احراز هویت دیجیتال در بانک‌ها فرایندی است که به بانک کمک می‌کند هویت مشتریان را از طریق ابزارهای الکترونیکی بررسی و دسترسی آن‌ها به خدمات مالی را مدیریت کند. برای مثال، هنگام افتتاح حساب غیرحضوری، بانک ممکن است اطلاعات هویتی مشتری را استعلام کند، مالکیت شماره تلفن همراه و حساب بانکی را بررسی کند و در صورت نیاز از تطبیق چهره و تشخیص زنده بودن استفاده کند. این فرایند علاوه بر ساده‌تر کردن تجربه مشتری، در کاهش ریسک جعل هویت، کنترل تقلب و اجرای الزامات شناسایی مشتری نقش دارد.
در این مقاله، کاربرد احراز هویت در باز کردن حساب، فناوری‌های مورد استفاده در بانکداری دیجیتال، مزایای احراز هویت غیرحضوری برای بانک‌ها، محدودیت‌های فنی و امنیتی و نکات مهم انتخاب راهکار مناسب را بررسی می‌کنیم.
احراز هویت دیجیتال در بانک‌ها چیست؟
احراز هویت دیجیتال مجموعه‌ای از فرایندها و فناوری‌ها برای بررسی اطلاعات هویتی مشتری و تأیید ادعای هویت او در محیط الکترونیکی است. این فرایند می‌تواند با استفاده از داده‌های هویتی، مدارک شناسایی، اطلاعات بانکی و روش‌های بیومتریک انجام شود.
تفاوت شناسایی هویت، اعتبارسنجی هویت و احراز هویت چیست؟
در بانکداری، اصطلاحات مرتبط با هویت معانی متفاوتی دارند و جایگزین کردن آن‌ها با یکدیگر ممکن است به طراحی نادرست فرایند منجر شود.
- Identification یا شناسایی: مشخص کردن اینکه فرد مدعی کدام هویت است؛ برای مثال با وارد کردن کد ملی.
- Identity Verification یا راستی‌آزمایی هویت: بررسی شواهد و اطلاعات برای اطمینان از صحت هویت ادعاشده.
- Authentication یا احراز هویت هنگام ورود: بررسی اینکه کاربر در حال دسترسی به حساب، همان شخص یا دارنده اعتبارنامه مجاز است.
- KYC یا شناخت مشتری: مجموعه فرایندهای شناسایی و بررسی مشتری با توجه به الزامات قانونی، نوع خدمات و ریسک‌های مرتبط.
- eKYC یا شناخت الکترونیکی مشتری: اجرای بخش‌هایی از فرایند KYC با کمک ابزارها و زیرساخت‌های دیجیتال.
برای مثال، بررسی کد ملی مشتری از طریق یک مرجع معتبر، بخشی از راستی‌آزمایی اطلاعات هویتی است؛ اما به‌تنهایی ثابت نمی‌کند فردی که پشت تلفن همراه قرار دارد، صاحب همان هویت است. برای این اطمینان ممکن است بررسی‌های دیگری نیز لازم باشد.
اگر می‌خواهید مبانی این مفاهیم را دقیق‌تر بشناسید، مطالعه مطلب احراز هویت چیست و مقاله احراز هویت KYC در ایران می‌تواند به درک بهتر تفاوت این فرایندها کمک کند.
احراز هویت دیجیتال چه تفاوتی با بانکداری دیجیتال دارد؟
بانکداری دیجیتال به ارائه و مدیریت خدمات بانکی با استفاده از بسترهای دیجیتال اشاره دارد؛ مانند افتتاح حساب آنلاین، انتقال وجه، مدیریت سپرده و استفاده از اپلیکیشن بانکی. احراز هویت دیجیتال یکی از اجزای مهم این تجربه است که کمک می‌کند هویت مشتری در مراحل ثبت‌نام، ورود یا انجام برخی عملیات حساس بررسی شود.
