Tiêu chuẩn đảm bảo an toàn trong giao dịch và thanh toán điện tử ngành Ngân hàng (Phần 3)
Đây là bài viết thứ 3 trong chuỗi bài viết về Tiêu chuẩn đảm bảo an toàn trong giao dịch và thanh toán điện tử. Phần này sẽ chi tiết hóa và cung cấp nội dung về PSD2 – Chỉ thị dịch vụ Thanh toán sửa đổi của Liên minh Châu Âu. III. PSD2 – Chỉ thị dịch vụ Thanh toán sửa đổi của Liên minh Châu Âu Quá trình số hóa và chuyển đổi số trong nền kinh tế của EU đem tới nhiều thành phần tham dự vào thanh toán điện tử (ví dụ: tiền ảo, ví điện tử), đồng hành cùng các rủi ro mới nhằm ngoài các văn bản luật hiện hành. Cùng sự phê chuẩn bộ Quy định eIDAS, Liên minh Châu Âu soạn thảo Chỉ thị Dịch vụ Thanh toán sửa đổi PSD2 (tên đầy đủ “Payment Service Directive 2 – Directive 2015/2366) thay thế cho Chỉ thị 2007/64/EC lần đầu vào tháng 7 năm 2013 và chính thức có hiệu lực trên toàn lãnh thổ vào tháng 9 năm 2019. Chỉ thị Dịch vụ Thanh toán sửa đổi của Liên minh Châu Âu nhằm mục đích tăng cường tính bảo mật trong thanh toán điện tử, cải thiện khả năng bảo vệ người tiêu dùng, nâng cao động lực đổi mới sáng tạo và tính cạnh tranh – đồng thời đảm bảo môi trường công bằng cho tất cả các thành phần tham gia vào mô hình giao dịch điện tử (bao gồm cả những đối tượng không được quy định trong phiên bản đầu tiên của Chỉ thị Dịch vụ Thanh toán) 1.Nội dung chính Chỉ thị Dịch vụ Thanh toán sửa đổi có tổng cộng 117 điều khoản, bao hàm những điều khoản chính như sau: – Tăng cường tính minh bạch trong thanh toán điện tử thông qua việc cho phép các tổ chức được ủy quyền truy cập thông tin khách hàng, sử dụng thông tin khách hàng để thu hộ chi hộ (XS2A – Access service to Account). Việc truy cập này được cho phép qua API, nhờ đó giảm thiểu thời gian và quy trình thanh toán điện tử một khi bên thứ ba được ủy quyền thực hiện giao dịch trực tiếp với ngân hàng/tổ chức tín dụng. Tuy nhiên, hiện tại chưa có một cổng Open API chung cho toàn Liên minh Châu Âu mà các ASPSP (các ngân hàng) sử dụng API của riêng mình, tạo nên khó khăn nhất định khi tiếp cận dịch vụ XS2A do số lượng API phát sinh là rất lớn. – Tăng cường định nghĩa về các thành phần mới trong thanh toán điện tử của nền kinh tế số, bao gồm: + Nhà cung cấp dịch vụ thanh toán bên thứ ba (TPP – Third Party Payment Service Providers): Các tổ chức tham gia thanh toán trên danh nghĩa của khách hàng. Trong PSD2, các tổ chức này có thể thực hiện dưới danh nghĩa “Nhà cung cấp dịch vụ thông tin khách hàng” hoặc “Nhà cung cấp dịch vụ khởi tạo thanh toán + Nhà cung cấp dịch vụ quản lý tài khoản trong thanh toán (ASPSP – Account Servicing Payment Service Providers): Các tổ chức cung cấp và cho phép sử dụng tài khoản tài chính (ví dụ: ngân hàng). Các ASPSP có thể là ngân hàng hoặc tổ chức tín dụng.. + Nhà cung cấp dịch vụ thông tin khách hàng (AISP – Account Information Service Providers): Các tổ chức này thống kê tài khoản thanh toán vào một điểm truy cập duy nhất nhằm giúp khách hàng quản lý tài chính tốt hơn (ví dụ: tổ chức quản