Раньше законодатель считал, что рынок заставит все банки вести себя идеально по отношению к клиентам -и ошибся. У сильного всегда бессильный виноват. Сейчас законодатель радикально изменил  курс. Теперь в его глазах идеальным стал клиент.

Положения Федерального закона от 27 июня 2011 года № 161 «О национальной платежной системе» (161-ФЗ) создают реальные предпосылки для повышения доверия клиентов к ДБО: если деньги клиента со счета в банке исчезнут, то банк должен сначала деньги вернуть, а уже потом разбираться, куда они исчезли и кто в этом виноват. Это достаточно радикальное средство возвращения доверия клиентов к услугам банка. Теперь уже клиент действительно «всегда прав», а не «сам виноват», как было до этого практически всегда и везде.

Очевидно, что и этот подход не в полной мере верный. Клиенты бывают разные, примеры халатности при соблюдении правил обеспечения безопасности и криминальные посягательства со стороны клиентов есть, и их немало.

Для ухода от крайних позиций целесообразно правильно выставить цели и понять, не как защищать клиентов от банков и не как защищать банки от клиентов, а как сделать информационное взаимодействие клиента и банка безопасным, удобным и при этом недорогим. Заметим, что 161-ФЗ много сделал для блокирования рисков клиентов, и теперь самое время подумать о том, как уменьшить риски банков.

Суть информационного взаимодействия клиента и банка заключается в том, что клиент поручает (с использованием электронного платежного поручения) банку выполнить ту или иную операцию с его (клиента) деньгами, находящимися на его (клиента) счете. Это волеизъявление клиента, и оно должно быть оформлено соответствующим образом. При использовании услуги ДБО это означает, что поручение клиента должно быть подписано электронной подписью (ЭП). ЭП (как инструмент для обеспечения целостности и подтверждения авторства) может эффективно достигать своих заявленных целей при условии, что она (ЭП) вырабатывается и устанавливается в доверенной среде в доверенном сеансе связи (ДСС) клиента и банка, об этом так много говорилось в последнее время, что нет необходимости повторять аргументацию. Средство, с помощью которого ведется работа с ЭП, называется средством электронной подписи (СЭП).

СЭП для ДБО должно иметь определенные особенности. Главная особенность СЭП - оно должно быть ненастра-иваемым, работать «в одно касание», «one touch». Настройки безопасности - дело достаточно сложное и тонкое, и лучше его доверить профессионалам, например специалистам банка.

Конечно, в банке также обязательно должна быть обеспечена доверенная среда, но в банке есть специалисты, они могут и должны это сделать.

Заметим, что обоснованное требование использовать ненастраиваемое сертифицированное средство электронной подписи является единым для всех клиентов.

Для банка при выполнении поручения клиента важнейшим элементом является закрепленное клиентским договором положение о том, что банк выполняет поручения клиента. Клиента, а не хакера.

Для выполнения данного положения в распоряжении банка должны быть средства идентификации и аутентификации, позволяющие однозначно отделять хакерские поручения от волеизъявления клиентов.

Выбор средств идентификации и аутентификации для банка пока очень труден. Ноосфера заполнена недобросовестными рекламными материалами, позиционирующими простые токены как панацею от всех бед, и рассуждениями о том, как именно можно работать с квалифицированной ЭП в недоверенной среде. Конечно, банкам хочется в это верить, как иногда больному хочется верить в чудо. Но чудеса потому и чудеса, что они редкие исключения из правил. Можно надеяться на чудо, но не при создании системы обеспечения безопасности. При построении системы обеспечения безопасности целесообразно добиться доверенности сеанса связи.

Для всех без исключения банков это тоже единое требование, как и требование о доверенности и ненастраиваемо-сти СЭП для клиента.

Итак, клиентские требования одинаковы для всех клиентов, и банковские требования одинаковы для всех банков. Клиентам нужно предоставить ненастраиваемое СЭП, формирующее доверенную среду. Каждый банк должен создать свою собственную доверенную систему идентификации и аутентификации.

Рационально ли это?

Может, банкам, кредитным организациям, финансовым институтам, их объединениям, страховым компаниям объединить свои усилия и создать единого для всех Национального оператора идентификации (НОИ), который возьмет на себя предоставление доверенной услуги идентификации клиента для всех банков и ответственность за данное предоставление, тем самым снимая с банков несвойственные для них функции и блокируя риски?