بنابراین، بانکداری دیجیتال فقط به احراز هویت محدود نیست و احراز هویت نیز به‌تنهایی تمام نیازهای امنیتی بانک را برطرف نمی‌کند. مدیریت دسترسی، کنترل تقلب، امنیت تراکنش‌ها، پایش فعالیت‌های مشکوک و حفاظت از اطلاعات مشتریان باید در کنار آن قرار گیرند.
مقاله پیشنهادی: بانکداری دیجیتال چیست و چه انواعی دارد؟
چرا احراز هویت در بانکداری دیجیتال اهمیت دارد؟
با افزایش استفاده از خدمات غیرحضوری، بانک‌ها باید بتوانند میان سه هدف تعادل برقرار کنند: دسترسی آسان مشتری، رعایت الزامات شناسایی و کاهش ریسک فعالیت‌های غیرمجاز.
پیشگیری از جعل هویت و سوءاستفاده مالی
در صورت ضعف فرایند شناسایی مشتری، ممکن است افراد با اطلاعات سرقت‌شده یا مدارک دست‌کاری‌شده برای ایجاد حساب یا دریافت خدمات اقدام کنند. احراز هویت چندلایه می‌تواند احتمال موفقیت برخی از این تلاش‌ها را کاهش دهد؛ هرچند هیچ روش منفردی تمام انواع تقلب را شناسایی نمی‌کند.
پشتیبانی از الزامات شناخت مشتری و مبارزه با پول شویی
بانک‌ها برای ارائه خدمات مالی باید فرایندهای شناسایی مشتری و بررسی ریسک را متناسب با چارچوب‌های نظارتی مرتبط اجرا کنند. راهنمای گروه ویژه اقدام مالی (FATF) نیز استفاده از هویت دیجیتال را در فرایند بررسی مشتری، مشروط به ارزیابی اعتبار و قابلیت اطمینان سامانه و اتخاذ رویکرد مبتنی بر ریسک، بررسی می‌کند.
ایجاد تجربه کاربری بهتر
وقتی مشتری بتواند بخش‌های لازم از فرایند افتتاح حساب را به‌صورت آنلاین انجام دهد، نیاز به مراجعه حضوری کاهش می‌یابد. البته ساده‌سازی فرایند نباید باعث حذف بررسی‌های ضروری شود؛ هدف، اجرای کنترل‌های لازم با کمترین اصطکاک ممکن برای مشتری است.
کاربرد احراز هویت در باز کردن حساب بانکی
افتتاح حساب غیرحضوری یکی از مهم‌ترین کاربردهای احراز هویت دیجیتال است. در این فرایند، مشتری اطلاعات موردنیاز را از طریق وب‌سایت یا اپلیکیشن بانک ارائه می‌کند و سامانه، بررسی‌های لازم را در مراحل مختلف انجام می‌دهد.
مراحل افتتاح حساب با احراز هویت غیرحضوری
فرایند دقیق به نوع حساب، سیاست‌های بانک، زیرساخت‌های مورد استفاده و ضوابط نظارتی بستگی دارد؛ اما یک الگوی رایج می‌تواند مراحل زیر را در بر بگیرد.
۱. دریافت اطلاعات اولیه مشتری
مشتری اطلاعاتی مانند کد ملی، تاریخ تولد، شماره همراه و سایر داده‌های درخواست‌شده را وارد می‌کند.
۲. بررسی اطلاعات هویتی
اطلاعات ارائه‌شده، با استفاده از منابع و سرویس‌های معتبر و مجاز بررسی می‌شوند تا مغایرت‌های احتمالی شناسایی شوند.
۳. بررسی ارتباط شماره همراه با هویت مشتری
در صورت نیاز، مالکیت شماره همراه یا تطبیق آن با کد ملی بررسی می‌شود.
۴. بررسی مدرک و چهره
با توجه به روش احراز هویت، اطلاعات مدرک استخراج یا اعتبارسنجی می‌شود و ممکن است تصویر چهره، تصویر مرجع و زنده بودن ورودی بررسی شوند.
