Silne uwierzytelnianie czyli nowe przepisy dot. usług płatniczych

Zapowiadane na wrzesień nowe przepisy dotyczące płatności internetowych wejdą w życie we wrześniu 2019 r. Wydaje się, że czasu jest sporo. Tymczasem każdy sklep internetowy powinien rozpocząć przygotowania jak najszybciej.

Czym jest silne uwierzytelnianie?

Silne uwierzytelnianie klienta to dwuetapowa weryfikacja tożsamości oparta na przynajmniej dwóch niezależnych elementach z kategorii:

• Wiedza – posiadana jedynie przez użytkownika np. kod PIN lub hasło
• Posiadanie – coś, co ma wyłącznie użytkownik np. kata płatnicza lub telefon
• Cechy klienta – coś, czym jest użytkownik – poprzez wykorzystanie biometrii np. skan siatkówki lub odcisku palca

Niezależność tych elementów opiera się na tym, że naruszenie jednego z nich, w żaden sposób nie osłabia wiarygodności pozostałych, przy jednoczesnym braku osłabienia danych użytkowników.

Nowe przepisy dotyczące usług płatniczych

Wskaźnik oszustw w Europie podczas realizacji płatności cyfrowych jest 10-krotnie wyższy, niż przy płatności fizycznej. Dążenie do zagwarantowania wysokiego poziomu bezpieczeństwa jest zatem naturalnym rozwiązaniem. Do tej pory silne uwierzytelnianie było jedynie rekomendowane, jednak w żaden sposób nie było uwzględnione przez prawo, jako obowiązek.

W ramach nowej unijnej dyrektywy PSD2 będzie obowiązywał zakaz przekierowywania na stronę banku, w celu dokonania silnego uwierzytelnienia. Tym samym nie będzie już potwierdzania płatności przez SMS (SMS nie spełnia standardów poufności oraz integralności), zaś stosowanie silnego uwierzytelniania będzie leżało po stronie dostawcy usług płatniczych.

Czy sklepy internetowe są gotowe na silne uwierzytelnianie?

Obowiązek silnego uwierzytelniania przez sklepy internetowe będzie co prawda obowiązywać dopiero od września przyszłego roku. Tymczasem spełnienie tych standardów, szczególnie jeśli do tej pory nie stosowało się podobnych etapów weryfikacji, wymaga podjęcia szeregu ważnych decyzji. Nad częścią kwestii warto jest się zastanowić już teraz.

Na początek dobrze jest się upewnić od kiedy Twój agent rozliczeniowy lub dostawca usług płatniczych będzie oferował usługę uwierzytelniania płatności Mastercard Identity Check, zgodną ze standardem 3DS EMV. Istotne jest również odpowiednio wczesne poinformowanie użytkowników sklepu o nadchodzących zmianach. Jednocześnie warto jest wskazać im szereg korzyści, jakie wynikają z wprowadzonych zmian: zwiększenie poziomu bezpieczeństwa, brak konieczności pamiętania haseł itp.

Tymczasem przeprowadzone na sprzedawcach z 17 krajów europejskich badanie MasterCard obrazuje, że przygotowanie właścicieli e-sklepów do zmiany przepisów jest dalekie od ideału. Obecnie jedynie 14% z nich stosuje metody uwierzytelniania. Ponad połowa zadeklarowała, że na chwilę obecną nie jest gotowa i na razie nie planuje w jakikolwiek sposób przygotowywać swojego biznesu do zmian – zrobi to w okolicach września. Może się okazać, że na tak poważne zmiany będzie trochę za późno.

Planowane zmiany są krokiem w kierunku zapewnienia bezpieczeństwa danych użytkowników. Silne uwierzytelnianie uwzględnia szereg czynników, co zwiększa jego skuteczność. W procesie dostosowywania się do nowych przepisów, mogą się jednak pojawić problemy z zakresu technologii. Obecnie biometria w Polsce nie doczekała się ogólnej bazy biometrycznej, ani podmiotu, który by nią zarządzał. Jednocześnie banki muszą dążyć do wyjścia z ofertą, która będzie spełniała unijne obowiązki. Należy więc mieć nadzieję, że takie same starania zaczną wdrażać właściciele sklepów.