Мероприятия по уменьшению банкоматных эмиссионных потерь
1. 100% эмиссия карт EMV.
2. На регионы, не входящие в liability shift program, по умолчанию для всех карт с использованием фильтров на страны устанавливаются нулевые лимиты.
3. Все карты делятся на две группы:
а) нулевой лимит на страну, не входящую в liability shift program, может подниматься держателем самостоятельно либо банком (по распоряжению клиента) на определенный период времени (планируемое время пребывания);
б) карта устанавливается в список исключений (VIP, характер работы и др.), лимит на страну не устанавливается, банк определяет суточный лимит, который держатель может самостоятельно изменить в любое время.
4. Операции из стран, не входящих в liability shift program, имеют приоритетный статус в системе фрод-мониторинга.
5. Ужесточение правил фрод-мониторинга для стран, не входящих в liability shift program.
6. Для стран, входящих в liability shift program, смягчение правил фрод-мониторинга и отказ от отдельных правил.
7. Обучение держателей карт, снижение "человеческого фактора".
8. SMS-информирование держателей и управление счетом (лимиты, блокирование).
9. Запрет возможности выбора ПИН-кода держателем.
10. Генерация случайного ПИН-кода.
11. Контроль HSM слабого ПИН-кода при генерации.
12. Проверка ПИН-кода методом PVV.
13. Проверка ПИН-кода по PVV, записанному на магнитную полосу, а не по базе (исключает фишинг для АТМ).
14. При записи образа магнитной полосы в ЧИП использование iCVV.
15. Страхование эмиссионных рисков (несанкционированные операции по платежным картам).
|
|
|
Мероприятия по уменьшению банкоматных эквайринговых потерь
1. 100% EMV-миграция.
2. При выборе места установки банкоматов учитываются вопросы безопасности.
3. Наличие зоны безопасности перед банкоматом.
4. Установка активных антискимминговых устройств - функция обнаружения и подавления.
5. Контроль со стороны работников банка (техников, инкассаторов) установки скимминговых устройств.
6. Криптографическая безопасность (3DES, MAC, VPN, Remote Key Management).
7. Использование EPP-клавиатур, сертифицированных по стандарту PIN Transaction Security Devices PCI.
8. Наличие систем видеозаписи.
9. Изображение передней панели банкомата на экранной заставке.
10. Подключение устройства jitter (джеттер).
11. Использование кассет с функцией окрашивания купюр.
12. Использование систем охранной сигнализации, контроля доступа к банкомату (в сервисную зону сейф).
13. Использования "уникального" ключа для доступа к верхнему кабинету банкомата.
14. Использование прикладного программного обеспечения, сертифицированного по стандарту PA-DSS.
15. ПО контроля целостности - проактивная защита от вредоносных программ, "белый" список приложений.
|
|
|
16. Безопасное конфигурирование системного блока АТМ:
- загрузка только с жесткого диска;
- отключить загрузку со съемных носителей, включая автозапуск;
- включить пароль на BIOS;
- использовать пароль на учетную запись администратора в Windows;
- сменить пароль по умолчанию на прикладное программное обеспечение банкомата;
- при подключении банкоматов через публичные сети использовать межсетевые экраны и шифрование каналов связи (SSL, VPN);
- удалите неиспользуемые службы и приложения;
- политика обновлений программного обеспечения (по согласованию с вендором);
- приложения работают под "рабочей" учетной записью с минимальными полномочиями.
17. Страхование банкоматов и наличности.
────────────────────────────────────────────────────────────────────────
*(1) См. подробнее: Чиханчин Ю.А. Международное сотрудничество в сфере борьбы с легализацией доходов, полученных преступным путем, и финансированием терроризма как фактор укрепления глобальной и региональной безопасности // Финансовая безопасность. N 1. Июнь 2013 г.
|
|
|
*(2) Из выступления Председателя Банка России Э.С. Набиуллиной на конференции "Актуальные вопросы реализации государственной политики в сфере противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма" 18 декабря 2013 г. (http://cbr.ru/pw.aspx?file=/press/press_centre/Nabiullina_18122013.htm).
