1. Статьи
2. Решения систем безопасности
3. Как Единая биометрическая система меняет финансовую отрасль

Олег Ковпак
Директор проектного офиса "Единая биометрическая система" ПАО "Ростелеком"

 

Многие услуги банки до сих пор оказывают только при посещении человеком офиса. С внедрением ЕБС необходимость личной явки и подписания документов на бумажных носителях уйдет в прошлое.

Система меняет взаимодействие между гражданином и организациям. Она даст возможность получать услуги в любое время Например, можно будет стать клиентом банка с помощью мобильного телефона или ноутбука.

Для бизнеса использование ЕБС также предоставляет ряд преимуществ:

• снижение затрат на обслуживание, клиент фактически все делает сам, нужно лишь вывести продукты в цифровой канал;
• оформление договоров в режиме 24/7;
• более эффективный анализ результативности рекламных кампаний;
• неограниченная география присутствия. С помощью системы взаимодействие гражданина и бизнеса осуществляется в цифровом пространстве.

Принципы безопасности платформы

Надежность и безопасность системы базируется на пяти ключевых принципах:

1. Мультимодальность. Для идентификации используются две модальности: голос и лицо, таким образом биометрические данные становится практически невозможно сымитировать.

2. Мультивендорность. При возникновении спорных вопросов о соответствии биометрического образца, снятого при идентификации, контрольному биометрическому шаблону, суммируются результаты проверок нескольких вендоров, на основе чего дается более точная и взвешенная оценка. Любые вендоры на российском рынке могут пройти тестирование, и в случае соответствия необходимым требованиям по точности их биометрический процессор будет добавлен в систему.

3. Liveness. Отвечает за возможность отличать живого человека от фотографий, записей голоса и других презентационных атак при использовании биометрии (Presentation Attack Detection) На данный момент не выявлено ни одной успешной атаки и случая реализованного мошенничества, поэтому можно утверждать, что технологию Liveness невозможно обойти. Чтобы усовершенствовать систему, в ближайшее время планируется проведение биометрического челленджа для разработчиков систем искусственного интеллекта с предложением взломать ЕБС.

4. Безопасное хранение и защищенная передача данных. Все биометрические данные хранятся отдельно от персональных и обязательно шифруются с использованием российской криптографии. Для центральных каналов передачи данных используется канал КС3, вследствие чего обеспечивается безопасность не только внутри хранилища, но и в момент передачи данных.

5. Модуль аномалий. Позволяет отследить любое аномальное поведение пользователей в системе (попытка регистрации одной и той же фотографии для разных учетных записей, дополнительное обогащение или перезапись данных, количество обращений пользователя к различным банкам и т.д.).

Типы биометрии

Когда ЦБ вышел с инициативой создания системы, которая позволит гражданам становиться клиентами банков через цифровые каналы, подробно обсуждались различные способы идентификации. Специалисты по информационной безопасности были против использования логинов и паролей, и в итоге было принято решение в пользу добавления второго фактора безопасности - биометрии.

Чтобы стать клиентом банка, гражданин все же применяет логин и пароль, но также дополнительно проходит аутентификацию с использованием биометрии. Такие требования были согласованы между Минкомсвязью, ЦБ, ФСБ и другими органами.

В системе изначально были использованы лицо и голос как наиболее доступные, удобные и безопасные при совместном использовании биометрические модальности для пользователя. Кроме того, сегодня биометрическими сканерами голоса и лица оборудован любой смартфон, планшет и компьютер.

При этом уже идут полномасштабные исследования нескольких других биометрических модальностей: в ближайшее время планируется добавить анализ поведения и рисунок вен ладоней и пальца, рассматриваются варианты добавления радужной оболочки глаза, отпечатков пальцев и др.

Например, для глухонемых людей разрабатывается сценарий идентификации по сосудам вен ладоней - пилотная версия уже запланирована, но для ее реализации потребуются изменения в нормативно-правовом регулировании

На данный момент Единая биометрическая система действует в рамках:

• закон № 11 5-ФЗ "О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма";
• закон № 149-ФЗ "Об информации, информационных технологиях и о защите информации".

