Sicurezza e Sistemi di pagamento con carte
Veronica Borgogna
Funzione di Audit & Risk Management
Modena, 15 Maggio 2012
Agenda
• Cos’è la sicurezza?
• Fenomeni
• Gli attacchi ai sistemi di accettazione carte
• La declinazione dei Fenomeni
• Modello di Sicurezza del Consorzio BANCOMAT
• Analisi dei rischi tipici
• Rafforzamento delle aree di esposizione
• Verifiche di compliance
2
Cos’è la sicurezza?
Le Norme ISO definiscono la sicurezza come l’insieme delle misure atte a
garantire la disponibilità, l’integrità e la riservatezza delle informazioni gestite.
Un sistema sicuro è pertanto un sistema che rende le informazioni disponibili
solo ai soggetti abilitati impedendo l’alterazione diretta o indiretta da parte di
soggetti e processi autorizzati o meno e impedisce a chiunque di ottenere e/o
dedurre informazioni che non è autorizzato a conoscere.
3
I Fenomeni
Tutti gli eventi indesiderati, accidentali o volontari, che compromettono queste
condizioni si chiamano Fenomeni e si possono configurare come di seguito:
FENOMENI
Incidenti
Sono eventi dannosi accidentali, verificatisi per cause interne o esterne al
sistema, scatenatisi senza alcuna volontarietà di innesco, che ne altera le
condizioni.
Attacchi
deliberati
Gli attacchi volontari sfruttano le debolezze del sistema o il fatto che un
utente abbia disatteso qualche norma. Possono essere divisi in:
• Fisici: sono manovre che mirano alla sottrazione o al danneggiamento
di una risorsa;
• Logici: sono manovre che danneggiano le informazioni e minacciano la
disponibilità del sistema.
4
Gli attacchi ai sistemi di accettazione carte
Sono caratterizzati da un trend relativo a:
Maggiore esposizione apparecchiature
unattended
Vulnerabilità dei componenti interazione
carta (es: lettore banda magnetica,
dispensatore/accettatore banconote)
Vulnerabilità del sito di alloggiamento
dell’apparecchiatura (es: piazzale, lobby)
5
Gli attacchi ai sistemi di accettazione carte
Qualche numero
Manomissioni ATM e POS 2005-2011
1888
2000
ATM
1827
POS
Fenomeno in calo grazie
alla migrazione dei
terminali da protocollo
HGEPOS a Microcircuito
1500
1097
1000
434
500
424
566
746
434
237
201
177
45
58
76
0
2005
2006
2007
2008
2009
2010
Raffronto ATM 2008-2011
Raffronto POS 2008-2011
250
25
200
20
150
2008
15
50
0
2010
2011
2008
2009
2009
100
2011
Rimangono comunque
maggiormente esposti
agli attacchi i terminali
unattended
10
5
2010
2011
0
6
Gli attacchi ai sistemi di accettazione carte
Qualche cifra
Rilevazioni 2011* delle transazioni PagoBANCOMAT disconosciute su ATM e POS:
ATM
Trans.
PagoBANCOMAT
disconosciute su
ATM
POS
Trans.
PagoBANCOMAT
disconosciute su
POS
Mese
Tot transazioni
PagoBANCOMAT
disconosciute
gennaio
2.771
€
646.780,32 € 233,41
392
14% €
101.522,58
16% €
258,99
2.379
86% €
545.257,74
84% € 229,20
febbraio
5.159
€
935.369,96 € 181,31
559
11% €
187.277,98
20% €
335,02
4.600
89% €
748.091,98
80% € 162,63
marzo
4.837 € 1.115.642,76 € 230,65
653
14% €
211.553,99
19% €
323,97
4.184
86% €
904.088,77
81% € 216,08
aprile
3.019
€
691.638,26 € 229,10
571
19% €
170.931,41
25% €
299,35
2.448
81% €
520.706,85
75% € 212,71
maggio
3.979
€
874.863,72 € 219,87
548
14% €
191.245,63
22% €
348,99
3.431
86% €
683.618,09
78% € 199,25
giugno
2.919
€
708.105,46 € 242,58
1.234
42% €
347.417,80
49% €
281,54
1.685
58% €
360.687,66
51% € 214,06
luglio
2.834
€
747.464,04 € 263,75
1.440
51% €
437.772,84
59% €
304,01
1.394
49% €
309.691,20
41% € 222,16
agosto
2.322
€
548.932,70 € 236,41
639
28% €
177.753,13
32% €
278,17
1.683
72% €
371.179,57
68% € 220,55
settembre
1.962
€
478.772,27 € 244,02
689
35% €
188.385,47
39% €
273,42
1.273
65% €
290.386,80
61% € 228,11
ottobre
2.249
€
564.585,06 € 251,04
258
11% €
68.600,60
12% €
265,89
1.991
89% €
495.984,46
88% € 249,11
novembre
1.485
€
364.117,75 € 245,20
298
20% €
83.655,56
23% €
280,72
1.187
80% €
280.462,19
77% € 236,28
dicembre
1.807
€
442.792,33 € 245,04
368
20% €
115.366,74
26% €
313,50
1.439
80% €
327.425,59
74% € 227,54
22% € 2.281.483,73
28% €
298,27
27.694
78% € 5.837.580,90
72% € 210,79
Totali
Importi
35.343 € 8.119.064,63
Media
€ 229,72
7.649
Importi
Media
Importi
Media
* Fonte dati: MEF - UCAMP
7
La declinazione dei Fenomeni
Questi fenomeni possono dar luogo a diverse ricadute:
Ricaduta fenomeno
danno
Ricadute operative
Manutenzione o sostituzione
dell’apparecchiatura
Ricadute reputazionali
Perdita del cliente e perdita di fiducia da parte
del Circuito
Ricadute economiche
Eventuali danni da risarcire
Il contenimento dei possibili danni deve essere gestito attraverso un modello di
processi strutturato.