۵. بررسی اطلاعات بانکی در صورت نیاز
برای برخی خدمات، ارتباط کارت یا شماره شبا با کد ملی مشتری بررسی می‌شود. این بررسی با تأیید کامل هویت یکسان نیست.
۶. تصمیم نهایی و ایجاد حساب
نتایج بررسی‌ها و کنترل‌های لازم ارزیابی می‌شوند. در صورت نیاز، درخواست به بررسی تکمیلی ارجاع داده می‌شود و افتتاح حساب بر اساس ضوابط بانک انجام می‌گیرد.
این مراحل یک نمونه از معماری فرایند است، نه ترتیب اجباری یا فهرست الزام‌آور یکسان برای همه بانک‌ها. ممکن است برخی بررسی‌ها هم‌زمان انجام شوند یا در یک محصول بانکی اصلاً به آن‌ها نیاز نباشد.
آیا شماره تلفن همراه و حساب بانکی برای احراز هویت کافی‌اند؟
خیر، این اطلاعات می‌توانند بخشی از زنجیره بررسی هویت باشند، اما به‌تنهایی جایگزین همه مراحل احراز هویت مشتری نمی‌شوند. برای مثال، تطبیق شماره همراه با کد ملی نشان می‌دهد که میان دو داده مورد بررسی ارتباط مورد تأیید سرویس وجود دارد؛ اما لزوماً ثابت نمی‌کند شخصی که درخواست افتتاح حساب داده، صاحب واقعی هویت ادعاشده است.
همچنین، تطبیق شماره کارت یا شبا با کد ملی می‌تواند ارتباط اطلاعات بانکی با هویت مورد ادعا را بررسی کند، ولی اصالت مدرک، حضور واقعی مشتری یا تمام الزامات شناخت مشتری را به‌تنهایی اثبات نمی‌کند.
فناوری‌های مورد استفاده در احراز هویت بانک‌ها
بانک‌ها برای اجرای فرایندهای شناسایی مشتری ممکن است از ترکیبی از استعلام‌های هویتی، سرویس‌های بانکی، پردازش تصویر و روش‌های بیومتریک استفاده کنند. انتخاب این ابزارها باید با توجه به هدف هر بررسی و سطح ریسک صورت گیرد.
۱. وب سرویس شاهکار برای بررسی شماره تلفن همراه
وب سرویس شاهکار برای بررسی ارتباط میان شماره تلفن همراه و کد ملی به کار می‌رود. این استعلام می‌تواند در مراحل ثبت‌نام یا افتتاح حساب غیرحضوری به بانک کمک کند تا اطلاعات ارتباطی مشتری را بررسی کند.
برای مثال، اگر مشتری شماره‌ای را وارد کند که با کد ملی اعلام‌شده تطبیق ندارد، بانک می‌تواند درخواست را برای اصلاح اطلاعات یا بررسی بیشتر متوقف کند.
بااین‌حال، شاهکار به‌تنهایی سامانه کامل احراز هویت بانکی نیست و نتیجه این استعلام باید در چارچوب فرایند کلی بررسی مشتری تفسیر شود.
۲. وب سرویس ثبت احوال برای بررسی اطلاعات هویتی
وب سرویس ثبت احوال می‌تواند در بررسی اطلاعات هویتی و تطبیق داده‌های ارائه‌شده با اطلاعات مرجع، مطابق دسترسی و مجوزهای مربوط، نقش داشته باشد.
بانک ممکن است برای بررسی اطلاعاتی مانند کد ملی، تاریخ تولد و سایر مشخصات مجاز از سرویس‌های مرتبط استفاده کند. هدف، شناسایی مغایرت‌ها و کاهش اتکا به داده‌هایی است که صرفاً توسط متقاضی وارد شده‌اند.
نکته مهم این است که تطبیق اطلاعات با داده‌های ثبت احوال لزوماً به معنای تأیید اصالت تمام اجزای مدرک شناسایی یا احراز حضور صاحب هویت نیست؛ این موارد ممکن است به بررسی‌های جداگانه نیاز داشته باشند.
