológicos e incorpora también la operación, las personas, los procesos y la gestión del riesgo.
De la plataforma al ecosistema
La participación de comercios, adquirentes, procesadores, emisores, sistemas transaccionales, fintech y proveedores introduce nuevas relaciones de confianza y obliga a determinar qué información se intercambia y cómo se controla. A los riesgos tecnológicos se suman aquellos asociados con terceros, configuraciones, credenciales de API y software.
Considerar segura una plataforma no significa que todo el ecosistema tenga el mismo nivel de protección. La seguridad depende también de las interacciones entre sus componentes y de la forma en que estos se conectan durante la transacción. Por esta razón, su diseño debe acompañar a la arquitectura desde el inicio y no incorporarse una vez que esta se encuentra terminada.
El diseño debe contemplar cómo se conecta un terminal con el core transaccional, cómo este interactúa con las franquicias y los equipos de seguridad y cómo se integran los esquemas criptográficos. Incorporar estas consideraciones desde la arquitectura permite proteger los diferentes componentes que se interconectan en el ecosistema.
La gestión del riesgo también debe extenderse de extremo a extremo. En ella convergen la arquitectura, la gestión de identidades y accesos, la protección criptográfica, el monitoreo antifraude, la seguridad de las plataformas, el desarrollo seguro, la gestión de vulnerabilidades y terceros, la respuesta a incidentes y la continuidad del negocio. Junto con estos elementos, la cultura de seguridad incorpora a las personas como parte del ecosistema y demanda que comprendan los riesgos asociados con su participación.
Más seguridad detrás, menos fricción delante
El diseño de los pagos digitales también enfrenta la necesidad de equilibrar seguridad y usabilidad. El usuario busca completar una transacción de manera rápida y no necesita conocer los mecanismos que operan detrás del pago. La mejor seguridad es aquella que el usuario no percibe. Tecnologías como contactless, tokenización, criptografía, autenticación basada en riesgo y biometría permiten incorporar controles dentro de la transacción sin trasladar toda esa complejidad a la experiencia.
Seguridad y experiencia no deberían plantearse como alternativas. Una arquitectura diseñada considerando ambas dimensiones puede aplicar controles proporcionales al riesgo y ajustar el nivel de protección según las características de la operación. El planteamiento es colocar “más inteligencia detrás de la transacción y menor fricción delante del usuario”.
Esta relación entre seguridad y experiencia comienza desde el diseño de la arquitectura y continúa durante su operación. La arquitectura debe permitir medir y equilibrar ambos elementos para mantener la seguridad sin hacerla innecesariamente visible para quien realiza el pago.
El ecosistema ecuatoriano de pagos también ha cambiado. Desde las primeras redes de puntos de venta, se observa un ecosistema más maduro, pero también más complejo, con nuevos actores, canales, expectativas e interoperabilidad. Esa complejidad demanda que la inversión tecnológica esté acompañada por gobierno de seguridad y tecnología, gestión del riesgo, ciberseguridad, resiliencia y cultura de seguridad entre los participantes.
La confianza conecta a los participantes
La evolución tecnológica continuará incorporando nuevos mecanismos y formas de pago. Progresivamente se hablará menos del instrumento utilizado y más de identidad, contexto, seguridad y confianza digital, mientras los pagos se integran a teléfonos, dispositivos, aplicaciones y plataformas. También se dará una mayor utilización de inteligencia artificial para detectar anomalías y fraude, junto con la tokenización y otros mecanismos de protección.
A pesar de estos cambios, la confianza permanece como el principio que sostiene el medio de pago. El cliente entrega una credencial y espera que sea protegida; el comercio entrega un producto y espera recibir el dinero; el emisor autoriza una transacción esperando que proceda de un ecosistema confiable; y el adquirente conecta a estos participantes y debe preservar esa relación.
La confianza también depende de cómo cada participante gestiona su parte de la cadena. Los procesos de cumplimiento y monitoreo alcanzan a entidades financieras, redes y otros actores que transmiten o almacenan información sensible. Que uno de ellos mantenga sus controles no resuelve las posibles debilidades de otro participante con el que se encuentra conectado.
El cumplimiento de estándares forma parte de la seguridad del ecosistema, aunque cumplimiento y seguridad no son exactamente lo mismo. Gestionar el riesgo implica mirar permanentemente más allá de una lista de verificación y trabajar de manera colaborativa entre los participantes del sistema.
A pesar de los cambios tecnológicos, la confianza continúa siendo el principio que sostiene los medios de pago. Por ello, la seguridad no es solamente una función tecnológica ni un requisito regulatorio, sino la infraestructura invisible sobre la cual funciona la confianza del ecosistema de pagos.