Первые результаты

Система подтвердила свою успешную работу в условиях реальной эксплуатации и вышла на те показатели точности работы, которые были изначально протестированы при помощи сценарных испытаний.

Высокая производительность

ЕБС размещена на ресурсах, позволяющих обеспечить примерно 15 транзакций в секунду Однако это только первый шаг Ориентировочно надо рассчитывать на 200 одновременных транзакций в секунду только по заблокированным операциям. Это необходимо для успешного подключения половины банков, которые присутствуют на рынке.

Система изначально спроектирована с возможностью масштабирования и поддержания такого большого количества транзакций, вопрос только в физическом оборудовании. ЕБС должна иметь высокую доступность и возможности быстрого восстановления, распределенного хранения данных и вычислений по геолокации Все это в ней заложено изначально, осталось только вносить улучшения

Актуальная тарификация

Сейчас установлен тариф 200 рублей за каждую транзакцию: 100 рублей уходят банку, зарегистрировавшему биометрию, и 100 рублей на функционирование системы. Этот тариф предназначен для процедуры удаленной идентификации, в процессе которой банк не только устанавливает личность клиента, но и получает все сведения, необходимые для открытия счета. В будущем прогнозируется более выгодный тариф, составляющий несколько рублей. Вероятно, будет доступна как транзакционная модель, уже заложенная в системе, так и Enterprise-модель, при которой банк единовременно платит лицензию и может обслуживать определенное количество транзакций в месяц, в год или даже бессрочно.

Окупаемость системы для банков прогнозируется в течение 1-2 лет. Стоимость входа в систему будет достаточно низкая, при этом выгоды и возможности внутренних процессов будут значительными, и банки смогут реально сократить свои издержки на операционную деятельность.

Уверенный рост

Количество банков, подключенных к системе, постоянно растет. После запуска системы в течение 1,5 месяцев к ней подключились два банка, сейчас их шесть, и кредитных организаций, желающих поменять взаимодействие со своими клиентами, становится все больше. Это особенно важно для цифровых банков, которые не имеют представительств, и для банков с региональным присутствием, которые еще не вышли на федеральный уровень. На основе первого опыта внедрения выявлены новые потребности бизнеса в применении системы, есть понимание, куда идти дальше, как развивать систему и где ее основные зоны роста.

Потребности бизнеса в новых сценариях применения

Уже сегодня с использованием системы можно открывать счета и вклады, а также выдавать кредиты. Список возможностей будет в дальнейшем расширяться.

На основе первого опыта использования системы и обратной связи от рынка, граждан и представителей кредитных организаций получена информация о возможных вариантах применения системы:

• идентификация юридических лиц;
• антифрод, оптимизация внутренних процессов;
• получение облачной электронной подписи.

Кредитные организации выразили желание идентифицировать с помощью ЕБС физических лиц как представителей юридических лиц. В связи с количеством счетов, открываемых юридическими лицами, потребность в дистанционном канале гораздо острее.

Технологически реализация такой идентификации будет достаточно простой, так как юридическое лицо проходит идентификацию как физическое, а затем подтверждает свои юридические полномочия. Основной вопрос состоит в связке полномочий физического и юридического лица. Эта тема прорабатывается совместно с ЦБ, в ближайшее время будет собрана группа с представителями банков и всеми желающими присоединиться к обсуждению.

Как ЕБС может использоваться внутри банка?

Если банк собрал биометрические данные клиента, он пока не может использовать систему для оптимизации внутренних процессов.

Прописанный в законе сценарий предполагает сдачу биометрии в одном банке и ее применение в другом, где человек может стать клиентом без личной явки. Однако существует огромное количество сценариев, которые можно было бы реализовать внутри самого банка. Ведется активная работа над такими кейсами, например в области антифрода.

Возможности применения ЕБС в других сферах

Очевидно, что сценарий с удаленным открытием счетов довольно узкий. Чаще всего открытие счета происходит при получении кредита, ипотеки или желании сменить банк. Это происходит не так часто.

