Jak działa silne uwierzytelnianie w bankowości firmowej

Czym jest silne uwierzytelnianie i dlaczego ma znaczenie dla firm

Silne uwierzytelnianie (SCA) potwierdza tożsamość klienta co najmniej dwoma elementami z trzech kategorii: wiedza, posiadanie i cecha klienta. Wymóg wynika z dyrektywy PSD2 i rozporządzenia RTS; w Polsce RTS obowiązuje od 14 września 2019 r. Ma zwiększać bezpieczeństwo elektronicznych usług płatniczych i ograniczać oszustwa.

W firmach SCA obejmuje logowanie i korzystanie z bankowości internetowej oraz mobilnej, a także płatności w terminalach POS i w e-commerce/m-commerce. W handlu cyfrowym w większości krajów EOG obowiązuje od 1 stycznia 2021 r.; wcześniej egzekwowano je już dla innych transakcji elektronicznych. Dostęp do konta firmowego i zatwierdzanie operacji wymagają potwierdzenia tożsamości zgodnie z uprawnieniami użytkownika.

Trzy kategorie potwierdzania tożsamości: wiedza, posiadanie, cecha klienta

„Wiedza” to kod PIN, hasło lub inny element znany tylko klientowi; nie udostępniaj go osobom trzecim. „Posiadanie” to przedmiot użytkownika, np. karta plastikowa albo telefon z kartą SIM. „Cecha klienta” jednoznacznie wyróżnia osobę, np. odcisk palca, tęczówka oka lub układ żył.

Elementy SCA muszą być niezależne: naruszenie jednego nie może osłabiać wiarygodności pozostałych. Nie zapisuj PIN-u na karcie ani w jej pobliżu, np. w portfelu — kradzież portfela oznacza utratę dwóch elementów: karty (posiadanie) i PIN-u (wiedza), co osłabia ochronę. Wymóg spełnia kombinacja dwóch elementów z trzech kategorii, ale muszą być niezależne.

Trzy kategorie potwierdzania tożsamości w SCA

Gdzie w bankowości firmowej spotkasz silne uwierzytelnianie

W bankowości firmowej SCA dotyczy właściciela firmy, użytkowników firmowych i pełnomocników z dostępem do konta.

W wieloosobowym dostępie do serwisu iPKO wspólnicy i pracownicy zarządzają finansami firmy oraz potwierdzają transakcje. Każda z tych osób może być zobowiązana do potwierdzenia logowania lub operacji zgodnie z przyznanymi uprawnieniami. Zakres wymaganych potwierdzeń zależy od roli i uprawnień.

Narzędzia autoryzacji w praktyce firmowej

W PKO Banku Polskim narzędzia autoryzacji to mobilna autoryzacja w aplikacji mobilnej, kod SMS i kod z karty kodów. Dwuetapowe logowanie do serwisu internetowego potwierdza się w aplikacji mobilnej; co 90 dni bank prosi o zalogowanie się z narzędziem autoryzacji. Klucz bezpieczeństwa może zastąpić dotychczasową metodę dodatkowej weryfikacji logowania.

Urządzenia zaufane ograniczają liczbę potwierdzeń: dodaj komputer, laptop, telefon lub tablet — maksymalnie 10 urządzeń — a bank nie wymaga potwierdzania każdego logowania narzędziem autoryzacji. Dodatkowe zabezpieczenie analizuje parametry urządzenia, np. typ, oraz wybrane cechy zachowania, np. sposób pisania na klawiaturze i używania ekranu dotykowego. Włącza się je raz, potwierdzając zgodę narzędziem autoryzacji.

W płatnościach internetowych kartą wymóg SCA może spełnić technologia 3D Secure; nowsza wersja, EMV 3DS Secure, ma redukować liczbę dodatkowych kroków i ryzyko porzucenia zakupów.

Kroki autoryzacji w PKO Banku Polskim przy wieloosobowym dostępie

Zalety i ograniczenia używania urządzeń zaufanych w SCA

Silne uwierzytelnianie przy wielu osobach i rolach w firmie

W wieloosobowym dostępie do serwisu iPKO pełnomocnicy mogą otrzymać uprawnienia do podglądu, wprowadzania i akceptowania operacji. Role mają niski, średni i wysoki zakres uprawnień; uprawnienia można nadać i odebrać w dowolnym momencie. W innych formach prawnych działa etapowa akceptacja płatności: można ustalić limity, liczbę osób oraz uprawnienia do zlecania i akceptacji.

W jednoosobowej działalności gospodarczej osoba zajmująca się księgowością może tworzyć przelewy, które właściciel akceptuje lub odrzuca; przelewy są realizowane po akceptacji. Zarządzanie pełnomocnikami i warunkami zlecania przelewu trzeba potwierdzać zgodnie z reprezentacją firmy.

SCA współgra z tym modelem: każde logowanie, zlecenie i akceptacja mogą wymagać potwierdzenia przez uprawnioną osobę. Wieloosobowy dostęp do iPKO jest bez dodatkowych opłat, bez względu na liczbę użytkowników.

Kiedy silne uwierzytelnianie nie jest wymagane

Rozporządzenie określa wyjątki, w których dostawcy usług płatniczych, w tym wydawcy kart, nie muszą stosować SCA do płatności. To m.in. płatności zbliżeniowe do 50 zł bez podania kodu PIN oraz opłaty za przejazd w biletomatach, na autostradzie i parkingach. Wyjątki mają ułatwiać płatności bez istotnego zwiększania ryzyka.

Wyjątki dotyczą płatności, a nie logowania i korzystania z bankowości internetowej lub mobilnej. W tych obszarach SCA pozostaje wymagane.

Wyjątki od silnego uwierzytelniania (SCA) – co nie wymaga SCA?

Jak pogodzić bezpieczeństwo z wygodą pracy firmy

Pogodzenie bezpieczeństwa z wygodą firmy zależy od wewnętrznych zasad: kto odpowiada za dostęp do konta i jak dokumentowana jest reprezentacja firmy. Sposób reprezentacji i akceptacji powinien odzwierciedlać dokumenty rejestrowe firmy. Ustawienia dostępu firmowego znajdują się w sekcji Ustawienia → Dostęp i bezpieczeństwo → Uprawnienia firmowe.