CitiDirect Mobile. Bezpieczeństwo - FAQ

Transkrypt

1 CitiDirect System bankowości elektronicznej dla firm CitiDirect Mobile Bezpieczeństwo - FAQ CitiService Pomoc Techniczna CitiDirect Tel , +48 (22) Poniedziałek-piątek Helpdesk.ebs@citi.com

2 CitiDirect Mobile - Bezpieczeństwo 2 Najczęściej zadawane pytania 1. Bezpieczeństwo urządzenia i aplikacji 1.1. Czy w telefonie komórkowym trzeba zainstalować jakiekolwiek oprogramowanie, żeby uruchomić 1.2. Czy CitiDirect Mobile zapisuje jakiekolwiek dane w pamięci urządzenia mobilnego lub w postaci plików cookie? 1.3. Czy sesja CitiDirect Mobile w przeglądarce Klienta automatycznie wygasa po pewnym czasie? Jeżeli tak, czy można ten czas zmienić? 1.4. Czy wygaśnięcie sesji jest zsynchronizowane z blokadą ekranu telefonu komórkowego? 1.5. Jeżeli telefon komórkowy zostanie np. skradziony, w jaki sposób CitiDirect Mobile zabezpieczy dostęp do informacji prywatnych? 1.6. Czy na bezpieczeństwo CitiDirect Mobile wpływają jakiekolwiek wirusy lub oprogramowanie szpiegujące atakujące telefony komórkowe? Nie. CitiDirect Mobile jest mobilną aplikacją internetową. Oznacza to, że jest uruchamiana w przeglądarce internetowej urządzenia. Aplikacja nie wymaga instalacji żadnego oprogramowania innych producentów takiego jak Java, ActiveX czy Flash, ani też instalacji oprogramowania przeznaczonego konkretnie dla danego telefonu. Nie. CitiDirect Mobile jest działającą po stronie serwera aplikacją internetową, która nie wymaga przechowywania żadnych danych w urządzeniu mobilnym ani w pamięci podręcznej przeglądarki. Jako token sesyjny wykorzystywany jest tylko zaciemniony plik cookie. Tak. Sesja CitiDirect Mobile wygasa po pięciu minutach jeśli Klient nie wykona żadnej czynności i nie można zmienić tego czasu. Nie. Czas wygaśnięcia nie jest zsynchronizowany z ustawieniami blokady ekranu telefonu. Ponieważ CitiDirect Mobile jest aplikacją internetową działającą w pełni po stronie serwera, nie pozostawia ona po sobie żadnych danych pozwalających zidentyfikować Klienta. Dzięki temu, nawet w opisanym skrajnym przypadku, informacje o Kliencie nie będą widoczne. Ponadto nawet jeżeli osoba niepowołana otworzy stronę CitiDirect Mobile, wieloaspektowy proces uwierzytelniania wykorzystujący kartę Safeword zapobiegnie wszelkim próbom dostępu do aplikacji w złych zamiarach. Ryzyko z tym związane jest stosunkowo niewielkie. Z uwagi na to, że CitiDirect Mobile jest opartym na modelu uproszczonego Klienta internetowym rozwiązaniem wykorzystującym przeglądarkę i chronionym przez wieloaspektowe uwierzytelnianie (tj. Safeword), aplikacja jest chroniona przed atakami z zewnątrz, również związanymi z wirusami lub oprogramowaniem szpiegowskim w telefonie komórkowym Klienta.