До появления кардинально новых типов услуг у клиента есть не так много возможностей воспользоваться системой по использованию "Ключа-Ростелеком". Продолжается разработка сценариев, которые будут интересны самим гражданам, внесением соответствующих изменений в систему постепенно вносятся необходимые изменения.

Если можно использовать систему для открытия счетов в других банках, то в будущем возможно удаленное подписание договора о предоставлении услуг связи с сотовым оператором и последующее автоматизрованное получение сим-карты в автомате в любое время суток. Особенно это касается и стационарных операторов связи, с которыми можно провзаимодействовать полностью удаленно.

Другой перспективный сценарий - применение системы в государственном секторе. Многие возможности недоступны на портале госуслуг по одной простой причине: надо лично получить документ и пройти идентификацию личности. Применяя систему, гражданин может пройти удаленную идентификацию, а документ будет направлен ему в электронном виде с электронной подписью государственного учреждения

Необходимости в личной явке в принципе не будет существовать. Следующая цель - дать гражданам возможность использовать систему не только в банковской сфере, но и при взаимодействии с государственными структурами

Ближайшие перспективы в банковском сегменте

Вариантов применения ЕБС в банках очень много. Рассмотрим, в каких направлениях это наиболее реально в следующие два квартала.

Антифрод и подтверждение операций в ДБО и отделениях

Во многих банках установлены антифрод-системы, которые позволяют отслеживать аномальное поведение пользователей и блокировать подозрительные транзакции. Как правило, они блокируются по двум типам:

• сверхлимитная операция (лимит устанавливает сам банк, чтобы не позволить потенциальному мошеннику вывести определенную сумму на внешние счета);
• подозрительность операции по косвенным признакам (чтобы подтвердить личность, клиент должен позвонить в контактный центр, прийти в отделение или к банкомату).

Благодаря ЕБС клиент сможет подтвердить операцию дистанционно без необходимости взаимодействия с сотрудниками банка, в режиме полного самообслуживания.

Это приведет к:

• улучшению клиентского опыта (операцию можно подтвердить за несколько секунд);
• снижению стоимости обслуживания клиента для банка (можно будет сократить расходы на обслуживающий персонал);
• росту возможностей для использования антифрод-систем (постепенно клиенты смогут совершать больше операций с использованием биометрии).

Такой подход может быть актуален и в отделениях: если клиенту необходимо подтвердить свою личность с помощью лица, то снизится вероятность обслуживания по поддельному паспорту Кроме того, после прохождения идентификации с использованием дистанционных каналов клиенту будет незачем носить паспорт при обращении в отделение - для очной идентификации можно также использовать данные системы.

Учитывая, что система подтвердила свою состоятельность и точность, можно говорить о том, что такое расширение имеет смысл и для клиентов, и для бизнеса.

Автоматизация контактных центров, оптимизация расходов

В случае заблокированной операции, скорее всего, люди и в будущем захотят пообщаться с оператором контактного центра и узнать, что произошло. Их можно было бы аутентифицировать заранее с использованием биометрии Кроме того, клиенты зачастую забывают свои пароли и не могут подтвердить свою операцию в контактном центре, даже если готовы предоставить паспортные данные.

Таким образом, можно автоматизировать контактные центры, оптимизировать расходы на сотрудников и увести часть услуг, которые могут быть оказаны только персоналом, в режим самообслуживания.

Антифрод на межбанковском уровне

Внедряя собственные биометрические системы, банки могут уменьшить риск того, что мошенник придет к ним еще раз: они уже знают его лицо, его голос и не дадут ему возможность совершить мошенническую операцию внутри банка. Но он может прийти в другой банк и реализовать снова ту же преступную схему.

Благодаря ЕБС системе можно добиться того, что у мошенника не будет возможности совершить мошеннические операции в других банках. Если данные будут объединяться в одной системе, все банки получат одинаковый результат, например, что человек был осужден или в его отношении ведутся следственные действия, значит работу в системе необходимо приостановить. Более того, использование межбанковской базы данных по мошенникам позволит сократить стоимость владения собственной биометрической системой: большая часть процессов уже пройдена на примере ЕБС. Внедрение этого решения не займет много времени

Повышение уровня сервиса клиентов

Если премиальному клиенту, который обслуживается у личного менеджера, в другом отделении придется 40 минут стоять в очереди, для него это будет неудачный опыт, который можно было бы улучшить. Приходя в банк, он может, например, нажимать кнопку на терминале выдачи талонов, и камера, узнав его, выдаст приоритетный порядок обслуживания или направит на менеджера, специализирующегося на премиальных клиентах.

