В свою очередь, применение технологии DES позволяет снизить вероятность взлома с 6% до 0,05%, что значительно повышает уровень конфиденциальности данных и повышает входной порог для мошенников.
Это обусловлено тем, что обновленная технология DES, хоть и базируется на устаревшей технологии AES, но тем не менее, она использует новые методы шифрования, такие как SubByte (этап нелинейного замещения, где каждый байт заменяется другим в соответствии с таблицей поиска), ShirtRows (шаг транспонирования, где последние три строки состояния циклически сдвигаются на определенное количество шагов) и MixColumns (операция линейного смешивания, которая работает со столбцами состояния, объединяя четыре байта в каждом столбце), для шифрования она использует систему дополнительного ключа безопасности, и помимо всего прочего, сам первичный ключ обладает значительно большим размером, что увеличивает время, необходимое для подбора правильной комбинации минимально в 272 раз.
3.2 Разработка предложений по снижению риска увеличения объемов потерь из - за отсутствия возможности ограничения использования биометрических данных пользователя
3.2.1 Анализ методов снижения риска увеличения объемов потерь из - за отсутствия возможности ограничения использования биометрических данных пользователя
На данный момент существует риск, связанный с отсутствием возможности установки ограничений на операции с биометрическими данными пользователя. Иными словами, при сдаче своих биометрических данных и подтверждении учетной записи в ЕСИА и БКШ в ЕБС, пользователь получает дистанционный доступ к банковским услугам, полностью идентичный по функционалу личному присутствию в банковском отделении. Это значительно расширяет поле деятельности мошенников и дает им возможность совершить более крупные мошеннические операции при нелегальном доступе к счету пользователя. Рассматриваемый риск можно снизить, в случае, если предоставить пользователям выбор банковских услуг и размеров переводов, которые они хотели бы осуществлять дистанционно, без личного присутствия. Для этого, в первую очередь необходимо создать опросник, который позволит выявить потребности и желания пользователей в отношении установки ограничений.
В связи с этим, первым пунктом опросника необходимо узнать, какие же услуги пользователь предпочел бы получать дистанционно, а какие улуги, он хотел бы получать только при личном присутствии в банковском отделении. Для этого и был разработан первый вопрос, в котором перечисляются все возможные предоставляемые банковские услуги:
· Открытие расчетного счета
· Блокировка карточного счета
· Денежные переводы
· Кредитование
· Блокировка / Перевыпуск карты
· Получение информации по совершенным операциям за период
· Блокировка рассчетного счета
Далее, после выбора желаемых дистанционных услуг, пользователь переходит к следующему блоку вопросов. Стоит отметить, что переход к следующему блоку вопросов необходим только в том случае, если пользователь хочет осуществлять денежные переводы дистанционно, так как он связан с установкой ограничений на размер рассматриваемых переводов.
Типы ограничений бывают разные и варьируются в зависимости от конечного пункта направления денег, в связи с этим, необходимо предоставить пользователю выбор относительно установки разных размеров ограничений на различные виды переводов:
· Ограничение размера разового перевода между своими счетами внутри банка;
· Ограничение размера разового перевода в пользу своих счетов в других банках;
· Ограничение размера разового перевода в пользу чужих счетов в АО банке “ПСКБ” и в других банках
· Ограничение ежедневного количества переводов;
· Ограничение общего объема денежных средств для ежедневных переводов.
Представленный выше перечень вопросов поможет не только выявить потребности пользователей, но и уберечь денежные средства на их счетах от мошеннических операций. Кроме того, все установленные ограничения могут быть полностью сняты или частично изменены путем написания заявление в банковском отделении или при использовании технологии электронной подписи.
Однако, стоит отметить, что установленные ограничения необходимо где-то хранить в банковской базе данных, так как эта информация операционная и должна быть учтена при совершении электронных операций. В связи с этим, в имеющуюся базу данных клиентов банка необходимо добавить еще одна таблицу с информацией об ограничениях, установленных пользователем на работу с сервисом удаленной биометрической идентификации, так что при дальнейшей работе этот фактор обязательно стоит учитывать.