۳. وب سرویس احراز هویت تصویری
وب سرویس احراز هویت تصویری امکان اتصال فرایندهای مرتبط با تصویر و بررسی‌های هویتی را به سامانه بانک یا سایر نرم‌افزارهای سازمانی فراهم می‌کند.
در چنین راهکاری، بسته به قابلیت‌های سرویس و طراحی بانک، ممکن است بررسی چهره با تصویر مرجع و ارزیابی زنده بودن ورودی انجام شود. نتیجه این بررسی‌ها می‌تواند در تصمیم‌گیری درباره تأیید هویت مشتری مورد استفاده قرار گیرد.
این فرایند باید به‌گونه‌ای طراحی شود که در صورت افت کیفیت تصویر، وجود مغایرت یا مشکوک بودن نتیجه، مسیر مشخصی برای تکرار مجاز فرایند یا بررسی تکمیلی وجود داشته باشد.
۴. فناوری تشخیص چهره و تشخیص زنده بودن
دو فناوری مهم در احراز هویت تصویری، تطبیق چهره و تشخیص زنده بودن هستند؛ این دو وظایف متفاوتی دارند.
- فناوری تشخیص چهره Face Verification : برای بررسی میزان تطبیق چهره ارائه‌شده با تصویر مرجع منتسب به همان فرد استفاده می‌شود. آستانه تطبیق و شرایط تصویربرداری بر تصمیم نهایی اثر دارند.
- فناوری تشخیص زنده بودن Liveness Detection : برای ارزیابی نشانه‌های حضور واقعی فرد و کاهش خطر برخی حملات مبتنی بر تصویر، ویدئو یا رسانه‌های دست‌کاری‌شده به کار می‌رود.
برای درک عمیق‌تر این فناوری‌ها، با فناوری تشخیص چهره Face Verification و فناوری تشخیص زنده بودن Liveness Detection یوآیدی اطلاعات بیشتری کسب کنید.
نکته فنی: تطبیق موفق چهره به‌تنهایی به معنای زنده بودن ورودی نیست و تشخیص زنده بودن نیز به‌تنهایی ثابت نمی‌کند که شخص همان صاحب مدرک یا حساب بانکی است. در یک راهکار مناسب، وظیفه هر مؤلفه مشخص و خروجی آن در کنار سایر شواهد ارزیابی می‌شود.
۵. وب سرویس تطبیق شماره کارت با کد ملی
در برخی فرایندهای بانکی، لازم است ارتباط میان اطلاعات هویتی مشتری و اطلاعات کارت بانکی بررسی شود. وب سرویس تطبیق شماره کارت با کد ملی در چنین سناریوهایی می‌تواند برای بررسی تطابق داده‌های مربوط به کارت و هویت مورد ادعا به کار رود.
برای مثال، پلتفرمی که قصد دارد وجهی را به حساب مشتری واریز کند، ممکن است نیاز داشته باشد مطمئن شود اطلاعات کارت اعلام‌شده با اطلاعات هویتی مورد بررسی مطابقت دارد. البته این تطبیق با احراز هویت کامل صاحب کارت یا بررسی مجاز بودن هر تراکنش یکسان نیست.
۶. وب سرویس تطبیق شماره شبا با کد ملی
وب سرویس تطبیق شماره شبا با کد ملی می‌تواند برای بررسی ارتباط میان شناسه حساب بانکی و هویت اعلام‌شده به کار رود. استفاده از چنین سرویسی ممکن است در پرداخت‌ها، ثبت اطلاعات حساب مقصد یا برخی مراحل افتتاح حساب و ارائه خدمات مالی مفید باشد.
لازم است نتیجه این استعلام در چارچوب کاربرد تعریف‌شده سرویس تفسیر شود؛ برای مثال، تطبیق شماره شبا به‌تنهایی نشانه کافی برای تأیید صلاحیت دریافت یک خدمت مالی یا ارزیابی ریسک مشتری نیست.