*(3) Уголовный кодекс США содержит больше 100 статей, нарушение которых относится к категории преступлений, связанных с отмыванием денег. Эти преступления охватывают области деятельности от торговли наркотиками и финансового мошенничества до похищения и шпионажа. В Уголовном кодексе Российской Федерации подобных статей значительно меньше.
*(4) При использовании обратной ссуды преступник вкладывает деньги в офшорное предприятие, находящееся под его тайным контролем, а затем "ссужает" сам себе сумму вложенных им средств. Этот технический прием срабатывает, поскольку в некоторых странах трудно определить, кто на самом деле контролирует счета.
*(5) Двойное выставлении счета-фактуры. Это мошенническая уловка ввоза (или вывоза) средств в ту или иную страну, где одно из офшорных предприятий ведет двойную бухгалтерию. Чтобы ввезти "чистые" деньги в другое государство, некое предприятие в стране назначает завышенную цену на определенный товар или услугу. Для вывоза средств (например, чтобы избежать уплаты налогов) предприятию выставляется завышенная счет-фактура.
|
|
|
*(6) Например, 44 фунта (примерно 20 кг) кокаина стоят около 1 млн. долларов. Вес наличности суммой 1 млн. долларов равен 256 фунтам (примерно 116 кг). Наличность почти в шесть раз превышает вес наркотиков.
*(7) По данным Российского отделения IDC, во II квартале текущего года было поставлено около 1 960 000 планшетов, что, по оценкам IDC, более чем вдвое превосходит аналогичный прошлогодний показатель (см. подробнее: Колесов А. Российский компьютерный рынок как отражение экономической ситуации / PC Week / RE. N 20. 20 августа 2013 г.).
*(8) Управление по борьбе с финансовыми преступлениями (Financial Crimes Enforcement Network - FinCEN) было создано в 1990 г. Основная задача - содействие правоохранительным органам США в борьбе с легализацией доходов от криминальной деятельности как на национальном, так и на международном уровне.
*(9) Международная организация Financial Action Task Force (FATF), созданная в 1989 г. странами "Большой семерки". Сейчас в ФАТФ входит более 30 государств. Российская Федерация является членом ФАТФ с июня 2003 г. 30 июня 2013 г. Норвегия передала России председательство в этой организации. Утверждение российской заявки на 2013-2014 гг. означало, что Россия находилась на хорошем счету и имела высокий рейтинг своей антиотмывочной системы. Через год в права председателя вступила Австралия.
*(10) Серийный платеж относится к прямой последовательной цепочке оплаты, когда электронный перевод и сопровождающее его сообщение о платеже поступают вместе от отправляющего финансового учреждения к получающему финансовому учреждению непосредственно или через одно или более транзитных финансовых учреждений, например банки-корреспонденты (Рекомендации ФАТФ. Международные стандарты по противодействию отмыванию денег, финансированию терроризма и финансированию распространения оружия массового уничтожения / Пер. с англ. - М.: Вече, 2012. - С. 110).
*(11) Платеж с маршрутной инструкцией относится к электронному переводу, который объединяет сообщение о платеже, направленное непосредственно отправляющим финансовым учреждением в получающее финансовое учреждение, с маршрутной инструкцией финансирования (сопровождение) от отправляющего финансового учреждения в получающее финансовое учреждение через одно или более транзитных финансовых учреждений (там же. С. 109).
*(12) См. подробнее: Королев В. Загадки 11 сентября. Почему упали башни? - М.: Вече, 2007 и Кузнецов Д. События 11 сентября 2001 года и проблема международного терроризма в зеркале общественного мнения. - М.: URSS, 2009.
*(13) В 2001 г. Европарламент ввел требование обязательной идентификации клиентов, которое распространяется на операции, превышающие 150 000 евро.
*(14) RAND (англ. РЭНД - аббревиатура от Research and Development - "Исследования и разработка") - американский стратегический исследовательский центр. Является некоммерческой организацией.
*(15) Сайт платежной системы Liberty Reserve прекратил работу 24 мая 2013 г. Одновременно в Испании был арестован глава компании Артур Будовский, также известный как Артур Беланчук и Эрик Палц, а также финансовый менеджер платежной системы Аззедин эль-Амин. В тот же день в нью-йоркском Бруклине взяли под стражу бывшего совладельца Liberty Владимира Каца и программиста Марка Мармилева. Еще один технический сотрудник проекта, Максим Чухарев, был арестован в Коста-Рике. Двое подозреваемых, Ахмед Яссин Абдельгани и Аллан Эстебан Идальго Хименес, по-прежнему находятся в розыске. Кроме того, были закрыты еще пять сайтов и арестованы 45 принадлежавших владельцам платежной системы счетов в банках США. На них хранилось 25 млн. долларов.
