Sicurezza e Sistemi di pagamento con carte Veronica Borgogna Funzione di Audit & Risk Management...

Sicurezza e Sistemi di pagamento con carteSicurezza e Sistemi di pagamento con carte

Veronica BorgognaVeronica Borgogna

Funzione di Audit & Risk Management Funzione di Audit & Risk Management

Modena, 15 Maggio 2012

22

Agenda

• Cos’è la sicurezza?

• Fenomeni

• Gli attacchi ai sistemi di accettazione carte

• La declinazione dei Fenomeni

• Modello di Sicurezza del Consorzio BANCOMAT

• Analisi dei rischi tipici

• Rafforzamento delle aree di esposizione

• Verifiche di compliance

33

Cos’è la sicurezza?

Le Norme ISO definiscono la sicurezza come l’insieme delle misure atte a

garantire la disponibilità, l’integrità e la riservatezza delle informazioni gestite.

Le Norme ISO definiscono la sicurezza come l’insieme delle misure atte a

garantire la disponibilità, l’integrità e la riservatezza delle informazioni gestite.

Un sistema sicuro è pertanto un sistema che rende le informazioni disponibili solo ai soggetti abilitati impedendo l’alterazione diretta o indiretta da parte di soggetti e processi autorizzati o meno e impedisce a chiunque di ottenere e/o dedurre informazioni che non è autorizzato a conoscere.

Un sistema sicuro è pertanto un sistema che rende le informazioni disponibili solo ai soggetti abilitati impedendo l’alterazione diretta o indiretta da parte di soggetti e processi autorizzati o meno e impedisce a chiunque di ottenere e/o dedurre informazioni che non è autorizzato a conoscere.

44

I Fenomeni

Tutti gli eventi indesiderati, accidentali o volontari, che compromettono queste condizioni si chiamano Fenomeni e si possono configurare come di seguito:

Sono eventi dannosi accidentali, verificatisi per cause interne o esterne al sistema, scatenatisi senza alcuna volontarietà di innesco, che ne altera le condizioni.

Sono eventi dannosi accidentali, verificatisi per cause interne o esterne al sistema, scatenatisi senza alcuna volontarietà di innesco, che ne altera le condizioni.

Incidenti

Gli attacchi volontari sfruttano le debolezze del sistema o il fatto che un utente abbia disatteso qualche norma. Possono essere divisi in:•Fisici: sono manovre che mirano alla sottrazione o al danneggiamento di una risorsa;•Logici: sono manovre che danneggiano le informazioni e minacciano la disponibilità del sistema.

Gli attacchi volontari sfruttano le debolezze del sistema o il fatto che un utente abbia disatteso qualche norma. Possono essere divisi in:•Fisici: sono manovre che mirano alla sottrazione o al danneggiamento di una risorsa;•Logici: sono manovre che danneggiano le informazioni e minacciano la disponibilità del sistema.

Attacchi deliberati

FENOMENIFENOMENI

55

Gli attacchi ai sistemi di accettazione carte

Sono caratterizzati da un trend relativo a:

66

Gli attacchi ai sistemi di accettazione carteQualche numero

Rimangono comunque maggiormente esposti agli attacchi i terminali

unattended

Rimangono comunque maggiormente esposti agli attacchi i terminali

unattended

Fenomeno in calo grazie alla migrazione dei

terminali da protocollo HGEPOS a Microcircuito

Fenomeno in calo grazie alla migrazione dei

terminali da protocollo HGEPOS a Microcircuito

77

Gli attacchi ai sistemi di accettazione carteQualche cifra

* Fonte dati: MEF - UCAMP

MeseTot transazioni

PagoBANCOMAT disconosciute

Importi Media Media Media

gennaio 2.771 € 646.780,32 233,41€ 392 14% 101.522,58€ 16% 258,99€ 2.379 86% 545.257,74€ 84% 229,20€

febbraio 5.159 € 935.369,96 181,31€ 559 11% 187.277,98€ 20% 335,02€ 4.600 89% 748.091,98€ 80% 162,63€

