Regulacje, które kształtują bezpieczeństwo bankowości online
W bankowości kwestia bezpieczeństwa jest kluczowa. Od zastosowanych rozwiązań zależy, czy środki zdeponowane przez klientów na rachunkach bankowych oraz ich dane osobowe będą poza zasięgiem osób niepowołanych. Ponieważ branża finansowa jest szczególnie narażona na cyberprzestępstwa, to kwestii bezpieczeństwa banki nie regulują we własnym zakresie. Przeciwnie – rekomendacje wydają państwowe organy nadzorcze. Decyzje, które mają wpływ na bezpieczeństwo bankowości online, zapadają również na szczeblu unijnym, czego wyrazem może być dyrektywa PSD2 (Payment Services Directive) oraz mniej znane Rozporządzenie Delegowane Komisji (UE) 2018/389 (określane jako RTS – dodatek do PSD2).
Dyrektywa PSD2 przyniosła duże zmiany zarówno dla banków oferujących bankowość online, jak i samych klientów. W kwestii bezpieczeństwa najważniejszą zmianą jest tzw. „silne uwierzytelnianie klienta”. Zgodnie z definicją znajdującą się w przywołanej dyrektywie, banki muszą od użytkowników wymagać zastosowania co najmniej dwóch elementów (jest to tzw. uwierzytelnianie dwuetapowe, uwierzytelnianie dwuskładnikowe), które należą do kategorii:
- wiedza – coś, co wie wyłącznie użytkownik (np. hasło),
- posiadanie – coś, co posiada wyłącznie użytkownik (np. dokument tożsamości, karta płatnicza – w przypadku wypłaty środków z bankomatu),
- cechy klienta – coś, czym jest użytkownik (np. odcisk palca).
Jednocześnie elementy te muszą być od siebie niezależne. Ideą jest to, aby naruszenie jednego z nich nie osłabiało wiarygodności pozostałych.
Klienci banków są mniej odpowiedzialni za nieautoryzowane transakcje, co zwiększa ich bezpieczeństwo. Klient powinien zgłosić dostawcy usług płatniczych utratę, kradzież lub nieuprawnione użycie instrumentu płatniczego. Nie poniesie on odpowiedzialności, jeżeli nie miał możliwości stwierdzenia utraty, kradzieży lub przywłaszczenia instrumentu płatniczego przed płatnością. Nie zmienia to jednak faktu, że bank powinien zrobić wszystko, co w jego mocy, by nie dopuścić do naruszeń bezpieczeństwa.
Pierwsze logowanie do systemu bankowości elektronicznej jest kluczowe dla zapewnienia bezpieczeństwa. Użytkownicy muszą przejść przez proces weryfikacji, który obejmuje zdalne kody i hasła, co zwiększa ochronę dostępu do konta.
Dyrektywa PSD2 nie jest jedyną, którą banki muszą mieć na uwadze, gdy w grę wchodzi bezpieczeństwo bankowości online. Równie istotne jest unijne rozporządzenie o ochronie danych osobowych RODO (General Data Protection Regulation, GDPR), które zawiera dokładne wytyczne co do postępowania pracowników banku w momencie, gdy dojdzie do ataku hakerskiego lub dane klienta zostaną omyłkowo udostępnione osobie trzeciej.
