А. Алексанов - Безопасность карточного бизнеса : бизнес-энциклопедия

• Название: Безопасность карточного бизнеса : бизнес-энциклопедия
• Автор: А. Алексанов
• Издательство: Московская финансово-промышленная академия; ЦИПСиР
• Жанр: О бизнесе популярно
• Год: 2012
• ISBN: 978-5-4257-0018-6

В книге дано подробное описание политики безопасности на всех этапах жизненного цикла банковской карты — от цеха, где производится пластиковая заготовка будущей карты, до торговой и сервисной сферы, где карта принимается к оплате. Отдельно рассмотрены международные стандарты PSI DSS и практика их применения. Дана классификация карточных рисков, изложена методика оценки рисков эмитента с использованием мониторинга карточных транзакций. Подробно описаны виды карточного мошенничества и методы его профилактики. Отдельные главы посвящены претензионной работе по операциям с банковскими картами и обеспечению безопасности процессингового центра. Проанализировано действующее российское законодательство, изложена судебная практика с подробным описанием уголовных дел, связанных с карточным мошенничеством, доведенных до суда. Даны общие рекомендации по информационной безопасности корпоративной системы банка как фундамента безопасности карточного бизнеса.

Книга ориентирована на сотрудников карточных подразделений, отделов информационной безопасности коммерческих банков, специалистов процессинговых центров, правоохранительных органов, занимающихся уголовными делами по карточному мошенничеству, руководящего персонала супермаркетов, прочих торговых организаций, студентов финансовых вузов.

---

международная карта, нормальная авторизация, нормальная верификация».

2.2. Если структура информации на первой и/или второй дорожках магнитной полосы не соответствует стандартам платежных си стем, может быть сделан следующий вывод: интерпретировать информацию, расположенную на магнитной поло се представленной на исследование пластиковой карты, в соответствии с правилами платежных систем не представилось возможным по причинам (указывается перечень причин либо дается ссылка на исследовательскую часть заключения эксперта, в которой указан данный перечень).

Если информация на первой дорожке магнитной полосы не соответствует информации на второй дорожке магнитной полосы, вывод формулируется относительно каждой дорожки в отдельности.

3. Вывод по вопросу: «соответствует ли информация, записанная на магнитную полосу пластиковой карты, информации, имеющейся в элементах внешнего оформления данной карты?».

3.1. Если при сопоставлении информации о наименовании платежной системы, наименовании организации-эмитента, наименовании карточного продукта, типе карты, номере карты, имени держателя карты, дате окончания действия карты, записанной на магнитную полосу пластиковой карты, с информацией, имеющейся в элементах внешнего оформления, установлено их совпадение, делается следующий вывод: информация, записанная на магнитную полосу пластиковой карты, представленной на и с следование, соответствует информации, имеющейся в элементах внешнего оформления данной карты.

3.2. Если при сопоставлении информации о наименовании платежной системы, наименовании организации-эмитента, наименовании карточного продукта, типе карты, номере карты, имени держателя карты, дате окончания действия карты, записанной на магнитную полосу пластиковой карты, с информацией, имеющейся в элементах внешнего оформления, установлено различие хотя бы в одном реквизите, делается следующий вывод: информация, записанная на магнитную полосу пластиковой карты, представленной на исследование, не соответствует информации, имеющейся в элементах внешнего оформления данной карты.

3.3. Если структура информации на первой и/или второй дорожках магнитной полосы не соответствует стандартам платежных систем или в элементах внешнего оформления карты отсутствуют реквизиты для сравнения, то сопоставление данной информации с информацией, имеющейся в элементах внешнего оформления пластиковой карты, не производится и вывод может быть следующим: сопоставление информации, имеющейся в элементах внешнего оформления пластиковой карты, представленной на исследование, с информацией, расположенной на магнитной полосе этой карты, не проводилось по причинам (указывается[118] перечень причин либо дается ссылка на исследовательскую часть заключения эксперта, в которой указан данный перечень).

4. Вывод по вопросу: «может ли представленная на исследование пластиковая карта быть воспринята в технологии функционирования платежной системы в качестве кредитной или расчетной (при условии использования информации, записанной на магнитную полосу карты) (на определенную дату или период времени)?».

4.1. Если исследование показало, что условия, необходимые для проведения транзакций с помощью электронного терминала, соблюдены, делается следующий вывод: представленная на исследование пластиковая карта (указать дату) может быть воспринята в технологии функционирования платежных систем в качестве кредитной/расчетной (при условии использования информации, записанной на магнитную полосу карты).

4.2. Если исследование показало, что для проведения транзакций с помощью электронного терминала не соблюдено хотя бы одно из условий п. 2.3.7, делается следующий вывод: представленная на исследование пластиковая карта (указать дату) не может быть воспринята в технологии функционирования платежных систем в качестве кредитной/расчетной (при условии использования информации, записанной на магнитную полосу карты).

Литература

Положение Центрального Банка Российской Федерации 24 декабря 2004 г. № 266-П «Об эмиссии банковских карт и об операциях, совершаемых с использованием платежных карт» (ред. от 21 сентября 2006 г.) (Зарегистрировано в Минюсте РФ 25 марта 2005 г. № 6431).