marzo 4.837 € 1.115.642,76 230,65€ 653 14% 211.553,99€ 19% 323,97€ 4.184 86% 904.088,77€ 81% 216,08€

aprile 3.019 € 691.638,26 229,10€ 571 19% 170.931,41€ 25% 299,35€ 2.448 81% 520.706,85€ 75% 212,71€

maggio 3.979 € 874.863,72 219,87€ 548 14% 191.245,63€ 22% 348,99€ 3.431 86% 683.618,09€ 78% 199,25€

giugno 2.919 € 708.105,46 242,58€ 1.234 42% 347.417,80€ 49% 281,54€ 1.685 58% 360.687,66€ 51% 214,06€

luglio 2.834 € 747.464,04 263,75€ 1.440 51% 437.772,84€ 59% 304,01€ 1.394 49% 309.691,20€ 41% 222,16€

agosto 2.322 € 548.932,70 236,41€ 639 28% 177.753,13€ 32% 278,17€ 1.683 72% 371.179,57€ 68% 220,55€

settembre 1.962 € 478.772,27 244,02€ 689 35% 188.385,47€ 39% 273,42€ 1.273 65% 290.386,80€ 61% 228,11€

ottobre 2.249 € 564.585,06 251,04€ 258 11% 68.600,60€ 12% 265,89€ 1.991 89% 495.984,46€ 88% 249,11€

novembre 1.485 € 364.117,75 245,20€ 298 20% 83.655,56€ 23% 280,72€ 1.187 80% 280.462,19€ 77% 236,28€

dicembre 1.807 € 442.792,33 245,04€ 368 20% 115.366,74€ 26% 313,50€ 1.439 80% 327.425,59€ 74% 227,54€

Totali 35.343 8.119.064,63€ 229,72€ 7.649 22% 2.281.483,73€ 28% 298,27€ 27.694 78% 5.837.580,90€ 72% 210,79€

ATM POS

Trans. PagoBANCOMAT disconosciute su

ATM

Trans. PagoBANCOMAT disconosciute su

POS

Importi Importi

Rilevazioni 2011* delle transazioni PagoBANCOMAT disconosciute su ATM e POS:

88

La declinazione dei Fenomeni

Questi fenomeni possono dar luogo a diverse ricadute:

Il contenimento dei possibili danni deve essere gestito attraverso un modello di processi strutturato.

Ricaduta fenomeno danno

Ricadute operativeManutenzione o sostituzione dell’apparecchiatura

Ricadute reputazionaliPerdita del cliente e perdita di fiducia da parte del Circuito

Ricadute economiche Eventuali danni da risarcire

Definizione e adozione di un Modello di SicurezzaDefinizione e adozione di un Modello di Sicurezza

99

Strategie di contrastoStrategie di contrastoStrategie preventiveStrategie preventive

Modello di Sicurezza del Consorzio BANCOMAT

Compensazione economica

Compensazione economica

Quarantena dei dispositivi coinvolti

Quarantena dei dispositivi coinvolti

Un Modello di Sicurezza è un insieme di processi e requisiti atti a gestire la vulnerabilità di un sistema attivando tutte le strategie possibili di attenzione e tutte le contromisure adatte a respingere possibili attacchi e attenuarne i danni.

Le Strategie realizzative del Modello di Sicurezza del Consorzio BANCOMAT si dividono in:

•Strategie preventive: finalizzate a individuare il pericolo e diminuire la probabilità che il danno si verifichi;

•Strategie di contrasto: finalizzate ad attenuare l’impatto del danno subito.

1010

Analisi dei rischi tipici

Il Consorzio Bancomat nell’ambito delle attività di “Risk Management” monitora i rischi cui sono esposti il Consorzio e gli attori che partecipano ai Circuiti BANCOMAT e PagoBANCOMAT attraverso un proprio framework.

Il Consorzio BANCOMAT ha identificato le tipologie di rischio delineando in tal modo il profilo di rischio complessivo che risulta essere articolato come segue:

•Rischio Operativo;

•Rischio di Governo;

•Rischio di Reputazione.