*(16) См. подробнее: Панов А. Джо Фальшивый может украсть все // Новая газета. N 58. 31 мая 2013 г.
*(17) См. подробнее: Петрова С. Любимый банк криминального мира // Ведомости. N 129. 22 июля 2013 г.
*(18) По данным А. Комарова, аттестат вместе с SIM-картой (у WebMoney транзакция подтверждается SMS) и сканом паспорта стоит обычно 150-400 долларов.
*(19) HYIP (High Yield Investment Program) - мошеннические проекты, похожие на инвестиционные фонды с высокой доходностью. В основном online-проекты, которые работают с электронными валютами.
*(20) См. подробнее: "Криптовалютчики под колпаком" // Коммерсант-Деньги. N 27. 15 июля 2013 г.
*(21) Достов В.Л., Шуст П.М., Валинурова А.А., Пухов А.В. Электронные финансы. Мифы и реальность. - М.: КНОРУС: ЦИПСиР, 2012. - С. 133.
*(22) Другие фигуранты дела отделались аналогичными наказаниями.
*(23) См. подробнее: Бочкарева Т. Виртуальная прачечная // Ведомости. N 093. 30 мая 2013 г.
*(24) К таковым преступлениям относятся: уклонение от уплаты налогов (но не налоговая оптимизация), незаконное обогащение с использованием инсайдерской информации, отмывание денег и пр.
*(25) Однако банковская тайна может быть раскрыта ее носителем в судебном порядке.
*(26) В соответствии со статьей 23 он подчиняется Федеральной полиции.
*(27) Организованная преступная группировка - участие лица в организации, структура и состав участников которой содержатся в тайне и целью деятельности которой является совершение преступлений с применением насилия или охраны преступно нажитого имущества.
*(28) Отмывание денег - совершение лицом действий по сокрытию источников приобретения, способов отчуждения и иных сделок с имуществом, полученным в результате совершения фелонии, о чем он знал или должен был знать.
*(29) Уведомление также необходимо направлять и в случае прекращения деловых переговоров в связи с подозрениями в совершении клиентом вышеуказанных действий.
*(30) Фелония (англ. felony) - понятие в праве, означающее преступление.
*(31) См. подробнее, например, статьи: Пономарев А. Цюрих, откройся! // Национальный банковский журнал. N 9. Сентябрь 2009 г.; Саркисянц А. Европейские банки: перспективы развития на фоне кризиса // Бухгалтерия и банки. N 4. Апрель 2009 г. и др.
*(32) Типовая модель конвенции Организации экономического сотрудничества и развития (ОЭСР) представляет собой проект двустороннего налогового соглашения из 30 статей, который в большинстве случаев используется как базовый документ для подготовки и начала переговоров между заинтересованными государствами и не является для них строго обязательным.
*(33) Международное и зарубежное финансовое регулирование: институты, сделки, инфраструктура: Монография / Под ред. А.В. Шамраева: в 2 ч. Ч. 2. - М.: КНОРУС; ЦИПСиР, 2014. - С. 287-292.
*(34) Лямин Л.В. Применение технологий электронного банкинга: риск-ориентированный подход. - М., КНОРУС; ЦИПСиР, 2011.
*(35) Financial Crimes Enforcement Network (Сеть для противодействия финансовым преступлениям - специальное бюро в Казначействе США).
*(36) Насколько известно автору, проект соответствующего федерального закона был разработан еще в 2000 г. и "хранится" в Государственной думе, однако дальше дело, похоже, так и не пошло, тогда как во многих цивилизованных странах законодательные акты такого рода работают давно и успешно.
*(37) В терминологии Письма Банка России от 23.06.2004 N 70-Т "О типичных банковских рисках".
