Центральный банк Узбекистана предложил обновить правила кибербезопасности и антифрод-контроля для банков, платежных организаций и операторов платежных систем. Проект изменений вынесен на общественное обсуждение, предложения по нему принимаются до 1 августа.
Главное изменение касается P2P-переводов. Сейчас такие операции требуют обязательного подтверждения OTP-кодом. В новой редакции банкам и платежным организациям предлагается разрешить самостоятельно определять, какие переводы нуждаются в дополнительной проверке.
Критерии будут зависеть от внутренней политики управления фрод-рисками. Организации также смогут сами устанавливать лимит перевода, до которого подтверждение антифрод-системой не потребуется.
При этом полный запрет на P2P-переводы через веб-сайты предлагается сохранить. Такие операции по-прежнему можно будет проводить только через разрешенные каналы.
Проект также меняет подход к биометрической идентификации. Ее обязательное применение предлагается оставить для более рискованных действий — восстановления пароля и входа с нового устройства. Для ряда других операций требования планируется упростить.
Например, при привязке банковской карты к аккаунту будет достаточно OTP-кода. Сейчас для этого требуется дополнительная биометрическая проверка.
Меняется и порядок защиты карт при смене устройства или восстановлении доступа. Вместо автоматической отвязки всех карт их хотят переводить в неактивный статус. Чтобы снова использовать карту, клиенту нужно будет подтвердить активацию через OTP.
Отдельное послабление касается номеров телефонов, оформленных не на самого пользователя. Если номер принадлежит близкому родственнику и родство подтверждено, регистрацию и привязку карты разрешат провести. Исключение не будет действовать для корпоративных номеров.
Также ЦБ предлагает расширить каналы уведомлений о киберрисках. При признаках вредоносного ПО или удаленного доступа клиента можно будет предупреждать не только через SMS, но и через push-уведомление в приложении.
Еще одно изменение касается отображения данных получателя при переводах. Имя и фамилию владельца карты предлагается скрывать частично, чтобы снизить риски раскрытия персональных данных.
Кроме того, в требованиях к защите соединения планируется отказаться от жесткой привязки к TLS 1.3 и выше. Вместо этого предлагается использовать поддерживаемую версию протокола TLS.