Konieczność ochrony klientów dokonujących płatności za pomocą internetu oraz płatności mobilnych silnie akcentuje w szczególności dyrektywa PSD 2. Na poziomie krajowym – znaczącą rolę odegra w tym zakresie przyjęta w listopadzie ubiegłego roku rekomendacja KNF.
O ile na transpozycję przepisów PSD 2 (czyli Dyrektywy w sprawie usług płatniczych z dnia 25 listopada 2015 r.) państwa członkowskie mają czas do stycznia 2018 r., o tyle użytkownicy internetowych usług płatniczych w Polsce już otrzymali dodatkową ochronę. Stało się to za sprawą rekomendacji KNF dotyczącej bezpieczeństwa transakcji płatniczych wykonywanych w internecie, przyjętej 17 listopada 2015 r. Kierowana jest ona do banków, instytucji płatniczych, instytucji pieniądza elektronicznego oraz SKOK-ów.
Dokument reguluje trzy podstawowe obszary: (i) zasady i organizację procesu zarządzania oraz oceny ryzyka, (ii) szczególne środki kontroli i bezpieczeństwa w zakresie płatności internetowych, a także (iii) działania edukacyjne wobec klientów oraz zasady komunikacji z nimi.
Rekomendacja nakłada na dostawców usług płatniczych obowiązek stworzenia formalnej polityki bezpieczeństwa w stosunku do płatności internetowych oraz usług powiązanych, a także – wdrożenia odpowiednich środków bezpieczeństwa. Te ostatnie mają polegać w szczególności na budowaniu wielopoziomowych zabezpieczeń (tzw. obrona w głąb) oraz na dokonywaniu tzw. utwardzania, czyli wyłączania w serwerach wszystkich zbędnych funkcji. Ochrona klientów ma się odbywać również poprzez wdrożenie zasady minimalnych uprawnień, zgodnie z którą każdemu użytkownikowi przydzielane są jedynie takie uprawnienia, które są dla niego niezbędne do wykonywania pracy na danym stanowisku.
Ponadto, podczas całej sesji będzie konieczne stosowanie bezpiecznego szyfrowania danych typu „end-to-end" (tzn. pomiędzy aplikacją klienta a serwerem zawierającym usługi, do których aplikacja uzyskuje dostęp, na takiej zasadzie, że szyfrowanie danych odbywa się w systemie źródłowym, a deszyfrowanie w systemie docelowym). Ograniczeniu powinna podlegać także liczba nieudanych prób logowania lub uwierzytelniania. Powinien zostać określony maksymalny czas trwania sesji.