lý tài chính). + Nhà cung cấp dịch vụ khởi tạo thanh toán (PISP – Payment initiation Service Provider): Các tổ chức cho phép thực hiện thanh toán giao dịch điện tử thông qua phương pháp online (ví dụ: ví điện tử). – Tăng cường tính bảo mật trong thanh toán điện tử thông qua quy định bắt buộc áp dụng Xác thực Định danh Tăng cường (SCA – Strong Customer Authentication) đối với thanh toán điện tử thực hiện trong lãnh thổ Châu Âu. Với PSD2, để đạt quy định về xác thực định danh tăng cường cần có 2 trong 3 yếu tố: điều khách hàng biết – “Something you know” (ví dụ: mã pin), điều khách hàng có – “Something you own” (ví dụ: token) và điều khách hàng sở hữu riêng – “Something you are” (ví dụ: vân tay). Tuy những yêu cầu tăng cường về bảo mật trong SCA được đặt ra nhằm bảo vệ người sử dụng dịch vụ thanh toán điện tử, SCA cũng có những ngoại lệ không áp dụng để đảm bảo tính tiện lợi khi sử dụng dịch vụ, bao gồm: + Giao dịch với giá trị dưới 30 EUR. Mặc dù vậy, SCA vẫn phải được áp dụng cho mỗi 5 lần giao dịch. + Giao dịch định kỳ với khoản thanh toán cố định: trong PSD2 thì SCA chỉ được áp dụng với những giao dịch được khởi tạo bởi người dùng. Các giao dịch định kỳ (trả hóa đơn nhà, hóa đơn nước…) được coi là do nhà cung cấp dịch vụ khởi tạo, vì vậy không yêu cầu xác thực SCA sau lần thanh toán đầu tiên. + Danh sách tin cậy (Whitelist): người sử dụng có thể kích hoạt tính năng “danh sách tin cậy” từ ngân hàng để không sử dụng SCA đối với nhà cung cấp thuộc danh sách. + Giao dịch MOTO (Mail Order and Telephone Orders): các giao dịch gửi qua thư từ và điện thoại không thuộc phạm vi giao dịch điện tử, do đó không phải thực hiện xác thực SCA. + Giao dịch liên khu vực: SCA không áp dụng cho giao dịch nếu người bán và người mua không nằm trong khu vực kinh tế chung Châu Âu. + Giao dịch
Tiêu chuẩn đảm bảo an toàn trong giao dịch và thanh toán điện tử ngành Ngân hàng (Phần 1)
Rủi ro định danh trong giao dịch – thanh toán điện tử Theo thống kê của Ngân hàng Trung ương Châu Âu (European Central Bank – ECB), tổng giá trị của các vụ lừa đảo trong giao dịch – thanh toán điện tử năm 2019 đã đạt đến 1.8 tỷ EUR. Đặc biệt tại Anh và Pháp, tỷ lệ giao dịch điện tử lên tới 72% trên tổng số vụ lừa đảo, so với mặt bằng chung là 40%. Đối với “Lục địa già”, nhu cầu chống gian lận trong giao dịch điện tử đang ngày càng trở nên cấp thiết. Trong khi các nhà cung cấp dịch vụ thanh toán điện tử luôn cải tiến và đổi mới công nghệ thì các loại hình lừa đảo cũng liên tục thay đổi và trở nên phức tạp. Tính ẩn danh, sự phổ biến của Internet vạn vật (Internet of Things), dữ liệu cá nhân được cung cấp cho các bên tham gia giao dịch tạo ra nhiều cơ hội cho các vụ tấn công. Trong tất cả các phương thức lừa đảo, loại hình nhằm vào định danh số ngày càng trở nên phổ biến. Đối với tội phạm mạng, dữ liệu cá nhân là mục tiêu chủ yếu được nhắm đến trong những năm gần đây. Thách thức lớn đối với Liên minh Châu Âu là làm thế nào để quản lý những giao dịch (touchpoints) trong