Trudności dla bezpieczeństwa

Główną przesłanką wdrażanych rozwiązań jest zwiększenie bezpieczeństwa korzystania z usług płatniczych oferowanych drogą elektroniczną i tym samym ograniczenie możliwości wystąpienia oszustw związanych z tymi usługami.

– W tym celu wprowadzona zostanie konieczność stosowania procedur silnego uwierzytelnienia, czyli minimum dwuelementowego potwierdzania tożsamości klientów – tłumaczy Wojciech Pantkowski, dyrektor Zespołu Systemów Płatniczych i Bankowości Elektronicznej w Związku Banków Polskich.

Trzy kategorie

Opiera się ono na zastosowaniu co najmniej dwóch elementów należących do trzech kategorii: wiedza, posiadanie lub cecha klienta. Wiedza to kod (np. PIN) lub hasło, które są i powinny być znane tylko klientowi – posiadaczowi danego instrumentu płatniczego lub dostępu do bankowości internetowej, i których nie wolno udostępniać osobom trzecim. Posiadanie oznacza element, który dany użytkownik ma w posiadaniu (np. karta plastikowa, telefon z kartą SIM) i który może zostać użyty w trakcie dokonywania płatności lub korzystania z bankowości internetowej. Ostatnia kategoria, czyli cecha klienta, to specyficzna dla danego klienta cecha, którą tylko on dysponuje i która go jednoznacznie wyróżnia.

– Dobrym przykładem jest cecha biometryczna w postaci np. odcisku palca, tęczówki oka czy układu żył. I właśnie użycie dwóch elementów spośród opisanych powyżej trzech kategorii określane jest jako silne uwierzytelnienie. Ważne jest przy tym, aby elementy te były niezależne od siebie, to znaczy, że naruszenie jednego elementu nie osłabia wiarygodności innych. Stąd apele wydawców kart, aby nie ujawniać ani nie zapisywać numeru PIN, szczególnie na karcie lub w jej pobliżu (np. w portfelu), ponieważ kradzież portfela oznacza utratę dwóch niezależnych elementów silnego uwierzytelnienia, w tym przypadku plastikowej karty (posiadanie) oraz kodu PIN (wiedza), wykorzystywanych w trakcie dokonywania płatności – podkreśla Wojciech Pantkowski.

Są i wyjątki

Silne uwierzytelnienie będzie wykorzystywane przy dokonywaniu płatności w terminalach płatniczych (POS), płatnościach za zakupy w internecie (e-commerce, m-commerce) oraz logowaniu i korzystaniu z bankowości internetowej czy mobilnej. Ale nie przy każdej transakcji.

Reklama

– Rozporządzenie określa sytuacje wyjątkowe, w których dostawcy usług płatniczych, w tym wydawcy kart, nie muszą stosować silnego uwierzytelnienia klienta w zakresie płatności. Ma to ułatwiać możliwość dokonywania płatności bez istotnego zwiększania ich ryzyka – podkreśla Wojciech Pantkowski.

Pierwszy wyjątek dotyczy płatności zbliżeniowych –możliwości płacenia do 50 zł bez podania kodu PIN (limit w tej wysokości obowiązuje w Polsce, rozporządzenie określa górny limit na poziomie 50 euro). Kwota ta zostanie na razie utrzymana (z możliwością podniesienia do 100 zł w późniejszym terminie), gdyż zgodnie z RTS oprócz tego limitu pod uwagę brane są także nowe warunki, po których przekroczeniu silne uwierzytelnienie będzie wymagane. Te nowe warunki to tzw. liczniki transakcji, ilościowe albo wartościowe.

Licznik ilościowy wymusza silne uwierzytelnienie po pięciu następujących po sobie transakcjach zbliżeniowych (bez względu na kwotę). Licznik wartościowy wymusi z kolei silne uwierzytelnienie po przekroczeniu określonej przez wydawcę instrumentu płatniczego kwoty następujących po sobie transakcji zbliżeniowych. Chociaż rozporządzenie określa kwotę takiego limitu na 150 euro, to wydawca danego instrumentu może określić ten limit na niższym poziomie. Polscy wydawcy (banki) skorzystają z tej możliwości i będą ustawiać go niżej.

Podobne mechanizmy funkcjonować będą w przypadku dokonywania elektronicznych płatności za zakupy w internecie (m-commerce, e-commerce). W tym przypadku kwota pojedynczej transakcji nie może przekroczyć 30 euro, licznik wartościowy łącznych kwot transakcji nie może przekroczyć 100 euro, a liczba następujących po sobie transakcji jest taka sama jak w płatnościach zbliżeniowych i wynosi pięć. Wyjątkiem od reguł jest możliwość ujęcia danego sprzedawcy na liście tzw. zaufanych sprzedawców, co pozwala na zastosowanie nieco innych (wyższych) limitów określonych szczegółowo w rozporządzeniu. Wymaga to jednak rozszerzonego zakresu monitorowania transakcji od takiego sprzedawcy.

Istotnym wyłączeniem spod rygorów silnego uwierzytelnienia jest dokonywanie transakcji w terminalach samoobsługowych służących do regulowania opłat za transport, np. w biletomatach, na bramkach autostradowych czy w parkometrach. Często w takich urządzeniach nie ma możliwości użycia kodu PIN, w związku z tym niemożliwe lub bardzo utrudnione byłoby zrealizowanie silnego uwierzytelnienia.

Bankowość Lokaty Oszczędzanie