Молния, Новости, Эксперты

Платежные системы под защитой

07.10.202407.10.2024
7
Павел Ли

Централизация борьбы с мошенничеством, ужесточение требований к информационной безопасности, особенно для электронных платформ, а также усиление контроля за соблюдением этих правил – становятся ключевыми вызовами для участников финансового рынка в Центральной Азии и во всем мире. 23 августа 2024 года вступило в силу Положение ЦБ Республики Узбекистан №3513, которое внесло существенные корректировки для платежной индустрии. Какие изменения ожидать от регулятора и как подготовиться к новым требованиям Положения ЦБ РУз – об этом порталу PLUSworld рассказывает аудитор-консультант Compliance Control Павел Ли.

 

Приказом правления ЦБ от 21.05.2024 г. № 3513 (ссылка: [https://lex.uz/ru/docs/6933268#] (https://lex.uz/ru/docs/6933268#)) утверждено Положение об обеспечении информационной безопасности и кибербезопасности в платежных системах операторов платежных систем и поставщиков платежных услуг, а также о принятии мер по предотвращению правонарушений, совершаемых с использованием цифровых технологий.

Какие ключевые изменения внесены в Положение ЦБ РУз №3513 в сравнении с предыдущим положением №3268?

  • Защита платежной информации: расширен базовый набор авторизации пользователей с применением двухфакторной аутентификации или биометрии; внедрение процесса управления уязвимостями в приложениях, используемых клиентами; запрет на использование устаревших версий платежного приложения.
  • Защита конфиденциальности платежной информации и содержащихся в ней персональных данных: дополнены требования по управлению доступом и порядку работы с конфиденциальной информацией, а также регистрация безопасного уничтожения носителей конфиденциальной информации.
  • Служба информационной безопасности и кибербезопасности: обновились требования к проведению аудитов на соответствие требованиям постановлений, внутренних политик и регламентов не реже двух раз в год.
  • Мониторинг информационных систем и ресурсов, выявление нежелательных событий и реагирование на инциденты ИБ: новое требование по взаимодействию с системой мониторинга центра кибербезопасности ЦБ (CERT CBU), а также требование по ограничению доступа к BIOS банкоматов с использованием сложных паролей.

Новые требования в Положении ЦБ РУз №3513, которые вступили в силу:

  • Внедрение систем антифрода и требования к ним, такие как сбор информации о банковских картах, используемых в мошеннических операциях, и круглосуточная служба анализа мошеннических операций.
  • Предотвращение выплат без согласия физических и юридических лиц с применением антифрод решений, интегрированных в централизованную систему мониторинга и предотвращения мошеннических операций ЦБ, и уведомление пользователей о подозрительных мошеннических операциях с их картами.
  • Определены требования безопасности к использованию EPOS-решений, с применением отдельного EPOS-терминала для P2P-переводов, не выполняющего другие платежные функции, а также определение правил обеспечения информационной безопасности при использовании EPOS-терминалов.

Положение ЦБ РУз №3513 является идейным продолжением Постановления №3268, и можно наглядно увидеть аналогию с требованиями международных практик управления информационной безопасностью, таких как PCI DSS, в частности:

  • Внедрение программы управления уязвимостями, использование наиболее актуальных версий платежного ПО и его безопасная разработка – Требование 6: Разработка и поддержка безопасных систем и программного обеспечения.
  • Внедрение процессов авторизации с применением двухфакторной аутентификации, что также отражается в Требовании 8: Идентификация пользователей и аутентификация доступа к системным компонентам.
  • Не отменяются требования по использованию SIEM-систем для анализа журнала логов и подозрительной активности в информационных системах участников платежных систем по аналогии с Требованием 10 Стандарта: Регистрация и отслеживание всех доступов к системным компонентам и данным держателей карт.
  • Проведение регулярных внутренних проверок соответствия требованиям безопасности – Требование 12: Поддержка информационной безопасности с помощью организационных политик и программ.

Положения ЦБ РУз №3513 действительно можно рассматривать как естественное продолжение Постановления №3268, что свидетельствует о последовательном подходе к вопросам информационной безопасности в финансовом секторе. Это не просто набор требований, но и стратегический шаг вперед в области защиты информации, основанный на лучших международных практиках, который формирует основу для построения эффективной системы управления информационной безопасностью в финансовом секторе Узбекистана.

Новости Финтеха, ритейла и e-commerce в Центральной Азии

Биткоин приближается к $100 тысячам

22.11.202422.11.2024
Биткоин приближается к $100 тысячам

Курс биткоина впервые превысил отметку в $99 тысяч, установив новый рекорд на рынке криптовалют. На пике цена достигла $99 390 на американской бирже Coinbase, а на Binance — крупнейшей по объему торгов бирже — стоимость пары BTC/USDT поднялась до $99 299.

