A biztonsághoz való jogukat védelmező bankok figyelmen kívül hagyják a fogyasztói bizalom lényegét
Amikor a vállalkozások felülbírálják az ügyfél biztonsági döntését, teljes mértékben felelőssé teszi őket az incidens megsértése esetén? Ezt a kérdést az olyan bankoknak, mint a szingapúriak, mérlegelniük kell, mielőtt bevezetik a következő biztonsági funkciót.
Mivel a piaci adatok azt mutatják, hogy a kiberbiztonsági támadások mennyisége és kifinomultsága növekszik, nem meglepő, hogy a vállalkozások keresni fogják a vagyonuk jobb védelmének módját. Különösen a bankok akarnak nagyobb árkot, mivel több vesztenivalójuk van.
A megerősített védelem azonban elkerülhetetlenül azt jelenti, hogy a legitim felhasználóknak mélyebbre kell ásniuk magukat, hogy hozzáférjenek a szolgáltatásokhoz. Az eredmény egy állandó vita a biztonság és a használhatóság közötti megfelelő egyensúly megtalálásáról.
És úgy tűnik, hogy az egyik szingapúri banknak meg kell oldania ezt az egyenleget, miután bevezetett egy biztonsági funkciót, amely több ügyfelét csalódottá tette.
Az OCBC a múlt héten bevezette azt a funkciót, amely letiltja a hozzáférést digitális banki szolgáltatásaihoz, ha olyan mobilalkalmazásokat észlelnek a felhasználó eszközén, amelyeket nem töltöttek le nem hivatalos alkalmazásboltokból, például a Google Play Store-ból és a Huawei AppGallery-ből.
Arra hivatkozva, hogy meg kell védeni az ügyfeleket a rosszindulatú programok ellen, a bank azt mondta, hogy ez a "fejlesztés" lehetővé teszi az alkalmazás számára, hogy azonosítsa a hibás alkalmazásokat az ügyfél eszközén. A biztonsági funkció ezenkívül ellenőrzi az alkalmazások engedélybeállításait a bank által potenciális kockázatot jelentő vagy a rosszindulatú programok által általánosan használt alkalmazásokhoz képest.
Ha olyan alkalmazásokat észlelnek, amelyek nem felelnek meg mindkét kritériumnak, az ügyfelek addig nem tudnak bejelentkezni fiókjukba az OCBC mobilalkalmazásán vagy online banki webhelyén keresztül, amíg el nem távolítják vagy eltávolítják a "gazember" alkalmazásokat.
Ez a magas szintű biztonság remekül hangzott - egészen addig, amíg nem kezdtek felbukkanni a panaszok. Az ügyfelek ki vannak zárva, pedig a bank új biztonsági funkciója által megjelölt alkalmazásokat valójában hivatalos alkalmazásboltokból töltötték le. Ezek közé az alkalmazások közé tartozik a Microsoft Authenticator, az LG ThinQ, a CCleaner és a Trend Micro. Még az ügyfelek saját víruskereső mobilalkalmazásai által törölt alkalmazásokat is kockázatosként jelölte meg az OCBC biztonsági funkció.
Az érintett ügyfelek szerint nem működött a bank által javasolt megoldás, miszerint törölni és újratelepíteni az egyes alkalmazásokat a hivatalos alkalmazásboltokból.
A legtöbb esetben az OCBC válasza szabványos volt - az új biztonsági funkció a csalás elleni küzdelem része, és „megvédi ügyfeleinket” a feltételezett rosszindulatú alkalmazásoktól. "Elnézést kérünk az esetleges kellemetlenségekért" - mondta többször is, hogy feldühítse az ügyfeleket Facebook-oldalán. "Türelmét kérjük, mivel ennek a funkciónak az a célja, hogy megvédje az ügyfeleket a rosszindulatú programokkal szembeni csalásoktól."
Ez a helyzet olyan esetnek tűnik, amikor a biztonság felülmúlta a használhatóságot. Megkönnyebbültem, amikor elolvastam a sértett OCBC-ügyfelek anekdotáit, hogy egy másik cégnél választottam a bankolást. Ekkor azonban az iparági szabályozó hatóság, a Szingapúri Monetáris Hatóság (MAS) megerősítette, hogy támogatja a bank biztonsági funkcióját.
