А. Алексанов - Безопасность карточного бизнеса : бизнес-энциклопедия

• Название: Безопасность карточного бизнеса : бизнес-энциклопедия
• Автор: А. Алексанов
• Издательство: Московская финансово-промышленная академия; ЦИПСиР
• Жанр: О бизнесе популярно
• Год: 2012
• ISBN: 978-5-4257-0018-6

В книге дано подробное описание политики безопасности на всех этапах жизненного цикла банковской карты — от цеха, где производится пластиковая заготовка будущей карты, до торговой и сервисной сферы, где карта принимается к оплате. Отдельно рассмотрены международные стандарты PSI DSS и практика их применения. Дана классификация карточных рисков, изложена методика оценки рисков эмитента с использованием мониторинга карточных транзакций. Подробно описаны виды карточного мошенничества и методы его профилактики. Отдельные главы посвящены претензионной работе по операциям с банковскими картами и обеспечению безопасности процессингового центра. Проанализировано действующее российское законодательство, изложена судебная практика с подробным описанием уголовных дел, связанных с карточным мошенничеством, доведенных до суда. Даны общие рекомендации по информационной безопасности корпоративной системы банка как фундамента безопасности карточного бизнеса.

Книга ориентирована на сотрудников карточных подразделений, отделов информационной безопасности коммерческих банков, специалистов процессинговых центров, правоохранительных органов, занимающихся уголовными делами по карточному мошенничеству, руководящего персонала супермаркетов, прочих торговых организаций, студентов финансовых вузов.

---

После получения изображения на печатном листе пластика полуфабрикат движется в цех ламинирования продукции. На этом этапе также используется транспортный шлюз, как и везде между цехами. И так по цепочке: в цех производства заготовки, нанесения голограмм и подписных панелей, и далее — в цех персонализации и упаковки.

Конечный пункт готовой карты — сейф хранения ценностей. Здесь необходимо внести ясность: сейф находится внутри складской зоны и является самостоятельным помещением на складе. Сейф для хранения ценностей является самым секретным помещением на производственных площадях, и поэтому к нему особые требования. Он должен быть выполнен из наливного бетона с металлической конструкцией внутри и толщиной стен не менее 20 см, которые способны обеспечивать прочность и долговечность. Главный сейф необходимо оборудовать укрепленной стальной дверью с логически последовательным двойным механизмом запирания, который требует одновременного двойного контроля доступа.

Стены, потолок и пол такой конструкции снабжаются датчиками движения и вибрации. Системы видеонаблюдения и записи обязательны. Как правило, в таких защищенных конструкциях хранится готовая продукция — банковские карты, секретные компоненты для производства карт (такие как голограммы международных платежных систем, панели для подписи, магнитные полосы, чипы, ПИН-конверты и любые другие носители секретной информации).

После производства партии заказа бракованные карты и компоненты для их производства уничтожаются в специально отведенной для таких целей комнате с соблюдением всех необходимых мер безопасности. Доступ к такой комнате имеет ограниченный круг сотрудников компании. В соответствии с требованиями безопасности отходы произведенной продукции и брак уничтожаются в присутствии как минимум двух ответственных сотрудников на специальном оборудовании — уничтожителе/измельчителе. Отходы измельченных карт хранятся в мусорных контейнерах, расположенных на охраняемой и защищенной территории, ограниченной от несанкционированного доступа.

Таким образом, получился продукт — банковская карта, а полученный брак и его компоненты уничтожены. Наступает самый важный момент в жизни продукта — отпуск продукции клиенту, т. е. банку, а поскольку банковская карта приравнивается по своей значимости к денежным знакам, то и безопасность доставки пластиковых денег должна быть соответствующей.

Для доставки продукта в банк используется специализированный автомобиль службы инкассации, так же как и при перевозке денежных знаков. Согласно договору между производителем и службой инкассации автомобили подаются строго по времени и с заранее продуманным маршрутом передвижения от производителя до банка-клиента.

Мы уже знаем, что сначала спецавтомобиль для получения продукта по согласованным процедурам попадает на территорию с высоким уровнем безопасности, далее — в транспортный шлюз, а здесь применяется следующий алгоритм:

• подготовка отгрузки продукции должна осуществляться под двойным контролем в пределах места хранения товара — сейфе хранения ценностей и в присутствии сотрудника службы безопасности;

• отгрузка продукции разрешена только по предварительной договоренности с получателем товара и службой инкассации;

• сотрудник службы безопасности уведомляет сотрудника склада о предстоящей отгрузке;

• сотрудник службы безопасности направляет водителя в зону отгрузки;

• визуальная и звуковая идентификация водителя должна подтверждаться сотрудником службы безопасности;

• внешние ворота территории и ворота отгрузки товара открываются и закрываются только с центрального пункта управления безопасностью;

• ответственный сотрудник склада оформляет документы на отгрузку через окно безопасности и подтверждает это оформление в пункте управления безопасностью;

• производится отгрузка товара и подтверждение отгрузки сотрудниками склада;

• сотрудник службы безопасности открывает ворота для выезда водителя из грузового отсека;

• все операции по отгрузки товара наблюдаются и записываются системой видеонаблюдения.