Приложение к письму Центрального Банка Российской Федерации от 2 октября 2009 г. № 120-Т «Памятка о мерах безопасного использования банковских карт»

Письмо ЦБ РФ от 22 ноября 2010 г. № 154-Т «О рекомендациях по раскрытию информации об основных условиях использования банковской карты и о порядке урегулирования конфликтных ситуаций, связанных с ее использованием»

ГОСТ Р ИСО/МЭК 10 373-1-2002 «Карты идентификационные. Методы испытаний. Часть 1. Общие характеристики».

ГОСТ Р ИСО/МЭК 10 373-2-2002 «Карты идентификационные. Методы испытаний. Часть 2. Карты с магнитной полосой».

ГОСТ Р ИСО/МЭК 7810–2002 «Карты идентификационные. Физические характеристики».

ГОСТ Р ИСО/МЭК 7811-2-2002 «Карты идентификационные. Способ записи. Часть 2. Магнитная полоса малой коэрцитивной силы».

ГОСТ Р ИСО/МЭК 7811-1-2003 «Карты идентификационные. Способ записи. Часть 1. Тиснение».

ГОСТ Р ИСО/МЭК 7811-3-3-2003 «Карты идентификационные. Способ записи. Часть 3. Расположение рельефных символов на картах формата ID-1».

ГОСТ Р ИСО/МЭК 7811-6-2003 «Карты идентификационные. Способ записи. Часть 6. Магнитная полоса большой коэрцитивной силы».

Материалы конференции «Банковские карты: эффективный бизнес» 2010. Октябрь.

Пятиизбянцев Н. П. Банкоматные потери [Доклад] // Материалы семинара «Стратегия защиты пластиковых карт от мошенничества. Анализ рисков в электронном обращении с картами». 2010. Март.

Голенищев А. А. Безопасность и управление рисками в бизнесе эквайринга пластиковых карт [Доклад] // Материалы семинара «Стратегия защиты пластиковых карт от мошенничества. Анализ рисков в электронном обращении с картами». 2010. Март.

Голенищев А. А. Обзор современных видов мошенничества в России и за рубежом [Доклад] // Материалы семинара «Стратегия защиты пластиковых карт от мошенничества. Анализ рисков в электронном обращении с картами». 2010. Март.

Голдовский И. М. Реальная безопасность микропроцессорных карт [Доклад] // Материалы семинара «Реальная безопасность микропроцессорных EMV-карт». 2009. Июнь.

Доклад представителя VISA Int. П. Стромского, доклад представителя АРЧЕ Е. Балезина.

Термины международной практики безналичных расчетов. М.: Рекон Интернешнл, 2007.

ISO 4217, Codes for the representation of currencies and funds.

ISO 7810, Identification cards — Physical characteristics.

ISO 7811, Identification cards — Recording technique Part 1: Embossing.

Part 2: Magnetic stripe.

Part 3: Location of embossed characters on ID-1 cards.

Part 4: Location of read-only magnetic tracks — Tracks 1 and 2.

Part 5: Location of read-write magnetic track — Track 3.

ISO 7812, Identification cards — Numbering system, and registration procedure for issuer identifiers.

ISO 7813, Identification cards — Financial transaction cards.

VISA Interchange Directory (VID).

Member Information Directory (MIM — Member Information Manual).

VISA Payment Technology Standards Manual.

MasterCard. Authorization System Manual.

MasterCard. Security Rules and Procedures.

Payment Card Industry Data Security Standard (PCI DSS).

VISA International Operating Regulations.

MasterCard Chargeback Guide.

© Коллектив авторов, 2012

© Центр исследований платежных систем и расчетов, 2012

© Московская финансово-промышленная академия, 2012

Примечания

1

Классификация и тенденции современного карточного мошенничества были всеобъемлющим образом описаны российским «гуру» платежных технологий И. М. Голдовским в его новой книге: Банковские микропроцессорные карты. М.: Центр исследований платежных систем и расчетов; Альпина Паблишерз, 2010.

2

Stand-in процессинг (STIP) — это режим обработки транзакций, когда банк-эмитент поручает ведение баз данных карт и установленных/назначенных эмитентов лимитов, а также проведение авторизации на основе этих данных альтернативному процессинговому центру.

3

июля 2009 г.

4

Key-management — процедуры управления криптографическими ключами: генерация, хранение, доставка, использование и замена ключей для криптосистем с соблюдением требований обеспечения безопасности.

5

См. примечание к ст. 158 УК РФ в ред. Федерального закона от 8 декабря 2003 г. № 162-ФЗ «О внесении изменений и дополнений в Уголовный кодекс Российской Федерации» (в ред. от 7 апреля 2010 г. № 60-ФЗ) // Собрание законодательства Российской Федерации. 2003. № 50. Ст. 4848.

6

Конфиденциальность ПИН-кода утрачивается в результате подсматривания (например, с подобной ситуацией столкнулись следователи Челябинской области при расследовании уголовного дела № 605605 в отношении Л. Б. Рудя) либо в результате небрежности держателя платежной карты. Зачастую ПИН-код записан в записной книжке или в записке, носимой с платежной картой, на самой платежной карте и т. д., например, уголовное дело № 125981, находившееся в производстве следователей г. Егорьевска (Московская область), когда платежная карта потерпевшей была похищена из сумки вместе с ПИН-кодом. Наряду с указанным можно привести пример: уголовное дело № 1-201/2006, рассмотренное в Пожарском районном суде в отношении С. Н. Шаповалова, где платежная карта и записка с ПИН-кодом были похищены из квартиры потерпевшего в ходе квартирной кражи.