"A biztonsági intézkedések némi kényelmetlenséggel járnak majd az ügyfelek számára, de szükségesek a digitális banki szolgáltatások biztonságának és bizalmának fenntartásához" - mondta a MAS. "Az éber és igényes nyilvánossággal párosulva a robusztus biztonsági intézkedések segítenek megerősíteni védekezésünket a csalások ellen."
Tekintettel a szabályozó pompomlány szerepére, most arra számítok, hogy a fennmaradó két nagy helyi bank, köztük az enyém is, a közeljövőben követni fogja a példáját, és bevezet egy hasonló biztonsági "fejlesztést".
Lehet, hogy az OCBC vezeklést szolgál, amiért a középpontba került a tavalyi adathalász csalásokban, vagy talán elvesztette a kő, papír, olló játékát, és az első bankként választották ki a biztonsági funkciót - és ezért el kellett viselnie. az ügyfelek haragjának terhe?
Bárhogy is legyen, az OCBC zavaros elindítása sok kívánnivalót hagy maga után, és olyan kérdéseket vet fel, amelyeket az egész iparágnak, beleértve a szabályozót is, együttesen kell megválaszolnia.
Fogyasztói bizalom és közös felelősség
Először is tisztázzunk egy dolgot. Ez nem egyszerűen a magánélet kérdése, hanem a felhasználói bizalom kérdése. Ha a dolgok nem úgy működnek, ahogyan működniük kellene, a bizalom megromlik.
Csak a hivatalos alkalmazásboltokból származó alkalmazásokat használja, és ügyes lesz, biztosították az OCBC ügyfeleit. De ez a megközelítés problémásnak bizonyult.
„Ó, akkor az alkalmazás engedélybeállításai okozzák a problémát” - mondták az ügyfeleknek. A bank azonban továbbra is feszült volt az engedélybeállítások részleteivel kapcsolatban, feltehetően azért, hogy a rosszfiúk ne kapjanak tippet arról, hogyan kerüljék ki ezeket a zászlókat.
Általánosságban elmondható, hogy az információ hiánya és az átláthatóság azt jelenti, hogy a felhasználók azon töprengenek, hogy pontosan mi a baj az alkalmazásokkal - azokkal, amelyeket hivatalos boltokból töltöttek le, és amelyeket törvényes cégek készítettek. Ez azt jelenti, hogy az olyanok, mint a Microsoft, az LG és a Trend Micro olyan alkalmazásokat adnak ki, amelyek az OCBC szerint biztonsági kockázatokat rejtenek magukban?
És ha nem ez a helyzet, ez azt jelenti, hogy az alkalmazásokat tévedésből azonosítja egy nagy bank biztonsági „javítása”? Biztonsági fejlesztés, amelyet szigorúan ellenőrizni, tesztelni és újra ellenőrizni kellett volna, mielőtt nyilvánosságra kerül?
Mennyire bízzanak tehát a fogyasztók egy olyan biztonsági funkcióban, amely nem képes megfelelően megkülönböztetni a legális alkalmazásokat a tényleges kockázatokat hordozó alkalmazásoktól?
Továbbá: Ezek a szakértők azért versenyeznek, hogy megvédjék az AI-t a hackerektől
A tetejébe a felhasználóknak azt mondják, hogy az eszközeik működtetésével kapcsolatos döntéseik érvénytelenek. Más szavakkal, ez a biztonsági fejlesztés azt jelenti, hogy „távolítsa el a rossz alkalmazásait, különben nem tudja használni a miénket”.
Tehát, ha a vállalkozások felülbírálják az ügyfelek azon döntését, hogy miként kívánják eszközeiket védeni, teljes mértékben felelőssé teszi őket az incidens megsértése esetén? Úgy gondolom, hogy valószínűleg meg kell tennie, mivel az ügyfélnek kevés beleszólása van azokhoz az alkalmazásokhoz, beleértve a víruskereső eszközöket is, amelyeket a telefonján használhat, ha továbbra is hozzá szeretne férni bankszámlájához.