Банк информирует производителя о доставке продукции и хранит товар до выдачи его уже непосредственно клиенту в сейфе ценностей, выполненном, по таким же требованиям международных платежных систем, как и для производителя.

Безопасность центра персонализации

Зоны персонализации карт являются закрытыми зонами с санкционированным доступом ограниченного количества сотрудников. Прежде чем произвести персонализацию заготовок карт, необходимо подготовить само задание, для чего предусмотрена специальная комната подготовки задания. Конструктивно такая комната строится из прозрачных композиционных материалов, находится в зоне персонализации и контролируется камерами видеонаблюдения. Стены и потолок в комнате защищены датчиками вибрации и детекторами внутренних перемещений. Информация для персонализации передается от заказчика по защищенным каналам связи с соблюдением процедур, а ключами доступа к информации обладают ответственные сотрудники компании, имеющие специальный допуск.

Открывают и готовят задание одновременно не менее двух сотрудников. Далее информация в зашифрованном виде по внутренним сетям компании, не связанным с внешним миром, к определенному времени выполнения такого задания загружается в машину для персонализации. Ответственный сотрудник компании, непосредственно работающий на участке персонализации, проводит свою часть работ по персонализации.

После окончания работ готовые карты укладываются в специальные лотки в определенном количестве и пломбируются. Далее лотки с готовой продукцией перемещаются в цех упаковки, а лотки с бракованной продукцией попадают в комнату уничтожения отходов. После произведенной упаковки с инициализацией готовая продукция отправляется в сейф хранения ценностей для отгрузки банку-клиенту. Весь процесс персонализации и движения готовой продукции находится под наблюдением систем видеонаблюдения с записью и хранением информации. Таким образом, жестко прописанные международными платежными системами регламенты и процедуры выполнения работ по персонализации фактически исключают саму возможность утечки информации или готовой продукции.

Возможность изготовления дубликатов продукции, с одной стороны, исключается строгим соответствием заказа готовой продукции количеству компонентов на ее производство, отпущенных на складе, а с другой стороны, установленным программным продуктом на оборудовании, производящем персонализацию.

Если кратко подвести итог этой части, то физическая безопасность ограничивает доступ на территорию производителя, а логическая безопасность подразумевает проведение организационных мероприятий на предприятии и их соблюдение. Надо сказать, что требования физической и логической безопасности на производстве готовой продукции схожи по своей сути с требованиями, применяемыми банками в своей деятельности. И если возникают какие-то спорные моменты к произведенной продукции у заказчика, то здесь включаются в работу претензионные службы банка-клиента и отделы качества производителя.

Глава 4 Претензионная работа в банке

Как правило, 99,9 % операций клиентов по банковским картам обрабатываются эмитентами корректно и не вызывают последующих нареканий держателей банковских карт. Тем не менее все же ~0,1 % операций (согласно статистике MasterCard) вызывают несогласие у клиентов и служат основанием для инициации эмитентами операций так называемого претензионного цикла (exception/dispute cycle). Данный раздел ставит своей целью описать основные аспекты претензионной работы по операциям с пластиковыми картами в современном банке. В изложенном материале читатель не найдет советов и рекомендаций о том, какой chargeback reason code (RC) выбрать в конкретной ситуации, так как такие сведения даются в соответствующих материалах платежных систем и на специализированных семинарах. Но здесь будут приведены общие соображения и рекомендации о том, как правильно построить работу подразделения, отвечающего за претензионный цикл в современном коммерческом банке.

Общие положения

Претензионная работа по картам является наиболее трудной и наименее автоматизируемой частью банковских операций и требует высокой квалификации сотрудников, отвечающих за это направление, подразумевающей очень хорошее владение английским языком и уверенное знание актуальных правил международных платежных систем в части расчетов и претензионного цикла.

Следует сразу оговорить, что в настоящем разделе будут рассмотрены аспекты классической претензионной работы по картам VISA и MasterCard (карты эмитента в устройствах сторонних банков — эмиссия и карты сторонних эмитентов в устройствах банка — эквайринг), как наиболее традиционные. Платежные системы Diners Club и American Express, а также on-us операции (в случае когда банк-эмитент и банк-эквайрер — это один и тот же банк) не рассматриваются.