RBAC Es ahí donde la pasarela empieza a amortizarse. En una plataforma bancaria multitenant, el acceso no puede ser amplio solo porque el agente sea “interno”. Cada tenant necesita su propia matriz de permisos. Un comerciante que solo utilice la iniciación de pagos no debería tener acceso a herramientas de KYC. Un agente de soporte de una región no debería ver los controles de tarjetas de otra región. Un flujo de trabajo que solo requiera una explicación del saldo no debería tener acceso a la preparación de transferencias.
Validación del esquema es el siguiente filtro. La pasarela debe validar cada solicitud según las especificaciones OpenAPI aprobadas o contratos equivalentes. De este modo se detectan las cargas útiles erróneas: formato de moneda incorrecto, falta del identificador del beneficiario, canal de pago no admitido, intervalo de fechas imposible o solicitud de estado KYC mal formada. El modelo puede ser elocuente y, aun así, generar una carga útil que el sistema debería descartar.
Flujos de trabajo de aprobación son los casos en los que el modelo sin custodia se materializa. El agente puede preparar una acción, pero las operaciones de alto riesgo requieren una cola de espera, como los umbrales de importe, los nuevos beneficiarios, el estado sospechoso de una cuenta, un proceso de KYC incompleto, señales elevadas de fraude o políticas específicas del cliente. La pasarela debe crear el elemento de aprobación, notificarlo al responsable de la aprobación, supervisar las reglas de tiempo de espera y devolver un estado claro al usuario o al operador.
Registro de auditoría Debe integrarse en la ruta. Por cada solicitud, la pasarela debe crear un registro de solo adición. Este registro debe incluir el cliente, el usuario, el canal, el estado del flujo de trabajo, la herramienta, los parámetros tras la supresión de datos confidenciales, el resultado de la validación, el estado de aprobación, la respuesta posterior y el identificador de correlación. Los equipos de cumplimiento normativo no necesitan una transcripción impecable. Necesitan un registro claro que explique por qué el sistema permitió o bloqueó la acción.
Hay una distinción que conviene dejar clara desde el principio: el registro demuestra lo que se ejecutó, no quién tenía la capacidad para hacerlo. Un rastro puede mostrar perfectamente que una transferencia se realizó de A a B bajo un token determinado. Por sí solo, no puede demostrar que la acción fuera autorizada por un mandante reconocido por ambas partes, ni que la autorización no hubiera sido revocada previamente. En un flujo de un único inquilino, esa laguna es invisible, ya que el registro y los registros de autoridad se encuentran en el mismo lugar. En el momento en que surge una disputa entre un inquilino o una contraparte, esa laguna se convierte en el problema principal. Por lo tanto, el registro debería reflejar la legitimación: qué mandato autorizó la llamada, bajo qué ámbito de aplicación y si seguía siendo válido en ese momento. Profundizo en este punto en mi artículo Un mandato no es lo mismo que gobernar.
Disyuntores Esto es importante porque los proveedores bancarios fallan de formas tediosas, como tiempos de espera agotados, interrupciones parciales, respuestas lentas, estados desactualizados y límites de frecuencia. La pasarela debería detectar ese patrón, volver a intentarlo con un tiempo de espera cuando sea seguro hacerlo, detener las llamadas repetidas cuando no lo sea y ofrecer al usuario una alternativa útil. “El proveedor de AML no está disponible, inténtalo de nuevo más tarde” es mejor que dejar que el agente entre en un bucle, invente un estado o siga insistiendo en un servicio degradado.
Ámbito de aplicación de los tokens limita el alcance del impacto. Una llamada a una herramienta debe recibir el acceso mínimo necesario para esa solicitud concreta, ese inquilino, ese usuario y ese estado del flujo de trabajo. Los tokens de corta duración y con ámbito limitado son mucho más seguros que las credenciales de servicio de larga duración que circulan por la capa del agente. Si algo sale mal, la solicitud fallida debería tener un impacto muy limitado.
Contrátanos
Conócenos