Nemrég volt egy hasonló beszélgetésem néhány iparági emberrel, amelynek során megemlítettem egy személyes bosszúságot az alkalmazásengedélyekkel és a szervezetek képtelenségével vagy nem hajlandóságával kapcsolatban, hogy megmagyarázzák, miért van szükségük olyan funkciókhoz való hozzáférésre, amelyek szolgáltatásaik megkönnyítése érdekében szükségtelenek.
Ekkor felmerült bennem, hogy az átláthatóság hiányát tompíthatja az a biztosíték, hogy ezek a vállalkozások saját érdekükben nem akarnak olyan alkalmazást fejleszteni, amely veszélybe sodorja ügyfeleit, ezzel rontva saját márkájuk hírnevét.
Azzal érvelek, hogy ez az álláspont nem mentesítheti az ügyfeleket attól, hogy felelősséget vállaljanak saját biztonsági helyzetükért.
Valójában a szingapúri kormány - talán a vállalkozások örömére - többször is hangsúlyozta, hogy a fogyasztóknak közös felelősséget kell vállalniuk kiberhigiéniáik megőrzésében.
„A csalások elleni folyamatos küzdelemhez ökoszisztéma-alapú megközelítésre van szükség, amelyben minden érdekelt fél kiveszi a részét az éberségből és a csalások elleni védekezésből” - mondta a MAS. A szabályozó egy felelősségi keretrendszeren dolgozik, amely szerinte egyértelművé teszi a pénzintézetek, a távközlési szolgáltatók és az ügyfelek szerepét és felelősségét, hogy éber legyen az online csalások ellen.
Továbbá: 5 egyszerű lépés, amellyel megvédheti okostelefonját a hackerektől
Ha a fogyasztók felelősséget és felelősséget vállalnak online higiéniájukért, nem kellene-e jogukban állniuk saját maguk dönteni arról, hogyan tudják a legjobban megvédeni magukat?
És nem kellene nagyobb átláthatóságot és az információkhoz való hozzáférést biztosítani arra vonatkozóan, hogy a fogyasztók által lebonyolított szervezetek hogyan biztosítják szolgáltatásaikat?
Ügyfeleik (és a józanságom) érdekében remélem, hogy az OCBC nyomdokaiba lépő többi bank is jegyzeteket készít, és azon dolgozik, hogy elkerülje a hasonlóan zűrzavaros bevezetést.
Például az OCBC enyhíthetett volna néhány problémát azzal, hogy az ügyfeleknek személyes „fehérlistát” kínál, amelyre felvehetik a bank biztonsági funkciója által kezdetben megjelölt alkalmazásokat? Ezeket az alkalmazásokat ellenőrizni és értékelni lehet a biztonsági irányelvek alapján, és csak akkor lehet felvenni az engedélyezőlistára, ha megbizonyosodtunk arról, hogy biztonságosak.
A bankok legfeljebb három alkalmazást tehetnek fel az engedélyezési listára, így az ügyfelek motiváltak, hogy előnyben részesítsék a feltétlenül szükséges alkalmazásokat, és a bankok kezelhetik az ehhez szükséges erőforrásokat. Emellett mesterséges intelligencia eszközöket is használhatnak bizonyos folyamatok automatizálására és az alkalmazások értékelési ciklusának optimalizálására, valamint a jóváhagyottak tárházát is karbantarthatják, így tovább csökkentve az engedélyezési lista karbantartásához szükséges erőfeszítéseket.
És ha még nem teszik meg, a bankoknak kapcsolatba kell lépniük a nagyobb alkalmazásfejlesztőkkel, beleértve a víruskereső szoftverek gyártóit is, hogy az engedélybeállításaik hogyan felelnek meg a biztonsági ellenőrzőlistán. Ez azt feltételezi, hogy ők is úgy döntenek, hogy nem árulnak el konkrétumokat az általuk kockázatosnak tartott alkalmazásengedélyek mögött.
Mindenekelőtt az egyetlen kulcskérdés, amelyet minden bank fel akar tenni magának, az az, hogy készek-e teljes felelősséget vállalni a biztonság megsértése esetén, ha úgy döntenek, hogy felülbírálják ügyfeleik biztonsági döntéseit.