Скоро будет собственная НПС?

Как известно, первая из реальных санкций Обамы достигла цели и затормозила карточные расчеты в теперь уже всем известном банке Россия и в нескольких менее известных других. Нужно ли ждать, когда наши иностранные «друзья» затормозят еще пару банков? Раньше серьезно о создании в России собственной НПС никто не говорил. Есть же Виза да Мастер говорили все, зачем создавать свою платежку? Есть же Арбуз да Боинг, зачем создавать СуперДжет?  Есть же БМВ да Лексус, зачем развивать Ладу? Примерные слова Жириновского, что давайте нам санкции по всем фронтам, мы станем только сильнее. Есть и народная мудрость про то, что нас не убивает, делает нас сильнее. Читаем свежую новость, что в ЦБ уже думают, что делать, чтобы ликвидировать эту зависимость от внешнего мира. Также привожу определение из 161-ФЗ, которое я даже НЕ ПОНИМАЮ:

национальная платежная система - совокупность операторов по переводу денежных средств (включая операторов электронных денежных средств), банковских платежных агентов (субагентов), платежных агентов, организаций федеральной почтовой связи при оказании ими платежных услуг в соответствии с законодательством Российской Федерации, операторов платежных систем, операторов услуг платежной инфраструктуры (субъекты национальной платежной системы);

Что в этом определении национального? Ничего. Закон о НПС есть, а НПС в России нет.

Но мы уже движемся в нужном направлении. Депутат ГД Резник предложил поправки в 161-ФЗ, чтобы операционные центры находились в РФ. Конечно, можно создать такой центр на базе МПС за деньги государства, но тогда % от каждой транзакции по-прежнему будет утекать за рубеж. Лучше же создать собственную полноценную НПС. После чего законодательно обязать все зарплатные проекты госов и не госов размещать только в ней, а возможность использования МПС оставить гражданам на свой страх и риск. В Китае сделано именно так! Интересно, что China UnionPay включена в Реестр ЦБ.

Для поддержки НПС нужно будет также перенастроить все банкоматы и все POS-терминалы. Я лично буду с удовольствием пользоваться российским продуктом, а когда мне надо будет поехать за рубеж, получу для этого карту МПС.

Про отмену платежа

С 01 января 2014 вступают в действие в т.ч. следующие «чудесные» пункты Статьи 9 из 161-ФЗ:

11. В случае утраты электронного средства платежа и (или) его использования без согласия клиента клиент обязан направить соответствующее уведомление оператору по переводу денежных средств в предусмотренной договором форме незамедлительно после обнаружения факта утраты электронного средства платежа и (или) его использования без согласия клиента, но не позднее дня, следующего за днем получения от оператора по переводу денежных средств уведомления о совершенной операции.

12. После получения оператором по переводу денежных средств уведомления клиента в соответствии с частью 11 настоящей статьи оператор по переводу денежных средств обязан возместить клиенту сумму операции, совершенной без согласия клиента после получения указанного уведомления.

13. В случае, если оператор по переводу денежных средств не исполняет обязанность по информированию клиента о совершенной операции в соответствии с частью 4 настоящей статьи, оператор по переводу денежных средств обязан возместить клиенту сумму операции, о которой клиент не был проинформирован и которая была совершена без согласия клиента.

Упрощаю для понимания эти пункты:

11. При потере карты или при левом платеже нужно не позднее суток сообщить в банк.

12. После этого банк, безусловно, обязан вернуть деньги.

13. Если банк не отправил SMS о левом платеже (а не что она не пришла!), банк также обязан вернуть деньги.

Итак, клиент при утере своего средства платежа, например, банковской карты должен незамедлительно уведомить об этом кредитную организацию. Ниже в таблице я зарисовал текущую ситуацию о лимитах на дебетовые карты банка Тинькофф, чей продукт я в т.ч. использую. Из условий видно, что карты «заточены» на проведение операций в торгово-сервисной сети. Во-первых, при таких операциях не требуется ввод PIN-кода, а во-вторых, за покупки всегда возвращается минимум 1% (cash back).

№	Операция	Меры ИБ	Лимиты
1	Снятие наличных в банкомате	PIN-код	Суточный	Месячный (общий)
2	Оплата в торгово-сервисной сети	Только контроль (SMS-оповещение)	-
3	Оплата через Интернет (без присутствия карты)	а) On / Off или б) CVV или CVV + 3D-Secure	Суточный	-
4	Выполнение платежей или переводов в Интернет-банке	а) Пароль + SMS-код далее б) SMS-пароль или шаблон	-	-

Конечно, для безопасной и прогнозируемой оплаты стоит предположить стандартные компенсационные меры:

- постоянно отслеживать и отодвигать «вправо» месячный лимит перед совершением или планированием покупок.

- чаще пользоваться точками, в терминалах которых реализована функция PayPass / payWave.

- держать карту в заблокированном состоянии (там, где это возможно).

