Интернет банки / Как купить "интернет-банк" (руководство для банкира).

Интернет-технологии банковского обслуживания привлекают все большее количество новых клиентов. Это связано с увеличением доверия к банкам, а также с расширением предлагаемого спектра услуг, в том числе дистанционного управления счетом. Кроме давно используемого «клиент-банка», на рынке банковских услуг появились продукты, позволяющие обслуживать клиента посредством телефона (включая и мобильный) и Интернета. Первая причина расширения рынка – развитие телекоммуникационных технологий, а следовательно, и торговли через Интернет (e-trading). Вторая – желание банков привлечь как можно больше новых клиентов, в частности, путем предоставления все большего числа услуг на финансовом рынке. Третья – удешевление банковских транзакций. И, наконец, четвертая – освобождение банковских работников от набора документов вручную, а клиентов – от визитов в банк.

Коммерческие банки уже на протяжении нескольких лет экспериментируют с разными формами онлайнового доступа. В некоторых случаях применялись закрытые системы, при использовании которых клиенты получали доступ к своему счету по коммутируемому телефонному каналу. Эти системы ограничивали потенциальную клиентскую базу банка, поскольку пользователи, проживающие вне региона, в котором располагался банк, для доступа к счету были вынуждены тратиться на междугородные телефонные звонки. С широким распространением Интернета перед клиентами открылась возможность получать доступ к банковской системе, находясь любой точке мира.

«Интернет-банк» 1 относится к системам, которые обеспечивают клиентам предоставление доступа к счетам и общей информации о банковских продуктах и услугах с помощью персонального компьютера. Услуги системы «интернет-банк» подразделяются:

на услуги для корпоративных клиентов (юридических лиц);

розничные услуги для индивидуальных потребителей (физических лиц).

К услугам, предоставляемым системой «интернет-банк», относятся:

• управление наличностью;
• денежные переводы;
• транзакции через автоматическую клиринговую систему;
• представление счетов;
• оплата счетов;
• запрос выписки;
• загрузка информации по транзакциям;
• заявка на кредит;
• инвестиционная деятельность;
• другие услуги с добавленной стоимостью.

В настоящее время в России практически все коммерческие банки предпринимают шаги по выводу своего бизнеса в Интернет. Понимание необходимости развития в данном направлении пришло, в основном, благодаря успешному опыту зарубежных банков, которые и были первооткрывателями технологии i-banking в нашей стране. Можно выделить пять основных экономических факторов, которые уже сегодня заставляют отечественные банки выйти на рынок электронных банковских услуг: конкуренция, эффективность затрат, широкий географический охват, закрепление и расширение распространения торговой марки, рост числа интернет-клиентов. Эти факты свидетельствуют, что:

• давление со стороны конкурентов является главным стимулом для применения технологий «интернет-банк»;
• стоимость транзакций при предоставлении услуг «интернет-банками» существенно ниже затрат на поддержание деятельности традиционных филиалов, требующих помещений и персонала, техники и т. д.;
• технология «интернет-банк» позволяет расширить контакты с клиентами путем увеличения географического охвата и более низких затрат на каналы связи;
• технология «интернет-банк» обеспечивает закрепление постоянных взаимоотношений банков с их клиентами с помощью обеспечения легкого доступа к широкому спектру продуктов и услуг.

В то же время банковские специалисты должны оценить не только плюсы от внедрения системы «интернет-банк», но и дополнительные риски, связанные с этой технологией. Понимание различных типов системы «интернет-банк» поможет оценить существующие риски, связанные с этой технологией. В настоящее время на рынке распространены три базовых уровня системы «интернет-банк»:

I. Информационный – размещение банком маркетинговой информации о своих продуктах и услугах на выделенном сервере.

II. Коммуникационный – осуществление взаимодействия между банковской системой и клиентом. Контакт может ограничиваться перепиской по электронной почте: запросом о состоянии счета, заявкой на кредит или обновлением идентификационных данных.

III. Транзакционный – выполнение клиентами транзакций, которые могут включать доступ к счетам, оплату счетов, перевод средств и т. п.

С точки зрения банка, риск – это потенциальное действие, которое в случае его совершения может иметь негативное влияние на прибыль или капитал банка. В банковском бизнесе, как и в любом другом, существует множество рисков, но характерными для «интернет-банка» являются следующие.

Кредитный риск. Возникает из-за неспособности должника выполнить условия контакта. Кредитный риск присутствует в любой деятельности, успех которой зависит от контрагента, надлежащих действий организации, выдающей кредит, или заемщика. Он появляется в тех случаях, когда фонды банка расширяются, отягощаются обязательствами, инвестируются или любым другим образом становятся зависимыми от явных или неявных контрактных обязательств. При работе с клиентом через Интернет отсутствие личного контакта вносит дополнительные сложности в работу банка, поскольку заочно труднее определить платежеспособность клиента, что является важным элементом принятия надежных кредитных решений. Проверка дополнительного обеспечения кредита и создание совершенного кредитного договора также представляет трудность в случае работы с клиентом, находящимся за пределами физической досягаемости.

