Biometria e SCA, come mettere in sicurezza gli accessi

Da cosa nasce l’esigenza di mettere in sicurezza gli accessi

Nel corso degli ultimi anni c’è stata una vera e propria rivoluzione nei metodi di pagamento utilizzati. Sempre di più ogni giorno, c’è la forte tendenza ad utilizzare pagamenti elettronici mediante, soprattutto, i dispositivi mobili e la biometria rappresenta un fattore chiave per la sicurezza degli accessi.

Con il lockdown a causa del Covid 19 e con la repentina digitalizzazione del commercio, quotidianamente vengono effettuati moltissimi pagamenti via smartphone e computer e l’accesso ai dati disponibili online per ricerche, acquisti, etc ha reso da una parte il sistema più aperto, più disponibile e globale, dall’altra più vulnerabile al furto di dati, di identità digitali e phising.

Questo forte cambiamento ha comportato la necessità di tutelare le parti dello scambio e mettere al sicuro i pagamenti, strumenti e persone. 

L’esigenza nasce dall’aumento esponenziale degli acquisti online e dalle attività svolte a distanza e dal conseguente incremento degli attacchi fraudolenti. Basti pensare che nel corso dell’anno 2019 la Polizia Postale ha registrato circa 5000 casi di violazione dei codici e dei sistemi bancari in tutta Italia.

Prendendo alla mano i dati di uno studio della Juniper Research si stima che i danni a livello economico nell’arco temporale 2020 e 2024 supereranno i 200 miliardi di dollari.

Questa forte esigenza di sicurezza ha portato alla nascita della seconda direttiva europea per tutelare i pagamenti elettronici, chiamata PSD2, entrata in vigore il 31 dicembre del 2020.

PSD2, a cosa serve, quali obiettivi ha e come si applica

La PSD2 è la seconda direttiva a livello europeo che va a regolare la sicurezza dei pagamenti elettronici, nasce infatti dopo l’introduzione della PDS1 del 2007 che viene in questo modo modificata e integrata con nuovi punti.

L’obiettivo della PDS2, come abbiamo detto, è rafforzare la sicurezza degli utenti che usano metodi di pagamento elettronici. Rafforzando la loro trasparenza ed efficienza si ingrandirà ulteriormente il mercato dei pagamenti.

La PSD2 introduce 3 nuovi servizi di pagamento, ovvero: servizio di disposizione di ordini di pagamento, servizio di informazione sui conti e servizio di pagamento di radicamento del conto. Conseguentemente a questo nascono dei nuovi fornitori che, grazie a questa nuova direttiva, sono autorizzati a operare direttamente sul conto corrente dei vari utenti. In questo modo possono consentirgli di avere tutti i vantaggi dell’home banking, la possibilità quindi di fare e ricevere pagamenti senza doversi recare in banca.

La PSD2 si rivolge a tutti coloro che erogano dei servizi di pagamento, sono quindi incluse banche, Fintech, assicurazioni, compagnie telefoniche, TPP (Third Party Providers).

Secondo questa nuova direttiva le banche devono essere completamente trasparenti in merito alle info di pagamento e garantire un accesso sicuro agli utenti, in modo da creare congiuntamente un mercato europeo di pagamenti che sia più sicuro e più efficiente.

PSD2 e SCA: Strong Customer Authentication

PSD2 garantisce la possibilità di effettuare l’accesso ai conti in modo sicuro e autenticato a soggetti terzi, detti TPP, diversi dai gestori del conto bancario.

La Strong Customer Authentication prevede 3 step principali da dover seguire:

• Payment initation: servizio che prevede di disporre il trasferimento su un conto di pagamento presso un prestatore del servizio differente;
  
• Account Information: mette a disposizione i dati di pagamento attivi dell’utente per estenderlo a nuovi servizi oltre a quello principale;
  
• Funds Checking: servizio che prevede che il prestatore di soluzioni di pagamento sia un soggetto diverso rispetto alla banca dove risiedono i fondi, questo soggetto può verificare anche la disponibilità dei fondi.