Активный рост курса начался с 6 ноября, после победы Дональда Трампа на президентских выборах в США. С тех пор биткоин уверенно двигался вверх, начиная с отметки $68 тысяч, без заметных откатов и регулярно обновляя исторические максимумы. Этот рост подкрепляется позитивными новостями для крипторынка.

Рынок реагирует на смену регуляторов
Одним из драйверов роста стал недавний анонс об отставке председателя Комиссии по ценным бумагам и биржам США (SEC) Гэри Генслера. Он покинет свой пост 20 января, в день инаугурации Трампа. SEC под руководством Генслера активно подавала иски против криптовалютных компаний, что негативно сказывалось на рынке. Однако появление кандидатов, лояльных к криптовалютам, внушило оптимизм инвесторам.

Рост альткоинов
Другие крупные криптовалюты из топ-10 также показали значительный рост.

  • Ethereum (ETH) прибавил 9% за сутки, достигнув отметки $3426.
  • Solana (SOL) обновила свой исторический максимум, превысив $260 впервые с 2021 года.
  • XRP (Ripple) за неделю вырос на 70%, включая прирост 25% за последние сутки. Инвесторы связывают это с потенциальной победой Ripple в суде против SEC.

Новости Финтеха, ритейла и e-commerce в Центральной Азии

Одной из наиболее частых угроз остаются DDoS-атаки, которые доступны, недороги и используются массово

22.11.202422.11.2024
Одной из наиболее частых угроз остаются DDoS-атаки, которые доступны, недороги и используются массово

Об этомговорили эксперты на сессии «Безопасность в ритейле. Технологии защиты от потерь» на ПЛАС-Форуме Retail Central Asia в Ташкенте.

Модератором сессии выступил Алексей Голенищев, независимый эксперт (20+ лет работы в топовых коммерческих банках и мегарегуляторе по направлениям антифрод, кибербезопасность). По его словам, сегодня 158 млрд рублей за 2 квартал 2024 года было похищено у российских граждан мошенниками. При этом по данным Сбера, за весь нынешний год у населения мошенникам удастся похитить четверть триллиона (!) рублей.

Основная доля приходится на телефонных мошенников, использующих приемы социальной (криминальной) инженерии. По словам эксперта, сценариев телефонного мошенничества очень много, и они постоянно продолжают пополняться.

Также для противодействия антифрод-системам мошенники активно используют так называемые разрывы, предлагая жертвам снимать наличные в банкоматах и отдавать их на руки курьерам преступников, что делает невозможным дальнейшее отслеживание похищенных средств такими инструментами.

Мессенджеры становятся основным каналом мошенников, использующих их уже с большей эффективностью, чем обычные телефонные звонки. В том числе, благодаря широкому применению технологий дипфейков. Особое внимание Алексей Голенищев уделил рискам, подстерегающим более 800 млн пользователей Telegram по всему миру.

Не менее опасными трендами становится использование фишинга как сервиса (Phishing-as-a-Service, PhaaS), благодаря чему даже не особо технически продвинутым лицам удается проводить сложные фишинговые атаки с помощью предоставляемых им готовых наборов инструментов, шаблонов и инфраструктуры для создания фальшивых веб-страниц и т. п.

Александр Зорин, директор по информационной безопасности сети «Корзинка», рассказал о растущих киберрисках для ритейла. По его словам, киберугрозы сегодня напоминают вечное противостояние «всепробивающего копья с непробиваемым щитом». Одной из наиболее частых угроз остаются DDoS-атаки, которые доступны, недороги и используются массово.

Александр Зорин отметил, что рост числа кибератак составил 18% с 2022 по 2023 год, и прогнозируется, что к 2024–2025 годам этот показатель достигнет 25%. В то же время ритейл занимает 7-е место среди отраслей, наиболее подверженных атакам. Уязвимость ритейла связана с недостаточными инвестициями в информационную безопасность (ИБ), что делает компании легкой мишенью, отметил спикер. Однако внедрение инструментов ИБ всегда требует компромисса, поскольку это не основной драйвер бизнеса и значимая статья расходов.

«Важно понимать, какие цели бизнеса защищает ИБ, кто является бенефициаром, и какие ресурсы могут быть вложены в это направление», — подчеркнул Александр Зорин.

Зафар Вахидов, партнер, Vakhidov & Partners, озвучил некоторые аспекты защиты персональных данных в электронной коммерции в Казахстане и Узбекистане.

Александр Фролкин, коммерческий директор PS Cloud Services, рассказал о внедрении облачных решений для крупнейших компаний региона. Примером стало развертывание IT-инфраструктуры для компании ЛУКОЙЛ.

Основные требования проекта включали:

•             Создание единой IT-инфраструктуры для Казахстана и Узбекистана.

•             Размещение в облаке программного обеспечения для автоматизации АЗС (АСУ АЗС) и программ лояльности.