جدول مقایسه فناوری‌ها و سرویس‌های احراز هویت بانکی
جدول زیر نشان می‌دهد هر ابزار کدام بخش از فرایند را پشتیبانی می‌کند و چه چیزی را به‌تنهایی اثبات نمی‌کند.
| فناوری یا سرویس | کاربرد اصلی | محدودیت |
| شاهکار | بررسی ارتباط شماره همراه و کد ملی | اثبات‌کننده کامل هویت یا حضور شخص نیست |
| ثبت احوال | بررسی اطلاعات هویتی در حدود سرویس مجاز | جایگزین تمام بررسی‌های اصالت مدرک نیست |
| OCR | استخراج متن از تصویر مدرک | به‌تنهایی اصالت مدرک را تأیید نمی‌کند |
| Face Verification | مقایسه چهره با تصویر مرجع | به‌تنهایی زنده بودن ورودی را اثبات نمی‌کند |
| Liveness Detection | ارزیابی نشانه‌های حضور واقعی و کاهش ریسک جعل تصویری | به‌تنهایی هویت ادعاشده را تأیید نمی‌کند |
| تطبیق کارت با کد ملی | بررسی ارتباط داده‌های کارت و هویت | جایگزین تمام کنترل‌های حساب و تراکنش نیست |
| تطبیق شبا با کد ملی | بررسی ارتباط اطلاعات حساب و هویت | اثبات‌کننده همه شرایط ارائه خدمت مالی نیست |
این فناوری‌ها مکمل یکدیگر هستند و انتخاب آن‌ها باید بر اساس نیاز واقعی، ضوابط بانک و ارزیابی ریسک انجام شود.
مزایای احراز هویت غیرحضوری برای بانک‌ها
احراز هویت غیرحضوری می‌تواند فرایند جذب مشتری را ساده‌تر کند و هزینه‌های عملیاتی مرتبط با مراحل حضوری را کاهش دهد؛ البته میزان منفعت به کیفیت پیاده‌سازی، حجم درخواست‌ها و نوع خدمات وابسته است.
کاهش اصطکاک در افتتاح حساب
در فرایند سنتی، مشتری ممکن است برای تکمیل اطلاعات یا بررسی مدارک به شعبه مراجعه کند. با دیجیتالی شدن مراحل قابل انجام از راه دور، امکان تکمیل بخش بیشتری از فرایند از طریق وب‌سایت یا اپلیکیشن فراهم می‌شود.
این مزیت زمانی بیشتر است که سامانه، راهنمای واضحی داشته باشد و در صورت بروز خطا، مشتری را بدون سردرگمی به مرحله اصلاح یا پشتیبانی هدایت کند.
کاهش هزینه‌های عملیاتی
اتوماسیون بررسی داده‌ها و استخراج اطلاعات مدارک می‌تواند نیاز به ورود دستی اطلاعات و برخی بررسی‌های تکراری را کاهش دهد. در نتیجه، کارکنان می‌توانند زمان بیشتری را به پرونده‌های پیچیده و مواردی اختصاص دهند که نیازمند قضاوت انسانی هستند.
البته راه‌اندازی و نگهداری سامانه‌های دیجیتال نیز هزینه دارد؛ از جمله هزینه یکپارچه‌سازی، امنیت، پشتیبانی، توسعه و پایش کیفیت مدل‌ها. بنابراین، کاهش هزینه باید در مقایسه با مجموع هزینه‌های چرخه عمر راهکار سنجیده شود.
تسریع پردازش درخواست‌ها
استفاده از استعلام‌های خودکار، پردازش تصویر و تبادل داده از طریق رابط‌های برنامه‌نویسی (API) می‌تواند زمان اجرای برخی مراحل را کاهش دهد. بااین‌حال، مدت نهایی افتتاح حساب به در دسترس بودن سرویس‌های وابسته، کامل بودن اطلاعات، نوع بررسی‌های موردنیاز و سیاست‌های بانک بستگی دارد.