L’obiettivo principale della Strong Customer Authentication (SCA) è quello di identificare e permettere l’autenticazione in modo unitario di ogni utente e individuare il tipo di operazione da svolgere. Il focus principale è la riduzione dei rischi di frode compiuti da soggetti terzi non autorizzati o il furto di identità. Più in generale il Multi Factor Authentication consente di tutelare l’accesso sicuro ad applicazioni e sistemi informativi.

L’introduzione della SCA consente di ricostruire, per una maggiore sicurezza, il customer journey di tutti gli utenti.

I passaggi in più che dovranno essere effettuati dall’utente sono maggiori rispetto a quelli usati in precedenza per pagamenti elettronici o per accedere a sistemi informativi, ogni volta che si accede sarà necessario:

• autenticazione con PIN o password: un codice numerico o meno che sia criptato e conosciuto solo dall’utente;
  
• identificazione in base allo strumento che viene utilizzato, solitamente un device come lo smartphone personale o il computer;
• autenticazione fisica: ci si riferisce ai tratti prettamente caratteristici di ogni individuo, può essere richiesta sia l’impronta digitale sia i lineamenti biometrici del volto.

A ogni accesso sarà richiesto di effettuare 2 o 3 di questi passaggi, generalmente vengono richiesti sia per accedere all’applicazione sia per confermare l’identità di chi ha eseguito il pagamento oppure una operazione. Vai qui per consultare i requisiti tecnici normativi. Accedi alla documentazione tecnica.

La sinergia tra biometria e sicurezza

La tecnologia biometrica rappresenta la soluzione più adatta per prevenire le azioni fraudolente e monitorare l’operatività. Il controllo biometrico consiste nella verifica di alcune delle caratteristiche comportamentali e fisiche dell’essere umano. Negli ultimi anni la tecnica dell’impronta digitale e del riconoscimento facciale sta prendendo sempre più piede per garantire dei metodi di accesso più sicuri e più semplici.

Un lettore di riconoscimento biometrico consente l’autenticazione dell’utente sulla base di caratteristiche biologiche e comportamentali, queste vengono confrontate negli algoritmi e inserite nel database del sistema, i più diffusi sono sicuramente l’impronta digitale e il riconoscimento facciale ma esistono anche il controllo della retina e del palmo della mano.

Le banche e i prestatori di servizi di pagamento in generale si stanno focalizzando molto sull’introduzione dei controlli di accesso biometrico per un’identificazione più sicura del cliente. Ma anche le aziende che vogliono garantire più sicurezza nella propria infrastruttura informativa e tutelare diritti e asset fondamentali.

I vantaggi che comporta la biometria sono molteplici, per l’utente stesso sarà molto più veloce e semplice effettuare i pagamenti ed è garantito un maggior livello di sicurezza, superando il rischio relativo a delle password e dei pin inefficienti e facilmente individuabili.

Questo tipo di soluzioni biometriche si basano sull’applicazione dell’intelligenza artificiale nell’ambito dell’autenticazione. Sono soluzioni che garantiscono un elevato livello di sicurezza, non trattandosi di codici o parole che possono essere copiati o rintracciati.

A questo proposito, e con precisi obiettivi, in Qltech nasce Biomatrix.

Biomatrix è un’applicazione che viene creata per risolvere le esigenze nate con l’applicazione del regolamento europeo PSD2 con la SCA.

Dato che, a seguito di questa riforma, si è ritenuto necessario l’utilizzo della Multi Factor Authentication, Biomatrix nasce con numerosi e diversi ambiti di utilizzo.

• Viene usata per controllare gli accessi intranet e sulle varie piattaforme Web.
• Acquisti e-commerce, con i controlli di sicurezza al momento dell’acquisto del conto utilizzato;
• Cybersecurity, per garantire una maggiore tutela durante il traffico su internet;
• Chiave di accesso e-learning e registro degli ingressi per degli eventi che avvengono in presenza;
• Accessi ECM;
• Privacy by design.

Come si utilizza Biomatrix?

Biomatrix può essere scaricata comodamente dagli store, è necessario effettuare l’accesso e associare soltanto il proprio dispositivo per potersi collegare in modo sicuro.

Biomatrix non trattiene e non gestisce i dati biometrici degli utenti, il privacy by design viene gestito con la creazione di Token temporanei per sbloccare l’accesso.