*(38) В данном случае используется терминология, отличающаяся от общепринятой в соответствующей отечественной литературе, поскольку речь далее идет о возникновении новых угроз надежности банковской деятельности с точки зрения анализа возможного вмешательства в нее преступных элементов, о чем необходимо иметь отчетливое представление руководителям и персоналу высокотехнологичных кредитных организаций, а также их клиентам. Как следствие, возникают новые составляющие типичных банковских рисков, связанные с противоправной деятельностью, из-за которых смещаются их профили и повышаются уровни.
*(39) Здесь, к слову, можно отметить, что использование понятия "банковская автоматизированная система" в отличие от часто встречающейся в литературе аббревиатуры АБС (автоматизированная банковская система) представляется предпочтительным, имея в виду именно назначение автоматизированных систем в банках, с учетом того, что понятие "банковская система" определено в Федеральном законе "О банках и банковской деятельности", но представлять ее автоматизированной до настоящего времени затруднительно.
*(40) Этой проблематике Банк России посвятил письмо от 24.03.2014 N 49-Т "О рекомендациях по организации применения средств защиты от вредоносного кода при осуществлении банковской деятельности".
*(41) Под информационными сечениями в данном случае понимаются те места в компьютерных системах (в том числе сетевых, распределенных), через которые потоки данных передаются из одной системы или подсистемы в другую, либо претерпевают какие-либо преобразования.
*(42) Речь в данном случае идет о двойном независимом параллельном контроле.
*(43) К сожалению, нельзя сказать, что описанный подход до настоящего времени является общепринятым в российском банковском секторе.
*(44) Лямин Л.В. Анализ факторов риска, связанных с интернет-банкингом // Расчеты и операционная работа в коммерческом банке. 2006. N 5. С. 52-63; N 6. С. 43-54; N 7-8. С. 37-54.
*(45) Этот риск в отечественной литературе известен также как риск потери деловой репутации, но в данном контексте используется международная терминология.
*(46) Например, Положения Банка России от 29.08.2008 N 321-П "О порядке представления кредитными организациями в уполномоченный орган сведений, предусмотренных Федеральным законом "О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма", от 02.03.2012 N 375-П "О требованиях к правилам внутреннего контроля кредитной организации в целях противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма" и др.
*(47) Международные стандарты по противодействию отмыванию денег, финансированию терроризма и финансированию распространения оружия массового уничтожения / Пер. с англ. - М.: Вече, 2012.
*(48) "Due diligence and transparency regarding cover payment messages related to cross-border wire transfers", Basel Committee on Banking Supervision, Bank of International Settlements (BIS), Basel, May 2009.
*(49) "Consolidated KYC Risk Management", Basel Committee on Banking Supervision, Basel, BIS, Oct. 2004.
*(50) Данный вид риска в цитируемой работе не поясняется, но из контекста можно понять, что речь идет о связанных операциях, совершаемых либо одним клиентом через разные филиалы банка, либо группой связанных какими-либо отношениями лиц.
*(51) Certified Fraud Examiner.
*(52) Ковасич Дж.Л. Противодействие мошенничеству. Как разработать и реализовать программу мероприятий. - М.: Маросейка, 2010.
*(53) По материалам книги A.J. Marcella, Jr., D. Menendez "Cyber Forensics", 2nd ed., Auerbach Publications, Taylor & Francis Group, Boca Raton, FL, USA, 2008.
*(54) При наиболее общем подходе понятие "пользователь" охватывает всех участников ИКБД как в банке, так и вне его, то есть и операционистов, и операторов, и администраторов (системных, сетевых, баз данных, информационной безопасности и т.п.), а также клиентов ДБО.
*(55) Абигнейл Ф.У. Поймай его, если сможешь, или он поймает тебя. - М.: Поколение, 2007.
*(56) В зарубежной практике риск-ориентированного банковского надзора в области ДБО рассматриваются все банковские риски (хотя их полный состав варьируется в зависимости от идеологии надзора, принятой конкретным федеральным ведомством), поскольку в некоторых странах допускается более "демократичный" подход к регламентации банковской деятельности, обеспечивающей организационно-финансовые потребности бизнеса: в ряде случаев можно дистанционно открывать банковские счета, оформлять кредиты и т.п.
*(57) В данном случае используется нетипичная терминология, обусловленная акцентом на возникновении новых угроз надежности банковской деятельности, проявляющихся в уровнях и профилях типичных банковских рисков.