بهبود تجربه مشتری و دسترسی‌پذیری
مشتری می‌تواند بسیاری از مراحل را بدون مراجعه به شعبه و از طریق دستگاه شخصی انجام دهد. این موضوع برای افرادی که به شعبه دسترسی آسان ندارند یا ترجیح می‌دهند خدمات بانکی را از راه دور دریافت کنند، مفید است.
برای تحقق این مزیت باید به دسترس‌پذیری رابط کاربری، پشتیبانی از دستگاه‌های متنوع و امکان پیگیری درخواست‌های ناموفق نیز توجه شود.
تقویت قابلیت پایش و کنترل فرایند
فرایندهای دیجیتال امکان ثبت رویدادها، بررسی وضعیت مراحل، تحلیل نرخ خطا و شناسایی نقاط پرتکرار شکست را فراهم می‌کنند. این اطلاعات می‌توانند به بهبود فرایند شناسایی مشتری و اصلاح مشکلات عملیاتی کمک کنند؛ به شرط آنکه ثبت رویدادها متناسب با الزامات امنیتی و حریم خصوصی انجام شود.
تفاوت احراز هویت حضوری و غیرحضوری در بانک‌ها
هر دو روش با هدف بررسی هویت مشتری به کار می‌روند، اما نحوه جمع‌آوری شواهد، نوع کنترل‌ها و تجربه مشتری در آن‌ها متفاوت است.
| معیار | احراز هویت حضوری | احراز هویت غیرحضوری |
| محل انجام | معمولاً در شعبه یا مرکز مجاز | از طریق وب‌سایت، اپلیکیشن یا بستر دیجیتال |
| بررسی هویت | مشاهده مدارک و بررسی توسط کارکنان همراه با استعلام‌های لازم | ترکیبی از داده‌های هویتی، استعلام‌ها، بررسی مدرک |
| تجربه مشتری | ممکن است به مراجعه و انتظار نیاز داشته باشد | امکان انجام مراحل از راه دور |
| ریسک‌های خاص | خطای انسانی، بررسی ناکافی یا جعل مدرک | جعل دیجیتال، حملات تصویری، سرقت اطلاعات و اختلال فنی |
| نیاز عملیاتی | شعبه، کارکنان و فرایندهای حضوری | زیرساخت دیجیتال، یکپارچه‌سازی، پشتیبانی و پایش |
| رسیدگی به موارد خاص | امکان بررسی مستقیم توسط کارکنان | نیازمند مسیر ارجاع، بررسی تکمیلی یا جایگزین حضوری |
احراز هویت غیرحضوری به‌طور مطلق جایگزین همه فرایندهای حضوری نیست. بانک باید بر اساس شرایط خدمت، ریسک و الزامات مربوط تعیین کند که کدام مراحل قابل انجام از راه دور هستند و در چه مواردی بررسی بیشتر لازم است.
چالش‌ها و محدودیت‌های احراز هویت دیجیتال در بانکداری
دیجیتالی شدن فرایندها فرصت‌های مهمی ایجاد می‌کند، اما هم‌زمان مجموعه‌ای از چالش‌های فنی، عملیاتی و امنیتی را نیز به همراه دارد.
جعل مدارک و حملات مبتنی بر تصویر
مهاجمان ممکن است تلاش کنند از مدارک دست‌کاری‌شده، تصاویر متعلق به دیگران یا رسانه‌های مصنوعی برای فریب سامانه استفاده کنند. صرف استخراج متن مدرک یا شباهت دو تصویر برای رد یا تأیید قطعی چنین درخواست‌هایی کافی نیست.
ترکیب بررسی اصالت مدرک، تطبیق چهره، تشخیص زنده بودن و استعلام اطلاعات معتبر می‌تواند دفاع چندلایه ایجاد کند. بااین‌حال، اثربخشی این کنترل‌ها باید متناسب با تهدیدهای واقعی و روش‌های اجرایی سامانه ارزیابی شود. راهنمای احراز هویت دیجیتال NIST نیز بر بررسی شواهد هویتی، مدیریت اعتبارنامه‌ها و توجه به امنیت و حریم خصوصی تأکید دارد.