Definizione e adozione di un Modello di Sicurezza
8
Modello di Sicurezza del Consorzio BANCOMAT
Un Modello di Sicurezza è un insieme di processi e requisiti atti a gestire la vulnerabilità di
un sistema attivando tutte le strategie possibili di attenzione e tutte le contromisure adatte a
respingere possibili attacchi e attenuarne i danni.
Le Strategie realizzative del Modello di Sicurezza del Consorzio BANCOMAT si dividono in:
• Strategie preventive: finalizzate a individuare il pericolo e diminuire la probabilità che
il danno si verifichi;
• Strategie di contrasto: finalizzate ad attenuare l’impatto del danno subito.
Strategie preventive
Strategie di contrasto
Analisi dei rischi
tipici
Rafforzamento delle
aree di esposizione
Compensazione
economica
Modello di
Sicurezza
Sistemi di
contenimento
delle perdite
Quarantena dei
dispositivi coinvolti
Verifiche di
compliance
9
Analisi dei rischi tipici
Il Consorzio Bancomat nell’ambito delle attività di “Risk Management”
monitora i rischi cui sono esposti il Consorzio e gli attori che partecipano
ai Circuiti BANCOMAT e PagoBANCOMAT attraverso un proprio
framework.
Il Consorzio BANCOMAT ha identificato le tipologie di rischio delineando
in tal modo il profilo di rischio complessivo che risulta essere articolato
come segue:
Analisi dei rischi
tipici
Rafforzamento
delle aree di
esposizione
Modello di
Sicurezza
Verifiche di
compliance
• Rischio Operativo;
• Rischio di Governo;
• Rischio di Reputazione.
Le azioni preventive agiscono sui rischi e permettono un
miglior governo della situazione e la messa in campo di
più leve
10
Rafforzamento delle aree di esposizione
Consiste nell’adozione di tutti i sistemi di protezione fisica e
logica previsti dagli standard.
Protezione logica
• mutua autenticazione (adozione della logica di certificato);
• key management (logiche di Dual Control e Split Knowledge);
• cifratura delle chiavi con 3DES.
Analisi dei rischi
tipici
Rafforzamento
delle aree di
esposizione
Modello di
Sicurezza
Verifiche di
compliance
Protezione fisica
• tamper detection e tamper evidence;
• antiskimming;
• tutti i sistemi di prevenzione di tipo interazione elettro-magnetica e
quelli di interazione carta-dispositivo durante il processo transazionale.
Come si
realizza
tutto ciò?
- 1° Fase: adozione dello standard Microcircuito
- 2° Fase: adozione dello standard PagoBANCOMAT
livello 2 (CB2)
11
Rafforzamento delle aree di esposizione
Benefici dell’adozione dei nuovi standard
Elementi migliorativi dello standard a chip
• Messa in sicurezza del terminale non più utilizzabile come punto di spesa;
• Rafforzamento del processo autorizzativo derivante dal trasporto di maggiori
informazioni durante la richiesta di autorizzazione;
• Irrobustimento delle apparecchiature POS derivante dai nuovi requisiti di
tampering.
Analisi dei rischi
tipici
Rafforzamento
delle aree di
esposizione
Modello di
Sicurezza
Verifiche di
compliance
Elementi migliorativi dello standard CB2
• Irrobustimento del processo di riconoscimento fra i soggetti interagenti (mutua
autenticazione);
• Implementazione di nuove funzionalità quale il Multi-Acquiring;
• Conformità con gli standard internazionali dell’area SEPA.
I benefici derivanti dalla migrazione al protocollo CB2 sono i seguenti:
Area di rischio tipico
Benefici per il Sistema
Rischio economico
Contenimento delle perdite in termini economici (riduzione del numero di
disconoscimenti e transazioni fraudolente)
Rischio reputazionale
Copertura rispetto ai possibili danni d’immagine arrecati al merchant e al
soggetto Acquirer
Rischio operativo
Riduzione del coinvolgimento di altri soggetti negli eventi fraudolenti
12
Rafforzamento delle aree di esposizione
Impegni derivanti dall’adozione dei nuovi standard
Soggetto
Fase 1: Standard a chip
stato completamento: 98,5%
Fase 2: Standard CB2
Stato completamento: < 1%
Merchant
Sostituzione apparecchiature
POS
Possibile sostituzione
apparecchiature POS
Possibili ripercussioni sul sistema
distribuito indoor/outdoor
Vendor
Omologazione dei prodotti
Omologazione dei prodotti
Acquirer
Omologazione dei processi
Omologazione dei processi
Gestore
Terminali
Adeguamento dei moduli a
supporto delle preautorizzazioni carburanti
Adeguamento dei moduli a
supporto delle pre-autorizzazioni
carburanti
Analisi dei rischi
tipici
Rafforzamento
delle aree di
esposizione
Modello di
Sicurezza
Verifiche di
compliance
13
Verifiche di compliance
Analisi dei rischi
tipici
Il Modello di Sicurezza funziona se
l’intero Sistema degli stakeholder è
ottemperante agli impegni richiesti.
Rafforzamento
delle aree di
esposizione
Modello di
Sicurezza
Verifiche di
compliance
A tal fine il Consorzio ha attivato
specifiche procedure di monitoraggio
delle apparecchiature POS
Piani di omologazione e replacement
delle apparecchiature focalizzati
all’ottenimento rapido del desiderata e
al contenimento dell’impatto sulla
filiera
14
Grazie