DSP2 и силно удостоверяване (SCA): ръководството на конформния електронен подпис

Што е силната аутентификация на клиентот (SCA) според DSP2?

Статията 97 од директивата (ЕС) 2015/2366 (DSP2) имплементира силната аутентификация на клиентот. Техничките детали за неговата реализација се определени со регулаторни технички стандарди (Regulatory Technical Standards, RTS). СКА базира се на поне два независни елементи од различни категории.

За превземане от теория към практика, откройте решението за електронен подпис Certyneo и нейната предложена услуга за вашата индустрия (Решение на Certyneo за банковото дело и застраховане) — съответни eIDAS, без инсталиране.

• Знание: еден елемент кој знае само клиентот (парола, код)
• Положение: елемент, който само клиентът дейностно контролира (телефон получаващ OTP SMS)
• Инкременталност: елемент, който клиентът има (биометрия) — опционален ако се соблюдат останалите два
• Динамичен връзък: за платеж, кодът трябва да бъде свързан с сумата и получаващия (ст. 5 RTS UE 2018/389)

Кой от банковите дейности подлежи на силна аутентификация?

Как изглежда правилно подписано преминаване според SCA?

1. 1

   Идентифициране на клиента (знание)

   Клиентът достъпва обвълнението чрез сигурен връзък и се аутентифицира по първи фактор (електронна поща + парола, или идентификатор Certyneo). Това е елементът на знание.

2. 2

   Проверка на полжността (OTP)

   Един код за единократно използване (OTP) е изпратен по SMS на телефонът предварително проверен от клиента. Въвеждането на кода доказава полжността — втори фактор, независим.

3. 3

   Подпишете с времево клеймо RFC 3161

   Клиентът поставя своя разширен подпис (AES). Certyneo генерира уникален сертификат за подпис и времево клеймо RFC 3161, което е в съответствие с чл. 26 на регламент eIDAS.

4. 4

   Създайте линията за аудит SCA

   PDF доказателството документира двата фактора, времевото клеймо RFC 3161, хеша SHA-256 и IP адреса — може да бъде представено на ACPR, за да се демонстрира съответствието със SCA на процеса.

Често задавани въпроси — DSP2 & силаща аутентификация

Разширеният подпис (AES) достатъчен ли е за задоволяване на SCA от DSP2?

Да, когато комбинира два независими фактора. Разширеният подпис на Certyneo покрива познанието (парола / имейл за подпис) и притежанието (OTP SMS на верифициран телефон) : два елемента от различни категории, в съответствие с член 97 на DSP2 и с Делегиран регламент (ЕС) 2018/389. Биометрията (присъщност) не е необходима, докато тези два фактора са събрани.

Каква е разликата между силна удостоверяване (SCA) и електронен подпис?

SCA удостоверява достъпа и намерението на клиента в момента на чувствителна операция ; електронният подпис запечатва документ с трайна доказателствена стойност. Certyneo комбинира двете : траекторията на силното удостоверяване директно захранва одитния след на подписа, така че доказателството за удостоверяване и доказателството за съгласие образуват едно цяло, което може да се противопостави.

Какво е динамичният връзка, изискван за плащания?

Член 5 на Делегирания регламент (ЕС) 2018/389 налага за операция по плащане кодът на удостоверяване да бъде специфично свързан със сумата и получателя. Всяка модификация на тези данни обезсилва кода. За подпис на мандат или поръчка интегритетът, гарантиран от SHA-256 хеша на документа, изпълнява еквивалентна функция на неизменност.

Съществуват ли изключения за силаща потвърждение?

Да. Регламентно решение (UE) 2018/389 предвижда освобождавания (платежи с малка стойност, повторни операции, доверени получатели, анализ рисков на транзакция). Те се отнасят за изпълнение на платежи, не за подписване на договорен документ: подписването на договор или мандат все още е поддържано от доказателни изискванията на статия 1367 на Гражданския кодекс.

Дали аудитната следи е противопоставима на АКРП при контрол?

Да. Записът на дейностите на Certyneo документира двата фактора на удостоверяване, времевото клеймо RFC 3161, интегритета на документа и самоличността на подписващия. Експортиран като сертифициран PDF, той позволява демонстриране на Органа по пруденциален контрол и разрешение (ACPR), че процесът отговаря на изискванията на SCA на DSP2.

Свързани ръководства и решения

Подписване на документ за KYC / онлайн регистрация

• Банкова и застрахователна ръководство за подписване
• Ръководство KYC & LCB-FT дематериализирано
• Банково и застрахователно решение
• Ръководство eIDAS — SES, AES, QES
• Електронна проверка на идентитет