Wydarzenia. Asseco Banking Forum 2019: Czy bank na pewno wie, że ja to ja?

Michał Wołowicz

Piąta edycja forum zgromadziła blisko 270 przedstawicieli sektora finansowego i branży IT. Prelegenci zastanawiali się nad relacją pomiędzy tożsamością osobistą a cyfrową i skuteczną weryfikacją tej drugiej. Adam Góral, prezes zarządu Asseco Poland, zwrócił uwagę, że w porównaniu do innych sektorów, instytucje finansowe – z racji swojej działalności – dysponują najlepszymi procedurami oraz technologią, aby skutecznie potwierdzać tożsamość obywateli. Dlatego administracja publiczna zaczęła korzystać ze wsparcia banków przy realizacji swoich zadań w tym zakresie. Zadał też pytania, jak daleko powinna sięgać współpraca państwa z bankami? Gdzie przebiegają granice odpowiedzialności pomiędzy obiema stronami? Które elementy procesów, systemów oraz infrastruktury bankowej są krytyczne dla bezpieczeństwa klienta banku?

Tożsamość osobista a tożsamość cyfrowa

Marian Giersz, adwokat w zespole IP/TMT/Data Protection w PwC Legal, we wstępie do dyskusji panelowej omówił różnice pomiędzy tożsamością osobistą i cyfrową, mówił też o tym, jak wygląda budowa naszej tożsamości cyfrowej. A tę nabywamy z chwilą, gdy zaczynamy korzystać z cyfrowych usług, np. z kont mail, serwisów społecznościowych, konta w portalach aukcyjnych itd. Jednak żadne z tych rozwiązań nie zapewnia pewności obrotu. Nie możemy na tej podstawie potwierdzić naszego kontrahenta np. na portalu aukcyjnym czy też w mediach społecznościowych.

Prelegent poruszył też sprawę obsługi tożsamości cyfrowej przez banki i wykorzystania jej przez państwo. Można zapytać, czy obywatele wyrazili na to zgodę oraz, czy same banki chcą świadczyć takie usługi bezpłatnie. W Austrii wprowadzono model scentralizowany i zamknięty. Prywatne podmioty mogą wydawać tylko nośniki tożsamości. Państwo zapewnia pełną infrastrukturę oraz ponosi ciężar inwestycji i utrzymania. W kraju tym 8,5 mln obywateli generuje tylko 650 tys. transakcji elektronicznych rocznie. Natomiast w Szwecji przyjęto model rynkowy, w którym prywatne podmioty mogą dostarczać weryfikację tożsamości, oczywiście po spełnieniu odpowiednich wymagań. Obecnie 9,5 mln obywateli generuje ponad 300 mln transakcji rocznie. W Polsce mamy zaczątki modelu szwedzkiego. Prywatne centra, jak np. Asseco czy też banki, dostarczają podpisy elektroniczne, co umożliwia założenie konta np. w ePUAP.

W debacie, którą prowadził Piotr Kraśko, dziennikarz telewizyjny i prezenter, uczestniczyli: Brunon Bartkiewicz, prezes zarządu ING Banku Śląskiego; Jacek Obłękowski, przewodniczący Rady Nadzorczej firmy Horum; Zbigniew Pomianek, wiceprezes zarządu Asseco Poland; Mirosław Skiba, prezes zarządu SGB-Banku oraz Marek Zagórski, minister cyfryzacji.

Min. Marek Zagórski stwierdził, iż model szwedzki mamy już w zasadzie wdrożony. Zbudowaliśmy ekosystem cyfrowej tożsamości, na który poza dowodem osobistym z warstwą elektroniczną składa się węzeł krajowy, który łączy portale organów administracji oraz pierwszy schemat identyfikacji elektronicznej wydawany przez banki. Tylko profil zaufany ma obecnie 4,2 mln użytkowników. Dołączenie do tego środków identyfikacji, wykorzystujących tożsamość i credentiale bankowe spowoduje, że będzie w nim przeprowadzanych dziesiątki milionów operacji dziennie i, co ważne, kilkanaście milionów użytkowników będzie miało środki identyfikacji.

Brunon Bartkiewicz podkreślił, że tożsamość elektroniczna i tak się stanie, ważne jest, by zrobić to w sposób skoordynowany i bezpieczny, a – jego zdaniem – każdy bank potrafi to zapewnić. Przy czym banki nie muszą być jedynymi dostawcami tożsamości. W opinii Zbigniewa Pomianka, banki w dostarczaniu tożsamości nie mają dużej konkurencji. Ich przewaga wynika z tego, jak są audytowane i jakim regulacjom podlegają. Jak stwierdził, pewność weryfikacji danych, które bank posiada, jest dużo większa niż w innych instytucjach. Są też pewne ryzyka i zagrożenia, takie jak nieznane zachowania klienta oraz te, które możemy przewidzieć, ale trudno jest coś z nimi zrobić. Banki osiągnęły bardzo wysoki poziom zabezpieczeń – zarówno pod względem technicznym, jak i proceduralnym, czyli pilnowania, żeby błąd pojedynczego człowieka nie prowadził do otwarcia dostępu w sposób niekontrolowany. Najtrudniej jest z rozwiązaniami znajdującymi się po stronie użytkownika. Problemem jest edukacja klienta i wyznaczenie, kto i kiedy odpowiada za jego zachowania. A także to, w którym miejscu jest ulokowana odpowiedzialność za jego zachowania.

W trakcie dyskusji Mirosław Skiba zwrócił uwagę, że nie da się wyeliminować wszystkich ryzyk, a koszt dostarczenia takiego rozwiązania byłby niezmiernie wysoki. Jego zdaniem, technologia i samouczące się algorytmy, które obserwując zachowania klientów, uprzedzają pewne zdarzenia, to dziś wymóg. Zgodził się też z koniecznością edukowania klientów banków. Jak wynika z badania preferencji ...