Транзакционный риск. Причиной его возникновения могут быть обман, ошибки или невозможность предоставить банковский продукт или услугу. Для системы «интернет-банка» уровень транзакционного риска тоже достаточно высок. Банки, которые уже сейчас предлагают финансовые продукты и услуги через Интернет, должны быть в состоянии удовлетворить ожидания клиентов, так как клиенты, совершающие сделки через Интернет, не терпят ошибок или недочетов со стороны финансовых институтов. Атаки или попытки проникновения в банковские компьютеры и сети являются главной опасностью. Опыт показывает, что банковские системы больше подвержены внутренним атакам, чем внешним, поскольку работники банка обладают знаниями о доступе к системе.

Стратегический риск. Является следствием неверных деловых решений, некомпетентного внедрения продуктов или отсутствия реакции на изменение внешних факторов рынка. Перед тем как предложить клиентам продукт «интернет-банка», руководство должно проанализировать внутреннюю политику банка и решить, является ли продукт или технология совместимым с деловыми целями банковского стратегического плана.

Риск репутации. Возникает вследствие отрицательного общественного мнения. Риск потерять доброе имя присутствует в банковском бизнесе всегда. Репутация банка может пострадать, если он не способен предоставить обещанные маркетингом услуги или делает это не в полном объеме и не в срок.

После того как вы оценили существующие риски и все-таки приняли решение о внедрении «интернет-банка» в своем учреждении, наступает момент выбора системы, реализующей эту технологию. Исходя из того, что Интернет на сегодняшний день является самым доступным и удобным каналом доставки информации, разработчики программного обеспечения выбрали свою концепцию развития систем «интернет-банк». На данный момент в России существуют, как минимум, три направления разработок программного обеспечения для этой сферы.

1. Предоставление доступа к счетам посредством специализированного программного обеспечения, использующего Интернет как канал доставки шифрованных сообщений.

2. Предоставление доступа к счетам с помощью стандартных web-броузеров (Microsoft IE, Netscape Navigator) и использования технологии Java для обеспечения безопасности системы.

3. Предоставление доступа к счетам с помощью стандартных web-броузеров и использования специализированного программного продукта, призванного обеспечить безопасность системы.

Все эти направления имеют право на жизнь, но, на мой взгляд, первые два имеют ряд отрицательных свойств. Наиболее существенный недостаток первого направления – использование программного обеспечения, настроенного под конкретный компьютер.

Особенностью второго направления является, напротив, отсутствие на компьютере клиента соответствующего программного обеспечения, так как оно устанавливается на сервере банка, а необходимые программы, обеспечивающие защиту системы, загружаются в виде Java-апплетов при каждом сеансе. Однако такой подход делает клиента банка, выбравшего эту технологию, незащищенным от случайных финансовых потерь, так как на его компьютере не ведутся записи о произведенных финансовых действиях.

Наиболее оптимальным и разумным видится третий подход, при котором клиент не ограничен работой с конкретным компьютером и в то же время максимально защищен от потерь и рисков.

При выборе системы «интернет-банк» ответственные лица банка во избежание юридических проблем обязательно должны узнать у разработчика и проверить, во-первых, соответствуют ли алгоритмы шифрования ГОСТу, во-вторых, сертифицирована ли ФАПСИ внедряемая система защиты?

Если оба условия выполнены, можно перейти к рассмотрению конкретной реализации технологии защиты системы «интернет-банк», а именно: сертификата, симметричной и несимметричной криптографии, протокола SSL (Secure Socket Layer), устройства и работы системы безопасности.

Для работы системы «интернет-банк» вопрос обеспечения безопасности связи является первоочередным. Современные криптографические технологии позволяют свести риски практически к нулю. С помощью криптографии возможно:

• обеспечить гарантированное шифрование сообщений;
• обеспечить однозначную идентификацию отправителя сообщений;
• обеспечить сохранность сообщений.

Благодаря использованию сертификатов стало возможным применение протокола SSL 3.0, который гарантирует наивысшую степень безопасности. Все пересылаемые данные, как от клиента банку, так и от банка клиенту, шифруются. Для установки связи используется технология несимметричной криптографии. Безопасность соединения, в свою очередь, обеспечивается технологией симметричной криптографии – используется уникальный для каждой сессии ключ.