•             Обеспечение высокой скорости вывода на рынок (time to market).

•             Безопасность и устойчивость системы к атакам.

Проект был реализован с помощью нестандартной конфигурации серверов и использования VPN-туннелей между сегментами инфраструктуры в двух странах. Это позволило достигнуть следующих результатов:

•             Скорость подключения новых АЗС — 1 день.

•             Высокая производительность и отказоустойчивость сервиса.

•             Полное соответствие требованиям бизнеса.

Клиенты ЛУКОЙЛ отметили, что система работает бесперебойно, а ее функциональность и безопасность удовлетворяют всем необходимым стандартам.

Айгерим Гарифуллина, директор по развитию решений кибербезопасности, Mastercard в СНГ, в своем выступлении рассмотрела такую актуальную тему, как управление диспутами и возвратами в трансграничных платежах. Повышенный интерес участников рынка к этим вопросам, по мнению эксперта, говорит об активном развитии рынка электронной коммерции Узбекистана не только в рамках республики, но и в направлении cross border. По некотором прогнозам, рассчитанным по результатам исследований, рынок Центральной Азии к 2032 году будет расти на десятки процентов ежегодно. На этом фоне чарджбэк-платежи становятся очень важной составляющей бизнеса. Тем более, что на один доллар прямых потерь от фрода могут приходится десятки долларов, потраченных на урегулирование диспутных ситуаций, а согласно прогнозам, на период 2026–2027 гг. в регионе ЦА ожидается заметный рост мошеннических операций.

Выходом, как и во многих подобных случаях, является автоматизация возвратных платежей. На этом фоне Айгерим Гарифуллина поделилась опытом использования соответствующего решения Mastercard, особое внимание уделив его возможностям в части экономии и гибкой адаптации к конкретным рыночным условиям, в том числе, к специфике рынка Узбекистана.

Павел Ли, аудитор-консультант, Compliance Control, посвятил свое выступление социальной инженерии и основным векторам преступных атак 2023–2024.

Как отметил эксперт, 71% фишинговых атак проводятся сегодня с помощью Spear-фишинга – целенаправленной формы фишинга, при которой злоумышленники используют тактику социальной инженерии, чтобы обманом заставить отдельных лиц или целые организации разгласить конфиденциальную информацию. В отличие от других видов фишинга мошенничеств, целевой фишинг направлен на конкретных лиц, а используемые преступниками сообщения персонализированы, чтобы выглядеть так, как будто они поступили из проверенного источника.

Особое внимание эксперты уделили конкретным рекомендациям, способным помочь обезопасить себя и свою компанию от разных форм мошенничества и советам, как предотвратить потери от компрометации данных.

Новости Финтеха, ритейла и e-commerce в Центральной Азии

Криптоплатежи для бизнеса: CityPay.io внедряет новые технологии

21.11.202421.11.2024
Криптоплатежи для бизнеса: CityPay.io внедряет новые технологии

На форуме выступил Арно Гзиров, менеджер по развитию бизнеса компании CityPay.io, рассказав о том, как их решения меняют подход к использованию криптовалют в повседневной жизни. Компания предлагает инновационные инструменты для бизнеса, которые упрощают прием криптоактивов, одновременно конвертируя их в местную валюту.

Как работают решения CityPay.io

CityPay.io предоставляет бизнесу возможность принимать криптовалюту с минимальными изменениями в существующей системе. Среди ключевых продуктов компании:

ПО для банков: позволяет интегрировать опцию криптовалютных платежей в уже существующие посттерминалы.

API для онлайн-магазинов: открывает новые возможности для интернет-коммерции, добавляя поддержку криптовалют.

Кошелек для физических лиц: включает в себя функции хранения, обмена криптовалют и возможность выпускать криптокарты.

Банкоматы для криптоактивов: позволяют обменивать криптовалюту на наличные.

Практическое применение

Гзиров отметил успешный пример из Грузии, где университет решил проблему задержек банковских переводов для иностранных студентов. Благодаря интеграции решения CityPay.io родители студентов оплачивают обучение через криптоактивы, а университет получает деньги в национальной валюте всего за 10 секунд. Это решение уже доказало свою эффективность, особенно для бизнеса, связанного с импортом, где важна оперативность расчетов.

Запуск в Узбекистане

Компания готовится начать работу в Узбекистане в декабре 2024 года. Партнером по запуску станет Octobank, чьи клиенты получат доступ к новым способам оплаты. Следующим этапом станет сотрудничество с Paynet, предоставляющим услуги пополнения фиатных кошельков и покупки криптоактивов через терминалы.

За три года работы в Грузии CityPay.io охватила практически все сегменты бизнеса, предоставив возможность оплатить криптовалютой товары, услуги, недвижимость и даже автомобили. Компания уже активно работает в Турции и Азербайджане, а в ближайшее время планирует расширение на рынки Казахстана и других стран региона.

