Человеческий фактор, увы, способен свести на нет достижения самых современных технологий, усилия многих и многих высококвалифицированных специалистов — производителей карт, которые делают заготовки из высококачественного пластика со специальными защитными элементами (редкий кассир торгового предприятия способен оценить качество пластика, знает защитные элементы); методологические разработки специальных структур МПС, разрабатывающих стандарты безопасности по операциям с картами; усилия законодателей и представителей правоохранительных органов. Спрашивается, для чего тогда нужны качественный пластик, надежные технологии, международные стандарты, адекватное законодательство?
Есть очевидная аксиома, известная специалистам по управлению рисками в любом бизнесе, — свести риски к нулю нельзя, но минимизировать — можно и нужно. Это, безусловно, относится и к карточной сфере. Для минимизации рисков и существуют технологии, стандарты, законы и многое другое — все то, чему посвящена эта книга.
Современный карточный бизнес существует в очень агрессивной внешней среде. Особенность пластиковой карточки как банковского инструмента удаленного доступа к счету клиента, причем настолько эффективного, что границы между государствами перестали иметь значение, привела к международному размаху карточного мошенничества. Первый раздел книги посвящен его видам (скиммингу, фишингу и т. д.), рискам и угрозам для банка (эмитента и эквайрера), которые влечет за собой мошенническая активность, возможностям предупреждения и противодействия, способам минимизации рисков. В обзоре обобщены и систематизированы наработки ведущих международных платежных систем, российских и иностранных кредитных организаций, практикующих экспертов в области борьбы с карточным мошенничеством.
Как известно, ничто так не поощряет преступника, как безнаказанность. На российском правовом поле у представителей правоохранительных органов множество проблем, связанных с несовершенством существующего законодательства, сложности квалификации заведенных уголовных дел по статьям УК в сфере применения платежных карт. И в следующей главе бизнес-энциклопедии все это пунктуально проанализировано. Принципиальная сложность квалификации карточных преступлений заключается в пересечении здесь сразу трех областей знания — уголовного права, гражданского права и специфики карточных технологий. Все вместе это приводит к тому, что уголовное преследование карточных мошенников, даже «пойманных за руку», — достаточно сложная задача. И вместе с тем ее решение возможно, чему свидетельство — дела, дошедшие до суда, и реальные сроки, полученные мошенниками, о которых рассказывается в разделе Приложений.
Особняком, на стыке правового поля и технологий, стоят стандарты международных платежных систем, наиболее известные из которых обозначаются аббревиатурой PCI DSS, — они анализируются в специальном разделе книги. Данные стандарты носят обязательный характер для исполнения банками — членами платежных систем, но отношение к ним, и в России, и в мире не однозначное. Позиция многих российских банков основывается на здравом смысле — если стоимость следования стандартам превышает размер возможных потерь, это делает стандарты нецелесообразными. Позиция аудиторов тоже имеет свои серьезные основания — стандарты МПС существуют, и банкам, как членам МПС, следует их исполнять, а в какой степени — зависит от масштаба бизнеса. Обе точки зрения аргументированно представлены в книге.
Мониторингу транзакций по платежным картам посвящена следующая глава, в которой, в числе прочего, формулируются задачи мониторинга, дается классификация средств мониторинга транзакций, дается первичный математический аппарат для количественной оценки рисков, основные понятия (инцидент, расследование и др.), примеры мониторинга транзакций.
Комплексный подход к проблеме обеспечения безопасности карточного бизнеса можно считать определяющей составляющей успеха дела. Нельзя забывать, что карточная безопасность в банке является элементом безопасности информационной системы банка в целом. В следующем разделе книги даются основные моменты, на которые следует обратить внимание при построении центра информационной безопасности банка, и, в частности, описывается применение специальных систем контроля защищенности класса SIEM.