*(58) В последующих определениях используется понятие "кредитная организация" более широкое, чем "банк", поскольку они касаются и небанковских организаций.
*(59) В данном случае имеется в виду то, что традиционное понятие "ликвидность" обретает новое смысловое содержание с точки зрения выполнения банками своих финансовых обязательств.
*(60) Так называемого в общем случае класса вредоносного кода malicious ware или, сокращенно, malware.
*(61) Virtual Private Network - VPN.
*(62) Ковасич Дж.Л. Противодействие мошенничеству. Как разработать и реализовать программу мероприятий. - М.: Маросейка, 2010.
*(63) Атака типа "распределенный отказ в обслуживании".
*(64) Оценка автора (Л. Лямина) по данным литературы и собственных исследований, хотя встречаются и оценки в 90%.
*(65) Банк России в сообщениях такого рода упоминается часто, видимо, "для солидности".
*(66) По командам злоумышленника клиент собственноручно переводит деньги на его счет.
*(67) На дисплее клиента появляется изображение с веб-сайта-муляжа, практически идентичное настоящему диалоговому окну с веб-сайта банка, после ввода пароля происходит хищение денежных средств.
*(68) На самом деле для кнопки "Отмена" в апплете запрограммирована команда подтверждения ввода, но клиент реагирует на само слово, полагая как раз, что ничего негативного не произойдет.
*(69) Детальный анализ карточных мошенничеств здесь не проводится, поскольку существует полноценная литература по данной проблематике, см., например: "Безопасность карточного бизнеса. Бизнес-энциклопедия" (разделы 1 и 3). - М.: МФПА; ЦИПСиР, 2012.
*(70) От англ. call-center - центр телефонного обслуживания, центр обработки вызовов.
*(71) От англ. shim - тонкая прокладка, прослойка.
*(72) Автоматическая переориентация клиента, который намерен зайти на официальный веб-сайт кредитной организации, с помощью атаки на сервер доменных имен или веб-сайты, которые посещают клиенты; в этом случае активно атакуются автоматизированные системы провайдеров.
*(73) Trojan - от "троянского коня" из мифов Древней Греции.
*(74) Разработка таких "предупреждений" продолжается и в настоящее время.
*(75) Кстати говоря, за счет анализа данных такого рода была успешно раскрыта и пресечена деятельность целого ряда преступных групп, занимавшихся ППД, сходной с приведенными выше примерами.
*(76) R. Cascarino, "Auditor's guide to information systems auditing", John Wiley & Sons, Inc., Hoboken, New-Jersey, USA, 2007.
*(77) Лямин Л.В. Управление рисками в условиях применения электронного банкинга // Управление в кредитной организации. 2010. N 2. С. 82-92.
*(78) Sniffers (от англ. to sniff - нюхать, чуять).
*(79) Лямин Л.В. Корпоративное управление сетевой защитой // Управление в кредитной организации. 2012. N 3. С. 57-67.
*(80) Кстати сказать, в соответствии с тем или иным федеральным законом, регламентирующим финансовую или, в частности, банковскую деятельность.
*(81) В этом случае требуется если не посещение представителями обслуживаемой организации субконтрактора, то как минимум изучение содержания договора основного провайдера с ним на предмет соответствия политике аутсорсинга, принятой в организации-заказчике.
*(82) Federal Deposit Insurance Corporation - FDIC.
*(83) Следует отметить, что в договорных документах на ДБО российских банков такие гарантии встречаются крайне редко.
*(84) Это несколько видоизмененная схема, приведенная в цитировавшейся выше книге Дж.Л. Ковасича.
*(85) "The relationship between banking supervisors and banks' external auditors", Basel Committee on Banking Supervision, Basel, BIS, Jan 2002.
*(86) Лямин Л.В. Специфика организации внутреннего контроля в условиях электронного банкинга // Внутренний контроль в кредитной организации. 2013. N 2. С. 46-53.
*(87) По имеющейся у автора информации, их пока еще менее 400 на всю страну.
*(88) Компьютерное мошенничество. Битва байтов / Под ред. Д.Т. Уэллса. - М.: Маросейка, 2010.