کیفیت پایین تصویر و خطاهای بیومتریک
نور نامناسب، تاری تصویر، زاویه دوربین، تغییرات ظاهری و تفاوت شرایط تصویربرداری می‌توانند بر نتیجه برخی مدل‌های بیومتریک اثر بگذارند. اگر سامانه بیش از حد سخت‌گیرانه باشد، ممکن است مشتری معتبر را رد کند؛ اگر آستانه آن بیش از حد آسان‌گیرانه باشد، خطر پذیرش فرد نامعتبر افزایش می‌یابد.
به همین دلیل، بانک باید معیارهای عملکرد را برای شرایط واقعی استفاده بسنجد و تنها به یک عدد کلی از دقت مدل اتکا نکند. نرخ پذیرش اشتباه، نرخ رد اشتباه، عملکرد در گروه‌های مختلف و نتایج آزمون‌های امنیتی از جمله موارد قابل بررسی‌اند.
اختلال سرویس‌های استعلامی و یکپارچه‌سازی
فرایند افتتاح حساب غیرحضوری ممکن است به چند سرویس وابسته باشد. اگر یکی از سرویس‌ها در دسترس نباشد یا زمان پاسخ‌گویی آن افزایش پیدا کند، کل فرایند ممکن است با تأخیر یا شکست مواجه شود.
راهکارهای عملی برای مدیریت این وضعیت عبارت‌اند از:
- تعریف زمان انتظار و سیاست مشخص برای درخواست‌های ناموفق؛
- جلوگیری از ارسال درخواست‌های تکراری و کنترل‌شده‌نبودن فراخوانی API؛
- ثبت خطاها و ارائه پیام قابل فهم به مشتری؛
- طراحی مسیر بازیابی یا بررسی تکمیلی متناسب با اهمیت مرحله؛
- پایش دسترس‌پذیری سرویس‌های وابسته و هماهنگی با ارائه‌دهندگان آن‌ها.
دشواری ارزیابی مدل‌های پیچیده
خروجی برخی مدل‌های هوش مصنوعی به‌سادگی قابل توضیح نیست. در فعالیت بانکی، این موضوع می‌تواند بررسی خطاها، تحلیل علت رد درخواست و رسیدگی به اعتراض مشتری را دشوار کند.
برای مدیریت این چالش، بانک باید معیارهای تصمیم‌گیری، نسخه مدل، نتیجه بررسی‌ها و مسیر ارجاع موارد حساس به نیروی متخصص را به شکل قابل ممیزی طراحی کند.
الزامات امنیت و حریم خصوصی در احراز هویت بانکی
در فرایندهای بانکی، داده‌هایی مانند اطلاعات هویتی، تصاویر چهره، اطلاعات حساب و رویدادهای ورود ممکن است حساس باشند. نحوه جمع‌آوری، پردازش، انتقال و نگهداری این داده‌ها باید از ابتدا در طراحی راهکار لحاظ شود.
حفاظت از اطلاعات هویتی و بیومتریک
بانک و ارائه‌دهندگان فناوری باید مشخص کنند چه داده‌هایی برای انجام فرایند ضروری‌اند، چه کسانی به آن‌ها دسترسی دارند و چه مدت باید نگهداری شوند.
اقدامات مهم عبارت‌اند از:
- رمزنگاری ارتباطات و حفاظت از داده‌های ذخیره‌شده؛
- اعمال کنترل دسترسی بر اساس نقش و مسئولیت؛
- محدود کردن جمع‌آوری داده به موارد موردنیاز؛
- تعریف دوره نگهداری و فرایند حذف داده‌ها؛
- ثبت رویدادهای دسترسی و بررسی فعالیت‌های غیرعادی؛
- ارزیابی امنیت APIها، زیرساخت پردازش و ارتباط با ارائه‌دهندگان بیرونی.