môi trường mạng, đảm bảo an toàn cho dữ liệu của khách hàng khi mà người dùng đã quen với giao dịch điện tử mọi lúc, mọi nơi, trên mọi thiết bị và mọi kênh điện tử. Sáu mục tiêu dễ tấn công làm giả trong kinh tế số: phần mềm, thiết bị, vị trí, số điện thoại, dữ liệu nhân dạng và tài khoản ngân hàng Định danh điện tử (e-ID) – Giải pháp chống lừa đảo danh tính Các dịch vụ ngân hàng, chính phủ và thanh toán điện tử là những đối tượng phải chịu ảnh hưởng lớn nhất từ rủi ro trong giao dịch điện tử. Để phòng chống và hạn chế tổn thất, chính phủ các nước Bắc Âu tiên phong tạo lập quy trình định danh điện tử (e-ID) cho phép người sử dụng chứng minh danh tính qua môi trường mạng Internet. Tại Thụy Điển, Phần Lan, Đan Mạch và Na Uy, liên hiệp các ngân hàng chiếm ưu thế trong cuộc đua định danh số bởi một lý do căn bản: các ngân hàng lớn có sẵn cơ sở dữ liệu người dùng đã được định danh. Với lợi thế này, việc số hóa và phát triển ứng dụng định danh bởi các ngân hàng Bắc Âu trở nên nhanh chóng và thuận lợi hơn so với các cơ quan tư nhân/khối chính phủ. Các ngân hàng ở Bắc Âu sử dụng dịch vụ định danh điện tử như chìa khóa để phổ cập các dịch vụ số, bao gồm thanh toán điện tử, hỗ trợ khách hàng điện tử, cũng như các dịch vụ chống rủi ro trong tài chính. Bên cạnh đó, những dịch vụ định danh này cũng cho phép bên thứ ba sử dụng như một phương thức định danh bảo mật trong giao dịch điện tử: như trong Cổng thông tin Chính phủ điện tử, Cổng thông tin việc làm, Cổng đăng ký nhập học,… Theo thống kê của Phần Lan, 90% khách hàng trong lĩnh vực nhà đất sử dụng định danh điện tử ngân hàng TUPAS để ký hợp đồng qua Internet. Sự phổ biến của các dịch vụ ứng dụng định danh điện tử mang đến sự thuận tiện cho các bên tham gia giao dịch – giảm thiểu chi phí vận hành, rủi ro và thời gian. Định danh điện tử tại Bắc Âu giảm thiểu rủi ro trong chính phủ số, doanh nghiệp số, thương mại số Về tính pháp lý, Chỉ thị về Chữ ký điện tử (Directive 1999/93/EC) cho phép các quốc gia thành viên trong Liên minh Châu Âu quyền tự quyết đối với khả năng ứng dụng chữ ký điện tử (như chương trình nhận dạng điện tử quốc gia phát triển bởi Liên hiệp ngân hàng Bắc Âu). Tuy nhiên, điều này cũng phát sinh nhiều lỗ hổng trong nhận dạng và không có một tiêu chuẩn nhất quán cho định danh điện tử giữa các nước, dẫn đến sự chối bỏ định danh điện tử giữa các quốc gia trong cùng một khối. Là một Liên minh về kinh tế và chính trị, cho phép người lao động tự do di chuyển trong khối nhưng Châu Âu trước năm 2014 lại không có một Quy định nào về nhận dạng điện tử. Điều này gây khó khăn cho du lịch, đầu tư tài chính và ký kết văn bản liên quốc gia, khi mà các bên tham gia phải cùng có mặt tại bàn làm việc mặc cho hệ thống định danh điện tử cấp quốc gia đã hoạt động được gần một thập kỷ. Sự phân rã trong hệ sinh thái điện tử và những rủi ro ngày càng gia tăng trong giao dịch điện tử là động lực thúc đẩy Liên minh Châu Âu tìm ra một giải pháp mới để liên kết các mạng lưới định danh điện tử.