*(89) Лямин Л.В. Особенности управления финансовым мониторингом в условиях электронного банкинга // Банковское дело. 2011. N 1. С. 70-74; N 2. С. 70-74.
*(90) От англ. anti-fraud, anti-drop и т.п.
*(91) Следует отметить, что в договорных документах на ДБО конфликтные и согласительные комиссии упоминаются часто, однако, как правило, чисто формально, без описания условий их деятельности и того, чего будут стоить их экспертные заключения в судебных разбирательствах.
*(92) Лямин Л.В. Особенности претензионной работы при электронном банкинге // Банковское дело. 2012. N 11. С. 46-50.
*(93) Personal Digital Assistant - личный цифровой помощник, своего рода микрокомпьютер.
*(94) В случаях расследования компьютерных преступлений ее и взять-то зачастую оказывается больше неоткуда.
*(95) Его содержание уместно трактовать в отношении всех ТЭБ, а не только технологии интернет-банкинга, фигурирующей в названии данного документа, - это несложно, причем без потери общности содержания данного документа Банка России, поскольку он носит общий характер и может быть использован в приложении к любой ТЭБ.
*(96) Это тем более справедливо при большом количестве клиентов банка, в случаях применения технологий "хранилищ данных" и углубленного анализа данных, а также разработки моделей угроз, составления шаблонов или образов (patterns) действий клиентов, мошеннических действий, сетевых и вирусных атак и т.д.
*(97) См. также: Лямин Л.В. Новые аспекты корпоративного управления в условиях использования электронного банкинга // Управление в кредитной организации. 2012. N 3. С. 40-52.
*(98) Положение ЦБ РФ от 24.12.2004 N 266-П "Об эмиссии банковских карт и об операциях, совершаемых с использованием платежных карт" // Вестник Банка России. N 17. 30.03.2005.
*(99) Малый энциклопедический словарь: В 4 т. Т. 3 / Репринтное воспроизведение издания Брокгауза-Ефрона. - М.: Терра, 1997.
*(100) Тихомирова Л.В., Тихомиров М.Ю. Юридическая энциклопедия. Издание 5-е, доп. и перераб. / Под ред. М.Ю. Тихомирова. - М.: 2001.
*(101) Там же.
*(102) Там же.
*(103) Уголовное право Российской Федерации. Общая и Особенная части / Под ред. А.И. Чучаева. - М.: Контракт; Инфра-М, 2013.
*(104) Ландсберг Г.С. Элементарный учебник физики. Т. 2. Электричество и магнетизм. - М.: Наука, 1985.
*(105) Уголовное право Российской Федерации. Общая и Особенная части: Учебник / Под ред. А.И. Чучаева. - М.: Контракт; Инфра-М, 2013.
*(106) Письмо ЦБ РФ от 14.12.2012 N 172-Т "О рекомендациях по вопросам применения статьи 9 Федерального закона "О национальной платежной системе" // Вестник Банка России. N 73. 19.12.2012.
*(107) Приложение к письму Банка России от 22.11.2010 N 154-Т "О рекомендациях по раскрытию информации об основных условиях использования банковской карты и о порядке урегулирования конфликтных ситуаций, связанных с ее использованием".
*(108) Письмо ЦБ РФ от 14.12.2012 N 172-Т "О рекомендациях по вопросам применения статьи 9 Федерального закона "О национальной платежной системе" // Вестник Банка России. N 73. 19.12.2012.
*(109) Там же.
*(110) Там же.
*(111) https://developer.visa.com/cybersource.
*(112) http://www.mastercard.com/us/company/en/whatwedo/products.htm l.
*(113) Study published by Accenture back in 2011 "Mobile commerce landscape" Federal Reserve Survey of Consumer Finances, US Census Bureau, Sallie Mae, Com Score, Experian Payment behavior in Germany in 2011. Deutsche Bundesbank.
*(114) Банкомат (англ. ATM - automated telling/teller machine).
*(115) Доронин А., Демчев И.А., Алексанов А.К. и др. Безопасность карточного бизнеса: бизнес-энциклопедия. - М.: МФПА; ЦИПСиР, 2011.
Дата добавления: 2019-02-12; просмотров: 118; Мы поможем в написании вашей работы! |
Мы поможем в написании ваших работ!