Le azioni preventive agiscono sui rischi e permettono un miglior governo della situazione e la messa in campo

di più leve

Le azioni preventive agiscono sui rischi e permettono un miglior governo della situazione e la messa in campo

di più leve

Modello di Sicurezza

Verifiche di compliance

Rafforzamento delle aree di esposizione


1111


Consiste nell’adozione di tutti i sistemi di protezione fisica e logica previsti dagli standard.

• mutua autenticazione (adozione della logica di certificato);• key management (logiche di Dual Control e Split Knowledge);• cifratura delle chiavi con 3DES.

• mutua autenticazione (adozione della logica di certificato);• key management (logiche di Dual Control e Split Knowledge);• cifratura delle chiavi con 3DES.

Protezione logica

• tamper detection e tamper evidence;

• antiskimming;

• tutti i sistemi di prevenzione di tipo interazione elettro-magnetica e quelli di interazione carta-dispositivo durante il processo transazionale.

• tamper detection e tamper evidence;

• antiskimming;

• tutti i sistemi di prevenzione di tipo interazione elettro-magnetica e quelli di interazione carta-dispositivo durante il processo transazionale.

Protezione fisica





1212

Rafforzamento delle aree di esposizioneBenefici dell’adozione dei nuovi standard

• Irrobustimento del processo di riconoscimento fra i soggetti interagenti (mutua autenticazione);

• Implementazione di nuove funzionalità quale il Multi-Acquiring;

• Conformità con gli standard internazionali dell’area SEPA.

• Irrobustimento del processo di riconoscimento fra i soggetti interagenti (mutua autenticazione);

• Implementazione di nuove funzionalità quale il Multi-Acquiring;

• Conformità con gli standard internazionali dell’area SEPA.

Elementi migliorativi dello standard CB2Elementi migliorativi dello standard CB2

Area di rischio tipico Benefici per il Sistema

Rischio economico Contenimento delle perdite in termini economici (riduzione del numero di disconoscimenti e transazioni fraudolente)

Rischio reputazionale Copertura rispetto ai possibili danni d’immagine arrecati al merchant e al soggetto Acquirer

Rischio operativo Riduzione del coinvolgimento di altri soggetti negli eventi fraudolenti

I benefici derivanti dalla migrazione al protocollo CB2 sono i seguenti:

• Messa in sicurezza del terminale non più utilizzabile come punto di spesa;• Rafforzamento del processo autorizzativo derivante dal trasporto di maggiori

informazioni durante la richiesta di autorizzazione;• Irrobustimento delle apparecchiature POS derivante dai nuovi requisiti di

tampering.

• Messa in sicurezza del terminale non più utilizzabile come punto di spesa;• Rafforzamento del processo autorizzativo derivante dal trasporto di maggiori

informazioni durante la richiesta di autorizzazione;• Irrobustimento delle apparecchiature POS derivante dai nuovi requisiti di

tampering.

Elementi migliorativi dello standard a chipElementi migliorativi dello standard a chip





1313

Rafforzamento delle aree di esposizioneImpegni derivanti dall’adozione dei nuovi standard

SoggettoFase 1: Standard a chip

stato completamento: 98,5%Fase 2: Standard CB2

Stato completamento: < 1%

MerchantSostituzione apparecchiature POS

Possibile sostituzione apparecchiature POSPossibili ripercussioni sul sistema distribuito indoor/outdoor

Vendor Omologazione dei prodotti Omologazione dei prodotti

Acquirer Omologazione dei processi Omologazione dei processi

Gestore Terminali

Adeguamento dei moduli a supporto delle pre-autorizzazioni carburanti

Adeguamento dei moduli a supporto delle pre-autorizzazioni carburanti





1414






GrazieGrazie

Sicurezza e Sistemi di pagamento con carte Veronica Borgogna Funzione di Audit & Risk Management...

Documents

Transcript of Sicurezza e Sistemi di pagamento con carte Veronica Borgogna Funzione di Audit & Risk Management...