Если при утере карты ей воспользуется злоумышленник, он сможет только провести торгово-сервисную операцию, по результатам которой клиент должен получить SMS с содержанием и суммой операции. После этого клиент незамедлительно должен начать бить тревогу – блокировать карту. А если мобильный телефон недоступен или SMS приходят с хорошим запозданием, что стало уже почти традицией и не только в Москве? В этом случае самое главное уведомить об этом банк в течение суток, и он будет обязан вернуть вам пропавшие деньги. Далее можно ожидать от банка регрессный иск, но вначале клиент всё же получит возврат своих денег.

Семинар Курило по НПС

Был сегодня на платном семинаре ЦБ по вопросам НПС. Пересказываю для отсутствующих:

В последних документах ЦБ акцент сдвинут от требований к деятельности. Документы сделаны на основе СТО БР и методики оценки соответствия, т.е. есть преемственность подходов.  Важным стало появление регулярной отчетности по ИБ. Банки должны отправлять отчетность через Клико, однако ЦБ не успевает сделать форму, поэтому первый раз нужно будет передавать отчетность в бумажном виде в экспедицию территориального управления ЦБ.

На вопрос о судьбе СТО БР было сказано, что этот стандарт так и останется рекомендательным, эдаким источником знаний типа Wikipedia. Более того ЦБ никогда и не был его инициатором (!), поэтому за такой поворот им не стыдно. Что делать тем банкам, которые следовали СТО БР и которых 80%? Было обещано, что их труды не пройдут даром, и они зачтутся. Для себя ЦБ сделает некий конвертер для приведения результатов самооценки и сегодняшней отчетности к одному знаменателю. Отчет по самооценке можно им высылать в течение двух лет, хоть сейчас, но спешить не следует.

ЦБ намерен активно вести деятельность по защите электронных средств платежей, в которые подпадает ДБО. Более того ЦБ для себя открыл существование стандарта PCI DSS, в котором также есть оценка соответствия требованиям. В России есть несколько переводов PCI DSS на русский язык, ЦБ начал работу по переводу тоже. Планируется, что официальный перевод будет доступен на сайте ЦБ. Также ЦБ планирует вступить в отношения с PCI DSS Консулом и тем самым начать признавать сертификаты, выдаваемые интеграторами, как доказательства реального положения дел, пусть только в области обработки пластика. Свои же документы ЦБ хочет доработать так, чтобы они полностью пересекались с требованиями PCI DSS.

Что входит в область действия НПС все итак уже знают. Это и ДБО, это и АБС, это и системы мгновенных переводов денег. Главное банкам не пытаться сужать эту область, а ориентироваться, как и раньше, на СТО БР и локальные правила.

В ЦБ уже начали поступать документы на регистрацию платежных систем. По закону эти требования носят заявительный характер. До конца года такие организации должны заявить о себе. Пока ни одной системы не зарегистрировано. Можно ожидать появление реестра к весне 2013 года.

По инцидентам. Если банк имеет филиалы, то отчет должна делать только головная организация и должна включать в него инциденты из филиалов. В отчет должна попадать информации обо всех инцидентах, включая дроперов и инциденты систем мгновенных переводов денег. Если инцидентов нет, то нужно присылать пустой отчет. ЦБ же будет собирать отчеты, анализировать их и выкладывать на своем сайте сводные данные о состоянии ИБ в отрасли.

ЦБ заинтересован в качественной работе с банками по линии ИБ, поэтому если появляются вопросы, нужно оперативно направлять их к ним через АРБ. Также в ЦБ открылась интернет-приемная, в которую можно также направлять вопросы.

На семинаре задавалось много вопросов, на большую их часть ответы получены не были по причине того, что «это наша первая попытка сбора инцидентов и мы будем думать, что делать дальше». Общее впечатление в части полезности мероприятия оцениваю на 3.

Вперед к НПС

Не прошло и месяца со дней вступления в силу документов ЦБ по защите информации в национальной платежной системе, как появились следующие активности у заинтересованных сторон.

1) Уже появилось три платных семинара по защите информации в НПС: Лукацкий, Курило, Хайров.

2) Начали поступать аналитические материалы и ТКП от интеграторов.

3) Появляются бесплатные тематические завтраки, обеды и ужины.

Хорошим мне здесь видится то, что наконец-то некоторые из основных положений до сих пор необязательного для исполнения СТО БРР ИББС становятся обязательными. С другой стороны это только начало, так как, проведя аналогию с 152-ФЗ, который был принят аж в 2006 году, многие до сих пор занимают выжидательную позицию и будут занимать её до появления (нужное подчеркнуть) изменений КоАП, судебных прецедентов, закрытия компаний.

Почему я думаю так? Потому, что времени на самооценку дали 2 года. Потому, что отчеты по инцидентам никто не запретит отправлять пустыми. Потому, что вначале нужно было создать реестр платежных систем, из которых строится НПС, а потом уже выдвигать компаниям правила игры в защиту информации на платежном рынке.