Выглядит перспективной возможность подтверждения личности с помощью биометрии в банкомате для проведения сверхлимитных операций или снятия большой суммы, что положительно повлияет на качество клиентского опыта.

Основные проблемы и возможные решения на примере антифрода

Антифрод имеет вероятностную природу и работает с ошибками 1-го и 2-го рода: в ряде случаев может заблокировать самостоятельные операции честных клиентов, а может пропустить реальных мошенников, которые искусственно реализуют схему и избегают детектирования антифрод-машиной. Это создает повышенную нагрузку на контактный центр, ухудшает клиентский опыт (необходимо проделать дополнительные шаги вплоть до личного обращения в отделение, что не всегда возможно) и увеличивает банковские расходы. Данная проблема может быть решена несколькими способами:

1. Биометрическая аутентификация при помощи голоса в момент проведения транзакций и постоянная фоновая аутентификация на базе поведенческой биометрии. Если идентификация по голосу и лицу дает высокую степень доверия клиенту в ее момент проведения, то внутри транзакции этот уровень доверия постепенно снижается: нет понимания, тот ли человек продолжает работать в дистанционном банковском обслуживании или уже подключился мошенник, действующий от имени реального клиента. Поведенческая биометрия позволяет отследить такие кейсы вплоть до работы социальной инженерии, когда клиент действует не самостоятельно, а под принуждением или по голосовому фишингу.

2. Подтверждение транзакции в режиме самообслуживания в IVR. Вопрос дополнительной аутентификации при обслуживании в отделении или банкоматах может быть решен за счет голосовой биометрии и снижения среднего времени процедуры. В итоге это дает улучшение такого параметра, как First Contact Resolution, когда клиент получает реализацию своей просьбы в момент первого контакта. Если используется парольная фраза, человек может забыть ее, и ему придется идти к банкомату или в отделение для второго контакта с банком, чтобы завершить операцию. С помощью биометрии можно все сделать здесь и сейчас.

Реальность и ожидания

Использование биометрии для открытия счетов, вкладов и получения кредитов в первую очередь интересует продвинутых в информационных технологиях людей, которые понимают, как это работает, и заинтересованы в новых предложениях. Одна из основных причин состоит в том, что банки не так активно выводят финансовые продукты в цифровой канал, так как переосмысливают новый формат продаж и взаимодействия с гражданином. Но они уже понимают, какие расходы сократят за счет получения клиента здесь и сейчас, что в перспективе позволит снижать ставки по кредитам, повышать ставки по депозитам и предлагать другие интересные условия. Такие модели уже достаточно эффективны и просчитываются с использованием технологий машинного обучения, например, в сфере отелей, которые определяют, какую скидку могут дать клиентам .

Порочный круг может быть разорван, когда банки поймут, как могут использовать биометрию в своих системах, а клиенты увидят выгоды регистрации в ЕБС (получение услуг как юрлиц, использование биометрии внутри банков, где они уже обслуживаются, и т.д.). Повышая ценность и для гражданина, и для банка, планируется подтолкнуть людей активнее пользоваться этим инструментом

Менять формат взаимодействия граждан и организаций в цифровом пространстве - это небыстрый процесс, на который уйдет порядка года-двух. Обратная связь от клиентов, рынка и организаций очень важна, чтобы настроить весь процесс и ускорить внедрение системы.

Основным драйвером этого движения должны выступить сами банки: они должны предлагать и продвигать эту услугу и сами же в первую очередь получать от нее преимущества

Опубликовано: Журнал "Системы безопасности" #1, 2019

Информация и фото с http://lib.secuteck.ru/articles2/sys_ogr_dost/kak-edinaya-biometricheskaya-sistema-menyaet-finansovuyu-otrasl