3.2.2 Оценка влияния введения возможности ограничений
На данный момент, без установленных ограничений, мошенники, как и пользователи, при доступе к счету могут совершать ежедневные операции до 1 000 000 рублей (это установленный банковский порог на транзакции; для совершения операций на большие суммы необходимо дополнительные предварительное согласование), в связи с этим размер возможных потерь исчисляется в миллионах.
В случае установки ограничений, рекомендуемой максимальной суммой перевода на данный момент АО банк «ПСКБ» считает 200 000 рублей в день, как в пользу своих, так и в пользу чужих счетов. Это обусловлено тем, что это является максимально доступной страховой суммой. То есть, в случае, если по счету была проведена мошенническая транзакция и денежные средства были безвозвратно утеряны, банк обязан возместить до 200 000 рублей пострадавшей стороне (в случае, если будет доказано проведение подозрительной транзакции). Таким образом, разница между максимальными потерями составляет 800 000 рублей, из чего следует, что в случае внедрения предлагаемой инициативы, размер максимальных потерь снизится на 80%.
3.3 Разработка предложений по снижению риска использования мошенниками поддельного или украденного паспорта
3.3.1 Анализ методов снижения риска использования мошенниками поддельного или украденного паспорта
На данный момент, многие эксперты при анализе риска использования мошенниками поддельного или украденного паспорта ссылаются на тот факт, что полностью его управзднить не удастся, в связи с тем, что с каждым днем появляются все новые пути обхода систем безопасности и так или иначе, финансовые организации и не только сталкаются со случаями мошенничества со стороны населения. Но также, эксперты сходятся во мнении, что рассматриваемый риск можно минимизировать. Риск использования мошенниками поддельного или украденного паспорта в первую очередь связан с тем, что у мошенников появляется доступ ко всем счетам реального владельца документов, и даже в случае, если подозрительная транзакция по счетам будет замечена, на рассмотрение заявки о полной блокировке счетов уходит от 3 до 5 рабочих дней, что дает мошенникам дополнительное время для того, чтобы удалить свои биометрические данные полностью из ЕБС путем написания заявления.
При анализе западных примеров решения рассматриваемой проблемы были выделены два наиболее популярных варианта:
· усиление проверки предоставленных документов при первичной идентификации;
· хранение биометрических данных на сервере компании - посредника (в данном случае, банка, который эти биометрические данные собирал) для ускоренного рассмотрения заявок по совершению подозрительных операций.
В первую очередь стоит рассмотреть возможность реализации усиленной проверки предоставленных докуметов при первичной идентификации. Это решение проблемы частично используется США и Австралии. На данный момент, в рассматриваемых странах введена практика совместного использования и хранения достоверной информации при использовании блокчейн технологии: компании при первичном сборе данных (как биометрических данных, так номера удостоверения личности, персонального медицинского страхования и прочего), создает учетную запись пользователя и присваивает статус “зарегистрирован”. Далее, пользователю необходимо пройти несколько этапов дополнительных проверок: необходимость дополнительного посещения отделения компании, повторная сдача идентификационных данных, ответы на секретные вопросы и другие. Во время этих проверок пользователь может пользоваться дистанционными услугами компаний, но при этом, порой в выполнении нестандартных транзакций ему может быть отказано до момента прохождения дополнительных проверенных мероприятий. При этом, в случае, если пользователь прошел все дополнительные проверки и ни разу не возникало сомнений в идентификации его личность, его учетная запись переходит в статус “подтвержденная”, что означает, что ему предоставляется полный перечень услуг и частота и интенсивность дополнительных проверок значительно снижается. В момент, когда учетная запись пользователя переходит из одного статуса в другой, ее данные передаются на сервер, который доступен проверенным и лицензированным компаниям, которые в своей работе используют персональные данные клиентов. Данные на этом сервере хранятся при использовании технологии блокчейн, то есть для получения доступа к данным компании необходимо использовать персональный код доступа, а кроме того, после закрытия ячейки, данные уже не могут быть изменены или искажены, что позволяет хранить конфиденциальную и безопасную информацию в одном месте, доступном для всех игроков рынка.
Таким образом, при первичном обращении пользователя, у компании есть возможность проверить наличие информации о нем в единой системе, хранящей подтвержденные данные о клиентах и в случае, и при ее наличии, сверить предоставленные документы и персональные данные с уже имеющимися. Это позволяет компаниям уделить большее внимание не проверенным клиентам, что значительно снижает риск использования поддельных или украденных документов.