3 2. Bezpieczeństwo telefonu komórkowego W jaki sposób jest chroniony mój telefon komórkowy, gdy korzystam z 2.2. Jakie są minimalne wymagania CitiDirect Mobile dotyczące systemu operacyjnego, przeglądarki oraz obsługi HTML i JavaScriptu? 2.3. Czy użytkownik musi korzystać z urządzenia służbowego? Jeżeli nie, czy możliwe jest wykorzystanie dowolnego urządzenia osobistego? Bank podejmuje działania w celu zabezpieczenia aplikacji. Odpowiedzialność za ochronę urządzenia mobilnego przed atakującymi je wirusami spoczywa na Kliencie. Zalecamy podjęcie środków ostrożności polegających na instalacji odpowiednich zabezpieczeń (np. antywirusowych). Aplikacja wymaga, aby przeglądarka w telefonie obsługiwała co najmniej XHTML-MP 1.0, JavaScript 1.5 i CSS-MP 1.0 oraz przyjmowała pliki cookie. Są to standardowe wymagania mające na celu zapewnienie bezpiecznego korzystania z Internetu przez Klienta. Nie. CitiDirect Mobile jest rozwiązaniem działającym niezależnie od rodzaju urządzenia. W związku z tym z aplikacji można korzystać na dowolnych urządzeniach służbowych lub osobistych pod warunkiem, że spełniają one minimalne wymagania opisane w pkt Uwierzytelnienie i uprawnienia użytkownika 3.1 W jaki sposób użytkownik CitiDirect uwierzytelnia się w 3.2. Jak działa proces uwierzytelnienia? 3.3. Czy użytkownik musi nosić przy sobie osobną kartę SafeWord, aby uwierzytelnić się w 3.4. Czy można jednocześnie uwierzytelnić się w CitiDirect Mobile i CitiDirect? 3.5. Czy użytkownik otrzymuje te same uprawnienia jakie ma nadane w CitiDirect? Użytkownik CitiDirect musi posiadać ważną, wydaną przez Citi Handlowy kartę Safeword. Po uzyskaniu uprawnień do dostępu mobilnego, użytkownik uwierzytelnia się w CitiDirect Mobile w taki sam sposób jak w CitiDirect, z wykorzystaniem posiadanej karty SafeWord. CitiDirect Mobile to rozwiązanie z bezpiecznym, wieloaspektowym podejściem do uwierzytelnienia. Jako sposób uwierzytelniania, CitiDirect Mobile wykorzystuje możliwości jakie oferuje zastosowanie karty SafeWord i mechanizmu pytanie/odpowiedź. W ten sposób, oraz opierając się na stosowanym obecnie w CitiDirect mechanizmie nadawania uprawnień o wysokim poziomie bezpieczeństwa, Citi Handlowy zweryfikuje użytkownika. Te zabezpieczenia dają pewność, że osoba autoryzująca transakcję przy użyciu urządzenia mobilnego jest w pełni odpowiedzialna za swoje działania. Aplikacja stacjonarna CitiDirect wykorzystuje identyczny mechanizm uwierzytelniania. Tak. Bank także rozważa, pod ścisłym nadzorem specjalistów ds. bezpieczeństwa, możliwości potencjalnego uproszczenia procedury w przyszłości. Niemniej jednak, karta SafeWord jest bezpiecznym, niezależnym mechanizmem dostępu. Tak. Wyświetlane w takim przypadku dane powinny być spójne. Aktualny stan danych nie jest jednak udostępniany pozostałym sesjom. Tak. CitiDirect Mobile wykorzystuje istniejące uprawnienia posiadane w CitiDirect.

4 3.6. Jakie kategorie uprawnień mają zastosowanie wyłącznie do CitiDirect Mobile? 3.7. Czy CitiDirect Mobile informuje o nieudanych próbach logowania? 3.8. Czy CitiDirect Mobile pokazuje jedynie te rachunki lub transakcje, do przeglądania których użytkownik ma uprawnienia? Powiadomienia i SMS wykorzystywane przez CitiDirect Mobile wymagają nadania osobnych uprawnień. Na życzenie Klienta, Bank może uruchomić usługę powiadomień dla wskazanych przez Klienta użytkowników, mających nadany dostęp mobilny. Dodatkowe informacje na temat powiadomień znajdują się w podręczniku użytkownika. Tak. Po prawidłowym uwierzytelnieniu CitiDirect Mobile wyświetla na głównym ekranie liczbę nieudanych prób logowania. Tak. Wyświetlane rachunki i transakcje są bezpośrednio zależne od obecnych uprawnień przyznanych w CitiDirect Bezpieczeństwo sieciowe i serwerów mobilnych 4.1. Jakie szyfrowanie obsługuje 4.2. Czy użytkownik może skorzystać z dowolnego publicznego punktu dostępowego Wi-Fi lub dowolnej publicznej sieci 3G, aby uzyskać dostęp do Jeżeli tak, czy wymaga to innych rozwiązań w zakresie bezpieczeństwa? 4.3. Czy CitiDirect Mobile wykorzystuje jakąkolwiek publiczną technologię chmury? 4.4. Gdzie znajduje się serwer 4.5. W jaki sposób przebiega monitorowanie i audyt transakcji 4.6. Czy CitiDirect Mobile generuje osobne raporty na temat transakcji? CitiDirect Mobile wymaga SSL z 128-bitowym kluczem RSA - modelu szyfrowania obsługiwanego przez większość standardowych przeglądarek w telefonach komórkowych. Informacje o kompatybilności przeglądarki można znaleźć w instrukcji dostarczonej przez producenta telefonu. Tak. Użytkownik może korzystać z publicznych punktów dostępowych Wi-Fi lub dowolnej sieci 2G/3G/LTE, aby uzyskać dostęp do CitiDirect Mobile. Nie wymaga to dodatkowych rozwiązań w zakresie bezpieczeństwa. Korzystanie z CitiDirect Mobile nie różni się od łączenia się z bankiem przy użyciu laptopa. Odpowiedzialność za ochronę urządzenia mobilnego spoczywa na Kliencie. Inspektor ds. Bezpieczeństwa Informacji Citi zaleca wykorzystanie dowolnego oprogramowania ochronnego przeznaczonego dla telefonów komórkowych. Nie. CitiDirect Mobile nie wykorzystuje żadnej publicznej ani prywatnej technologii chmury do tymczasowego bądź stałego przechowywania danych Klientów. Serwer CitiDirect Mobile jest zlokalizowany w zgodnym z normami CIP centrum przetwarzania danych w Stanach Zjednoczonych. W tym samym miejscu znajduje się serwer CitiDirect. Ponieważ CitiDirect Mobile jest tylko kanałem dostępu do CitiDirect, wszystkie obowiązujące zasady monitorowania i audytu mają zastosowanie do transakcji i działań wykonanych w CitiDirect Mobile. Nie. Ponieważ CitiDirect Mobile jest tylko mobilnym kanałem dostępu do CitiDirect, wszystkie funkcje sprawozdawcze realizuje CitiDirect. Wszelkie autoryzacje dokonywane za pośrednictwem CitiDirect Mobile będą wyszczególnione w raporcie z transakcji CitiDirect jako Mobile-Authorize.