Сертификат является электронным аналогом удостоверения личности – паспорта, военного билета и т. д. Сертификат позволяет идентифицировать пользователей Интернета. В то же время, пользователи, подключившиеся к сертифицированному серверу, могут быть уверены, что попали именно в искомую организацию. Услуги «интернет-банка» доступны только тем клиентам, которым банк выдал соответствующие сертификаты. Клиенты распознаются на основании идентификатора и пароля, а также информации, содержащейся в сертификате. Каждая транзакция подписывается электронной подписью, генерируемой с помощью ключа, содержащегося в сертификате клиента. Несмотря на то, что сам сертификат клиента является открытым, его нельзя использовать без закрытого ключа клиента, соответствующего содержащемуся в сертификате открытому ключу. Дополнительной степенью защиты закрытого ключа клиента является PIN-код.

Протокол SSL был создан с целью обеспечения безопасного обмена зашифрованными сообщениями через Интернет. Обычно документы пересылаются через Интернет нешифрованными пакетами и, в принципе, могут быть перехвачены и прочитаны хакером, обладающим соответствующими навыками. В случае же использования протокола SSL сообщения перед отправкой шифруются и, таким образом, становятся бесполезными для того, кто их перехватит. Во время установки соединения между сервером и компьютером клиента определяется алгоритм шифрования, производится обмен ключами, а также происходит верификация подлинности как сервера, так и клиента. Сервер банка дополнительно проверяет наличие у клиента сертификата, выданного ему банком, и верифицирует его подлинность. При завершении фазы установления связи все пересылаемые данные шифруются одноразовым для данной сессии 128-битным ключом, созданным при установлении соединения.

Для того чтобы понять принцип шифрования с помощью несимметричной криптографии, следует сравнить ее с криптографией, использующей метод симметричных ключей, которая применяется в течение многих веков. Симметричная криптография предполагает, что существует тайный код, служащий для шифровки и дешифровки сообщений. Данный метод, однако, не совершенен. Во-первых, должен быть способ безопасной передачи тайного ключа. Во-вторых, необходимо иметь возможность проверить, действительно ли зашифрованное сообщение пришло от данного отправителя. Очевидными достоинствами применения несимметричной криптографии являются быстрота, производительность и устойчивость к взлому.

В несимметричной криптографии, основанной на методе парных несимметричных ключей, каждая из сторон располагает двумя взаимодополняющими ключами, создающими пару, – открытым и закрытым ключами. Каждое сообщение, зашифрованное с помощью открытого ключа, может быть расшифровано исключительно с помощью закрытого ключа и наоборот – информация, зашифрованная с помощью закрытого ключа, может быть расшифрована только с использованием открытого ключа. Неудобством использования несимметричной криптографии является ее технологическая сложность и, как следствие, невысокая производительность использующей ее системы.

Поэтому современная криптография применяет механизм, объединяющий преимущества обоих методов. Для соединения используется технология несимметричной криптографии (два ключа, закрытый – открытый, длиной 1024 бита). Таким образом шифруется и пересылается 128-битный ключ сессии (уникальный для каждой сессии), который в дальнейшем служит для обеспечения безопасности передачи сообщений, шифруемых уже в технологии симметричной криптографии. Принципиальным достоинством этой технологии является шифрование с использованием более быстрой и устойчивой технологии симметричной криптографии, а использование несимметричной криптографии ограничено малой, но наиважнейшей задачей – передачей ключа симметричного шифра.

Итак, на практике система работает следующим образом: клиент, используя обычный броузер, входит на сервер банка с системой «интернет-банк». Сервер проверяет наличие у клиента сертификата, выданного банком. Клиент выбирает из списка сертификат, которым он должен воспользоваться (у него может быть несколько сертификатов, выданных разными организациями), и вводит PIN-код. Данные сертификата передаются в банк, где они сравниваются с информацией, хранящейся в базе данных. После успешного прохождения верификации и обеспечения безопасности канала связи загружается страница для регистрации – ввода идентификатора и пароля. После шифрования пароль, введенный пользователем, сравнивается с паролем, хранящимся в базе данных. После успешного прохождения верификации пароля клиент получает доступ к информации о своих счетах. Все передаваемые пакеты кодируются одноразовым 128-битным ключом сессии, а каждая транзакция подписывается электронной подписью, содержащейся в сертификате клиента. В случае троекратного ввода неверных данных (идентификатор и пароль) доступ к системе «интернет-банк» блокируется. Для снятия блокировки требуется личный контакт с соответствующим филиалом банка.

Если же программное обеспечение разработчика выполняет все вышеописанные условия и задачи, сотрудники банка должны оценить функциональность системы, эргономичность интерфейса, возможности настройки и расширения существующего функционала. Также необходимо внимательно ознакомиться с условиями поставки, внедрения, сопровождения, а также расширения лицензии системы.

Удачного выбора и успешного бизнеса в Интернете, господа банкиры!