DSP2 і сильна аутентифікація (SCA): керівництво за відповідним електронним підписом

Що таке сильна автентифікація клієнта (SCA) за DSP2?

Стаття 97 Директиви (ЄС) 2015/2366 (DSP2) вимагає сильної автентифікації клієнта. Технічні умови цього вимагають Регулюючий технічний стандарт (RTS) (Делегований регламент (ЄС) 2018/389).

Щоб перейти від теорії до практики, ознайомтеся із розв'язком електронного підпису Certyneo та його пропозицією для вашого сектору (Certyneo рішення для банківської та страхової) — відповідні eIDAS, без встановлення.

• Знання: елемент, який знає тільки клієнт (пароль, код)
• Отримання: елемент, який є лише у клієнта (телефон, який отримує SMS-ОТП)
• Інергенція: один елемент, який клієнт є (біометрія) опціональний, якщо інші два об'єднані
• Динамічна зв'язок: для платежу код повинен бути пов'язаний з сумою і бенефіціаром (ст. 5 СТС ЄС 2018/389)

Які банківські документи підпадають під сильне аутентифікацію?

Як виглядає підписний шлях, що відповідає SCA?

1. 1

   Ідентифікація клієнта (знання)

   Клієнт отримує доступ до конверту через безпечне посилання і автентифікується першим фактором (електронна пошта + пароль або ідентифікатор Certyneo).

2. 2

   Перевірка володіння (OTP)

   Код для одноразового використання (OTP) надсилається SMS на попередньо перевіреній телефон клієнта.

3. 3

   Підписати з позначкою часу RFC 3161

   Клієнт накладає свій розширений підпис (AES). Certyneo генерує унікальний сертифікат підпису й позначку часу RFC 3161 відповідно до статті 26 регламенту eIDAS.

4. 4

   Виробництво SCA Trail

   PDF доказу документує обидва фактори, позначку часу RFC 3161, хеш SHA-256 та IP — спростовується перед ACPR для демонстрації відповідності маршруту SCA.

Часто задані питання DSP2 & сильна аутентифікація

Чи достатньо розширеного підпису (AES) для задоволення SCA DSP2?

Так, якщо вона поєднує два незалежних фактори. Certyneo Advanced Signature охоплює знання (пароль / електронний пошту підпису) і володіння (СМС OTP на перевіреному телефоні): два елементи різних категорій, відповідно до статті 97 ДСП2 та Делегованого Регламенту (ЄС) 2018/389.

Яка різниця між сильною аутентифікацією (SCA) та електронним підписом?

Certyneo поєднує обидва: міцний шлях аутентифікації безпосередньо поєднує аудитний шлях підписки, так що доказ автентифікації і доказ згоди є протилежним цілом.

Який динамічний зв'язок потрібен для платежів?

Стаття 5 Делегованого Регламенту (ЄС) 2018/389 вимагає, щоб для платіжної операції аутентифікаційний код був спеціально пов'язаний з сумою і одержувачем. Будь-яка зміна цих даних скасовує код. Для підписання ордера або наказу, цілісність, гарантована хешом SHA-256 документа, виконує еквівалентну функцію незмінності.

Чи є винятки з сильної аутентифікації?

Так. Делегований Регламент (ЄС) 2018/389 передбачає звільнення (маленькі платежі, повторювані операції, надійні бенефіціари, аналіз ризику транзакції). Вони стосуються виконання платежів, а не підписання контрактного акту: підписання угоди про рахунок або мандата залишається підданим вимогам доказу статті 1367 Цивільного кодексу.

Чи може аудит траси протистояти ACPR у разі перевірки?

Так. Журнал аудиту Certyneo документує обидва фактори аутентифікації, позначку часу RFC 3161, цілісність документа й особистість підписувача. Експортується як сертифікований PDF, дозволяє продемонструвати органу контролю та розв'язання (ACPR), що маршрут відповідає вимогам SCA DSP2.

Довідки та відповідні рішення

Розгляньте відповідні ресурси нашого кокона електронної підпису.

• Посібник підписання банків і страхових
• Дематеріальний KYC & LCB-FT
• Банківське і страхове рішення
• Посібник eIDAS — SES, AES, QES
• Онлайн перевірка особистості