České banky jsou na špici v zabezpečení elektronických plateb

Banky

Zabezpečení elektronických plateb českých bank je v rámci Evropy na nadstandardní úrovni. Podle mezinárodní studie společnosti Grant Thornton Advisory je Česká republika jednou ze zemí s nejvyšší mírou implementovaných bezpečnostních pravidel. Kromě účinné identifikace a autentizace klientů české banky používají zabezpečené komunikační kanály, monitoring a vyhodnocování rizik.

„Podle statistiky ČSÚ stále roste počet uživatelů internetového bankovnictví, aktuálně ho používá 45 % obyvatel České republiky. Roste i počet hackerských pokusů o útoky na účty klientů a systémy bank. Proto jsme se rozhodli společně s agenturou GTA zmapovat, jak se k zabezpečení informací a dat o klientech staví i ostatní evropské instituce a státy. Ze studie výrazně vyplynulo, že zabezpečení elektronických plateb je jedním z aktuálních témat nejen finančních institucí, ale také vlád a regulátorů. Kromě implementace pravidel a sofistikovaných systémů na straně bank se kyberbezpečnost stává nedílnou součástí naší legislativy. A to je pro klienty dobrá zpráva,“ říká Tomáš Hládek, poradce pro platební styk a digitalizaci z ČBA, a dodává, že Česká republika je leaderem těchto snah spolu s Estonskem, Moldavskem a Spojeným královstvím.

Banky riziko rozhodně nepodceňují

Studie se zaměřila na některé procesy spojené se zabezpečením bank, které by měly provádět v rámci svých procesů všechny banky.

V bankách fungují velmi dobře interní procesy. „Přehodnocení kybernetických rizik probíhá u všech bank alespoň jednou ročně, a to jak na kvalitativní, tak na kvantitativní úrovni,“ vysvětluje Michal Beneš, senior manager Grant Thornton Advisory. K tomu jsou nejčastěji používány třístupňové klasifikace důležitosti systémů, zranitelnost informačních systémů prověřují pravidelné penetrační testy. „U českých bank je samozřejmostí tzv. Disaster Recovery plán, který určuje přesné postupy v případě ohrožení elektronických systémů,“ upřesňuje Tomáš Hládek.

České banky se svými klienty tradičně komunikují na osobní bázi, stále více jsou ale dostupné i online. Pro online komunikaci využívají zabezpečený komunikační kanál v podobě internetového bankovnictví. Ten je pravidelně aktualizován. Z hlediska interních systémů banky kontrolují uživatelská práva a monitorují chování uživatelů prostřednictvím DLP systémů (systém umožňující včasné varování před hrozícím únikem dat). „Stejně tak identifikace a autentizace (ověření oprávnění) klienta směřuje stále více do online prostředí. U nás je autentizace klienta pro vstup do internetového bankovnictví velmi dobře řešená,“ uvádí Tomáš Hládek.

„Při elektronickém kontaktu je nutné zajistit vysoké zabezpečení komunikace a vybudovat v klientovi důvěru v toto zabezpečení,“ doplňuje Michal Beneš a dodává, že při autentizaci stávajícího klienta banky osobní kontakt již nevyžadují. Dotazované banky v jednotlivých zemích volí různé druhy autentizace stávajících klientů při elektronické komunikaci. V polovině zemí je obvyklý certifikát či elektronický podpis. V Řecku, Turecku a Moldavsku se banky spoléhají na PIN nebo heslo. Estonské banky potom používají k autentizaci klientů často elektronické občanské průkazy. V České republice se často používá SMS s kódem. Ve Spojeném království se způsob autentizace liší u různých produktů/služeb.

Klíčovým prvkem pro identifikaci osob je v 85 % zemí centrální registr právnických osob. Banky v nich nejčastěji hledají informace o statutárních orgánech (v 93 %) a dále finanční informace, předmět podnikání a sídlo firmy (shodně 79 %). Jen v Irsku registr obsahuje informace pouze o fyzických osobách. U fyzických osob většinu bank zajímá bydliště a předmět podnikání u těch, kteří podnikají. Nadto mají banky možnost využívat i speciální databáze klientů finančních institucí – povinně ve Francii, Nizozemsku a na Slovensku, dobrovolně pak v České republice a Rumunsku.

Nástroje zabezpečení elektronických plateb v České republice

Aktivita	Důvod	Které země využívají
Analýza a přehodnocení rizik.	– IT patří k nejprogresivnějším oborům. – Množí se útoky a jejich podoba. – Útoky je čím dál obtížnější vypátrat.	NĚKOLIKRÁT ROČNĚ: Estonsko, Irsko, Nizozemsko, Slovensko, Švýcarsko, Turecko, Spojené království. JEDNOU ROČNĚ: ČR, Německo, Řecko, Lucembursko, Moldavsko.
Kontrola zabezpečení informačních systémů pomocí simulovaných útoků.	– Pomocí penetračních testů lze identifikovat a odstranit mezery v bezpečnosti.	NĚKOLIKRÁT ROČNĚ: Irsko, Nizozemsko, Švýcarsko, Spojené království. JEDNOU ROČNĚ: Estonsko, Německo, Lucembursko, Moldavsko. JEDNOU ZA 2 ROKY: Slovensko. RŮZNÁ FREKVENCE: ČR.
Centrální identity management systém – umožňuje spravovat uživatelské účty klientů a jejich přístup k jednotlivým aplikacím.	– Zvyšuje efektivitu a bezpečnost před interními a externími útoky. – Umožňuje lepší kontrolu nad přístupovými právy.	ANO: ČR, Estonsko, Německo, Lucembursko, Slovensko, Spojené království, Moldavsko. ČÁSTEČNĚ: Řecko, Irsko, Nizozemsko.
Monitoring uživatelského chování na síti a prevence manipulace s daty.	– Identifikace, monitorování a ochrana dat. – Zákaz kopírování dat či jejich odesílání emailem. – Varování v případě hrozícího úniku dat.	DLP SYSTÉM: ČR, Švýcarsko, Spojené království, Lucembursko, Moldavsko. SYSTÉM PRO MONITOROVÁNÍ: Estonsko, Německo, Řecko, Irsko, Moldavsko, Nizozemsko, Slovensko.

Oblast kybernetického zabezpečení řídí v první řadě zákon a best practise, v České republice Zákon č. 181/2014 Sb. „Obdobná regulace existuje ve 2/3 zkoumaných zemích, v drtivé většině zemí, včetně té naší, se vztahuje nebo v dohledné době bude vztahovat i na bankovní sektor,“ uvádí Michal Beneš. Drtivá většina zemí (86 %) navíc legislativně řeší i ochranu osobních údajů.