Новости Финтеха, ритейла и e-commerce в Центральной Азии

Гостиницы Lotte и International проданы

21.11.202421.11.2024
Гостиницы Lotte и International проданы

Агентство по управлению государственными активами объявило итоги открытых торгов по продаже двух гостиниц в Ташкенте – Lotte City Hotel Tashkent Palace и International. В рамках программы приватизации обе сделки завершились с участием международных консалтинговых компаний и привлекли значительное внимание инвесторов.

Гостиница Lotte City Hotel Tashkent Palace, управляемая южнокорейской компанией Hotel Lotte CO., Ltd с 2013 года, была выставлена на продажу с участием консалтинговых компаний KPMG (консультант) и Deloitte (оценка). На начальном этапе было получено 15 заявок от местных и международных инвесторов из СНГ, Южной Азии и Европы.

После нескольких этапов отбора и анализа (включая due diligence) победителем торгов было признано АО “ALFA INVEST Страховая Компания”, предложившее наивысшую цену — 20 млн долларов США. Эта сумма превысила верхний предел оценочного диапазона, определенного Deloitte и KPMG.

Инвестор также обязался сохранять архитектурный облик здания и согласовывать все ремонтные и реконструкционные работы с Министерством строительства и Агентством культурного наследия.

Приватизация гостиницы International проводилась с участием консалтинговых компаний Deloitte (консультант) и Ernst & Young (оценка). Торги вызвали интерес у шести инвесторов из арабских стран, Восточной Азии и Европы. По итогам процесса победителем стало ООО Smart Fast Stroy, предложившее 26 млн долларов США за 100% государственной доли.

Дополнительно, инвестор принял на себя обязательство по погашению задолженности в размере 14,7 млн евро. В результате общий объем финансовых обязательств, связанных с этой сделкой, превысил 41 млн долларов США.

Сумма, предложенная победителем, также превысила верхний предел оценочного диапазона, рассчитанного Deloitte.

Результаты обеих сделок были одобрены Государственной комиссией по приватизации.

Новости Финтеха, ритейла и e-commerce в Центральной Азии

Ритейл будущего: как поколения Z и Alpha меняют правила игры

21.11.202421.11.2024
Ритейл будущего: как поколения Z и Alpha меняют правила игры

О ключевых трендах, которые формируют будущее оффлайн-ритейла, на ПЛАС-Форуме Retail Central Asia рассказал Бахтияр Султан, руководитель практики Retail and Consumer Strategy& Eurasia в PwC.

Глобальные тенденции

Бахтияр Султан отметил, что урбанизация остается одним из главных факторов, влияющих на рынок ритейла. Рост городов и ускорение ритма жизни заставляют потребителей искать максимально удобные решения для покупок. Этот тренд усиливает развитие так называемой Convenience 2.0 – концепции, где ключевую роль играют доступность, удобство и свежесть товаров.

Другой важный тренд – омниканальность, которая меняет представления о классическом ритейле. Покупатели ожидают seamless-опыт, когда оффлайн и онлайн интегрируются в единое пространство. Эта тенденция, подчеркнул Султан, будет только набирать обороты в ближайшие 5-10 лет.

Переход к “магазинам у дома”

После пандемии COVID-19 спрос на гипермаркеты и крупные торговые центры заметно снизился. Потребители всё чаще выбирают магазины шаговой доступности, где они могут приобрести товары повседневного спроса без лишних затрат времени и денег. “Доступность и свежесть продуктов становятся решающими факторами,” – отметил Султан.

Будущее за поколениями Z и Alpha

Наибольшее влияние на ритейл, по мнению эксперта, окажут поколения Z (12-27 лет) и Alpha (до 12 лет), которые через 10 лет составят около 50% экономически активного населения в таких странах, как Узбекистан и Казахстан.

Эти поколения выросли в цифровом мире и имеют совершенно иные потребности и ожидания от ритейла:

  • минимальное время на покупки;
  • омниканальный опыт;
  • высокая свежесть и качество товаров;
  • готовность платить за баланс между ценой и ценностью.

Особенно заметно это влияние в странах Центральной Азии. “Мы подсчитали, что через десятилетие поколения Z и Alpha станут основными драйверами потребления в Казахстане и Узбекистане,” – подчеркнул Султан.

Задачи для бизнеса

“Будущее ритейла заключается в способности адаптироваться к этим изменениям,” – отметил Султан. Компании должны предлагать современные решения, соответствующие ожиданиям новых поколений, включая цифровизацию процессов, доступные магазины и качественный сервис.

Ритейл-игрокам предстоит найти баланс между ценой и качеством, чтобы соответствовать запросам быстро меняющегося рынка.

Новости Финтеха, ритейла и e-commerce в Центральной Азии

Еще новости