Zabezpečení elektronických plateb českých bank je v rámci Evropy na nadstandardní úrovni. Podle mezinárodní studie společnosti Grant Thornton Advisory je Česká republika jednou ze zemí s nejvyšší mírou implementovaných bezpečnostních pravidel. Kromě účinné identifikace a autentizace klientů české banky používají zabezpečené komunikační kanály, monitoring a vyhodnocování rizik.
„Podle statistiky ČSÚ stále roste počet uživatelů internetového bankovnictví, aktuálně ho používá 45 % obyvatel České republiky. Roste i počet hackerských pokusů o útoky na účty klientů a systémy bank. Proto jsme se rozhodli společně s agenturou GTA zmapovat, jak se k zabezpečení informací a dat o klientech staví i ostatní evropské instituce a státy. Ze studie výrazně vyplynulo, že zabezpečení elektronických plateb je jedním z aktuálních témat nejen finančních institucí, ale také vlád a regulátorů. Kromě implementace pravidel a sofistikovaných systémů na straně bank se kyberbezpečnost stává nedílnou součástí naší legislativy. A to je pro klienty dobrá zpráva,“ říká Tomáš Hládek, poradce pro platební styk a digitalizaci z ČBA, a dodává, že Česká republika je leaderem těchto snah spolu s Estonskem, Moldavskem a Spojeným královstvím.
Banky riziko rozhodně nepodceňují
Studie se zaměřila na některé procesy spojené se zabezpečením bank, které by měly provádět v rámci svých procesů všechny banky. V bankách fungují velmi dobře interní procesy. „Přehodnocení kybernetických rizik probíhá u všech bank alespoň jednou ročně, a to jak na kvalitativní, tak na kvantitativní úrovni,“ vysvětluje Michal Beneš, senior manager Grant Thornton Advisory. K tomu jsou nejčastěji používány třístupňové klasifikace důležitosti systémů, zranitelnost informačních systémů prověřují pravidelné penetrační testy. „U českých bank je samozřejmostí tzv. Disaster Recovery plán, který určuje přesné postupy v případě ohrožení elektronických systémů,“ upřesňuje Tomáš Hládek.
České banky se svými klienty tradičně komunikují na osobní bázi, stále více jsou ale dostupné i online. Pro online komunikaci využívají zabezpečený komunikační kanál v podobě internetového bankovnictví. Ten je pravidelně aktualizován. Z hlediska interních systémů banky kontrolují uživatelská práva a monitorují chování uživatelů prostřednictvím DLP systémů (systém umožňující včasné varování před hrozícím únikem dat). „Stejně tak identifikace a autentizace (ověření oprávnění) klienta směřuje stále více do online prostředí. U nás je autentizace klienta pro vstup do internetového bankovnictví velmi dobře řešená,“ uvádí Tomáš Hládek.
Při elektronickém kontaktu je nutné zajistit vysoké zabezpečení komunikace a vybudovat v klientovi důvěru v toto zabezpečení. Dotazované banky v jednotlivých zemích volí různé druhy autentizace stávajících klientů při elektronické komunikaci. V polovině zemí je obvyklý certifikát či elektronický podpis. V Řecku, Turecku a Moldavsku se banky spoléhají na PIN nebo heslo. Estonské banky potom používají k autentizaci klientů často elektronické občanské průkazy. V České republice se často používá SMS s kódem. Ve Spojeném království se způsob autentizace liší u různých produktů/služeb.
Klíčovým prvkem pro identifikaci osob je v 85 % zemí centrální registr právnických osob. Banky v nich nejčastěji hledají informace o statutárních orgánech (v 93 %) a dále finanční informace, předmět podnikání a sídlo firmy (shodně 79 %). Jen v Irsku registr obsahuje informace pouze o fyzických osobách. U fyzických osob většinu bank zajímá bydliště a předmět podnikání u těch, kteří podnikají. Nadto mají banky možnost využívat i speciální databáze klientů finančních institucí – povinně ve Francii, Nizozemsku a na Slovensku, dobrovolně pak v České republice a Rumunsku.
Nástroje zabezpečení elektronických plateb v České republice
| Aktivita | Důvod | Které země využívají |
| Analýza a přehodnocení rizik. | - IT patří k nejprogresivnějším oborům.
- Množí se útoky a jejich podoba. - Útoky je čím dál obtížnější vypátrat. |
NĚKOLIKRÁT ROČNĚ: Estonsko, Irsko, Nizozemsko, Slovensko, Švýcarsko, Turecko, Spojené království.
JEDNOU ROČNĚ: ČR, Německo, Řecko, Lucembursko, Moldavsko. |
| Kontrola zabezpečení informačních systémů pomocí simulovaných útoků. | - Pomocí penetračních testů lze identifikovat a odstranit mezery v bezpečnosti. | NĚKOLIKRÁT ROČNĚ: Irsko, Nizozemsko, Švýcarsko, Spojené království.
JEDNOU ROČNĚ: Estonsko, Německo, Lucembursko, Moldavsko. JEDNOU ZA 2 ROKY: Slovensko. RŮZNÁ FREKVENCE: ČR. |
| Centrální identity management systém – umožňuje spravovat uživatelské účty klientů a jejich přístup k jednotlivým aplikacím. | - Zvyšuje efektivitu a bezpečnost před interními a externími útoky. - Umožňuje lepší kontrolu nad přístupovými právy. | ANO: ČR, Estonsko, Německo, Lucembursko, Slovensko, Spojené království, Moldavsko.
ČÁSTEČNĚ: Řecko, Irsko, Nizozemsko. |
| Monitoring uživatelského chování na síti a prevence manipulace s daty. | - Identifikace, monitorování a ochrana dat.
- Zákaz kopírování dat či jejich odesílání emailem. - Varování v případě hrozícího úniku dat. |
DLP SYSTÉM: ČR, Švýcarsko, Spojené království, Lucembursko, Moldavsko.
SYSTÉM PRO MONITOROVÁNÍ: Estonsko, Německo, Řecko, Irsko, Moldavsko, Nizozemsko, Slovensko. |
Oblast kybernetického zabezpečení řídí v první řadě zákon a best practise, v České republice zákon č. 181/2014 Sb. Obdobná regulace existuje ve 2/3 zkoumaných zemích, v drtivé většině zemí, včetně té naší, se vztahuje nebo v dohledné době bude vztahovat i na bankovní sektor. Drtivá většina zemí (86 %) navíc legislativně řeší i ochranu osobních údajů.
------
O studii
Studie porovnává situaci zabezpečení elektronických plateb v Evropě a také Turecku a Moldavsku. Analýza, kterou připravila poradenská společnost Grant Thornton Advisory, zjišťuje a porovnává, jaká je skutečná praxe. Sběr dat probíhal od ledna do března 2015 a to téměř v 70 bankách v 16 státech. V roce 2016 probíhal od března do května a studie byla revidována o nové poznatky.*