Но на данный момент использование такой системы в России невозможно, так как для ее введения необходимо участие большого количества игроков и их согласие на передачу клиентских персональных данных. В связи с этим, для минимизации риска использования поддельного или украденного паспорта в России на данный момент стоит использовать метод хранения персональных данных на сервере компании, которая занимается непосредственным сбором биометрических данных. Это позволит не только сократить время проверки заявлений по подозрительным транзакциям, но также даст возможность проведения дополнительной проверки на соответствие БКШ и полученных БДн.
Существует и ряд проблем, связанный с предлагаемым методом - это в первую очередь, из - за дополнительного места хранения, появление дополнительной возможности у мошенников хищения персональных данных. Кроме того, для хранения биометрических данных требуются дополнительные мощности сервера, что также значительно повышает стоимость использования хранящихся данных. Тем не менее, не стоит забывать о том, что на банковском сервере уже хранится большое количество персональных данных пользователей, включающих в себя данные о банковских счетах и различные методы доступа к ним. В связи с этим, банковская система безопасности технически готова к отражению возможных хакерских атак с целью хищения биометрических данных и имеет целый ряд служебных инструкций, как реагировать на проникновение в банковские сервера и как сохранить данные от хищения или искажения. Кроме того, введение ранее описанной технологии шифрования AES должно значительно повысить уровень конфиденциальности данных, так как у банка появится больше времени на отработку попытки взлома, а у мошенников сузится круг возможностей использования технологий взлома.
Таким образом, на данный момент, наиболее приемлемым решением по снижению риска использования мошенниками поддельного или украденного паспорта является хранение персональных БДн клиента, как на стороне ЕСИА, так и на стороне финансовой организации.
3.3.2 Разработка требований к обновленной базе данных
Так как ранее было принято решение о том, что для снижения риска использования мошенниками поддельного или украденного паспорта стоит хранить БДн не только в ЕСИА, но и на стороне финансовой организации, для АО банка “ПСКБ”, а также появилась необходимость хранения информации об установленных ограничениях на финансовые операции с целью снижения риска увеличения объема потерь за счет отсутствия возможности ограничения использования биометрических данных, встает вопрос о необходимости обновления имеющейся базы данных, с учетом особенностей компании и общих требований к базам данных.
В первую очередь, необходимо учесть, какие существуют общие правила, используемые при создании или обновлении реляционных баз данных (так как на данный момент в АО банке “ПСКБ” для хранения информации используется реляционная база данных). В первую очередь, данные, которые хранятся в базе данных, должны быть целостными. В данном случае, речь идет о том, что информация, которая хранится в базе не должна противоречить ее явно заданным правилам, логике и структуре. Так, например, количество знаков в ячейке с номером телефона не должно превышать 15. В противном случае, данные, хранящиеся в базе будут не целостными и не смогут быть использованы для корректной работы системы.
Кроме того, данные в базе должны легко обновляться. Это обусловлено тем, что многие данные, заносимые в систему могут не только добавляться, но и обновляться. Простота обновляется достигается путем проведения процедуры нормализации, то есть разделения одной таблицы на несколько: чаще всего формируются первая, вторая и третья нормальные формы, четвертая и пятая формы используются реже. Тем не менее, использования форм, выше второй говорит о глубокой нормализации. Однако в данном случае, так как представленная в АО банке “ПСКБ” база данных является динамической, в глубокой нормализации нет особой необходимость, поэтому таблицы должны соответствовать первой и второй нормальной форме.
Правда стоит отметить, что в не зависимости от того, динамическая БД или статистическая, неоспоримым требованием ко всем базам данных является быстрый поиск информации по запросам пользователей. Поиск информации в базе данных представляет собой отбор записей из таблиц, которые удовлетворяют установленным условиям поиска. Чаще всего эти условия устанавливаются в формате запроса или установки фильтра. Для общения с базой данной в АО банке “ПСКБ”, как и во многих других, используется такой язык программирования, как SQL. Для облечения процесса поиска необходима точная градация информации по соответствующим таблицам, отсутствие перенасыщения таблиц и четкое соблюдение всех установленных правил.