5 5. Zagadnienia regulacyjne Czy korzystanie z CitiDirect Mobile przez Klienta wymaga osobnych aprobat wewnętrznych/zewnętrznych? 5.2. Jakie przeglądy bezpieczeństwa i zgodności przeprowadzono w odniesieniu do aplikacji? 5.3. W jakich krajach zatwierdzono wykorzystanie Nie. Ponieważ CitiDirect Mobile jest tylko mobilnym kanałem dostępu do CitiDirect, wszystkie ustawienia bezpieczeństwa są przenoszone z CitiDirect, co oznacza, że nie są potrzebne osobne aprobaty. Zalecamy jednak, aby inspektorzy bezpieczeństwa ze strony Klienta przeprowadzili stosowny przegląd. Aplikacja CitiDirect Mobile z powodzeniem przeszła testy podatności na zewnętrzne zagrożenia. Przegląd z udziałem zespołów ds. prawnych i zgodności z przepisami na szczeblu regionalnym, krajowym oraz lokalnym przeprowadzono w każdym z 87 krajów, w których wdrożono rozwiązanie CitiDirect Mobile. Kraje, w których dokonano wdrożenia, to: Algieria, Argentyna, Australia, Austria, Wyspy Bahama, Bahrajn, Bangladesz, Barbados, Belgia, Brazylia, Bułgaria, Kamerun, Kanada, Wyspy Normandzkie, Chile, Chiny, Kolumbia, Kostaryka, Wybrzeże Kości Słoniowej, Czechy, Dania, Dominikana, Demokratyczna Republika Konga, Ekwador, Salwador, Finlandia, Francja, Gabon, Niemcy, Grecja, Gwatemala, Haiti, Honduras, Węgry, Indie, Indonezja, Irlandia, Izrael, Włochy, Jamajka, Jersey, Jordania, Kazachstan, Kenia, Kuwejt, Liban, Luksemburg, Malezja, Meksyk, Maroko, Holandia, Nowa Zelandia, Nigeria, Norwegia, Pakistan, Paragwaj, Peru, Filipiny, Polska, Portugalia, Portoryko, Katar, Rumunia, Rosja, Senegal, Singapur, Słowacja, RPA, Hiszpania, Sri Lanka, Szwecja, Szwajcaria, Tajwan, Tanzania, Tajlandia, Trynidad i Tobago, Tunezja, Turcja, Zjednoczone Emiraty Arabskie, Uganda, Ukraina, Wielka Brytania, Urugwaj, Stany Zjednoczone Ameryki, Wenezuela, Wietnam i Zambia Czy istnieje limit kwoty autoryzacji za pośrednictwem Nie. Nie ma limitu kwoty autoryzacji dotyczącego transakcji dokonywanych za pośrednictwem CitiDirect Mobile. Niniejszy materiał został wydany jedynie w celach informacyjnych i nie stanowi oferty w rozumieniu art. 66 Kodeksu Cywilnego. Bank Handlowy w Warszawie S.A. z siedzibą w Warszawie, ul. Senatorska 16, Warszawa, zarejestrowany w rejestrze przedsiębiorców Krajowego Rejestru Sądowego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod nr. KRS ; NIP ; wysokość kapitału zakładowego wynosi złotych, kapitał został w pełni opłacony. Znaki Citi oraz Citi Handlowy stanowią zarejestrowane znaki towarowe Citigroup Inc., używane na podstawie licencji. Spółce Citigroup Inc. oraz jej spółkom zależnym przysługują również prawa do niektórych innych znaków towarowych tu użytych.