ویژگی‌های بیومتریک با رمز عبور تفاوت دارند؛ اگر رمز عبور افشا شود می‌توان آن را تغییر داد، اما تغییر ویژگی طبیعی چهره یا اثر انگشت به همان سادگی نیست. راهنمای NIST نیز در الزامات فنی خود بر حفاظت از اطلاعات بیومتریک و توجه به خطرهای حریم خصوصی تأکید می‌کند. این راهنما یک مرجع فنی بین‌المللی است و به‌خودی‌خود جایگزین مقررات لازم‌الاجرای ایران نیست.
مقابله با سرقت هویت و دسترسی غیرمجاز
احراز هویت مشتری در زمان افتتاح حساب فقط یکی از لایه‌های امنیت است. پس از ایجاد حساب نیز بانک به کنترل‌های مناسب ورود، مدیریت نشست، تأیید عملیات حساس، پایش تراکنش‌ها و رسیدگی به فعالیت‌های مشکوک نیاز دارد.
برای مثال، حتی اگر مشتری در زمان افتتاح حساب به‌درستی احراز هویت شده باشد، افشای رمز ورود یا تصاحب تلفن همراه او می‌تواند خطر دسترسی غیرمجاز ایجاد کند. بنابراین، کنترل هویت اولیه و احراز هویت در زمان دسترسی باید به‌صورت دو وظیفه مرتبط اما متمایز طراحی شوند.
چارچوب‌های نظارتی و الزامات اجرای بانکداری غیرحضوری در ایران
احراز هویت دیجیتال بانکی باید در چارچوب مقررات ناظر بر مؤسسات اعتباری، شناسایی مشتریان و ارائه خدمات پایه اجرا شود. جزئیات الزامات ممکن است با توجه به نوع خدمت، ساختار بانک و ضوابط جاری متفاوت باشد.
نقش بانک مرکزی در ارائه خدمات بانکی دیجیتال
در ضوابط ناظر بر ایجاد، فعالیت و نظارت بر «واحد دیجیتال ارائه خدمات بانکی» که اصلاحات آن در جلسه ۱۷ دی ۱۴۰۴ کمیسیون مقررات و نظارت بانک مرکزی به تصویب رسیده است، فعالیت این واحدها در چارچوب مجوز بانک مرکزی تعریف شده و نحوه شناسایی و احراز هویت مشتریان نیز تابع دستورالعمل‌های مربوط به ارائه غیرحضوری خدمات پایه و اصلاحات آن‌هاست. این ضوابط همچنین مسئولیت امنیت، سلامت و پشتیبانی خدمات ارائه‌شده را بر عهده مؤسسه اعتباری قرار می‌دهند.
بنابراین، استفاده از ابزارهایی مانند OCR، سرویس استعلام هویتی یا تشخیص چهره به‌تنهایی به معنی رعایت تمام الزامات افتتاح حساب نیست. بانک باید فرایند کلی، نوع خدمات قابل ارائه، کنترل‌های امنیتی و شیوه مدیریت درخواست‌های خاص را با ضوابط لازم‌الاجرا هماهنگ کند.
ارتباط KYC با مبارزه با پول شویی
KYC به بانک کمک می‌کند مشتری را شناسایی و متناسب با سطح ریسک، بررسی‌های لازم را اجرا کند. بسته به نوع مشتری و خدمت، این بررسی‌ها ممکن است به اطلاعات پایه هویتی محدود نباشند و ارزیابی‌های تکمیلی درباره ماهیت رابطه تجاری، ریسک مشتری یا فعالیت‌های مرتبط را نیز در بر بگیرند.
در رویکرد مبتنی بر ریسک، همه مشتریان لزوماً به یک سطح بررسی یکسان نیاز ندارند؛ میزان بررسی باید با ماهیت خدمت، ریسک‌های شناسایی‌شده و الزامات قانونی مرتبط تناسب داشته باشد. این اصل در راهنمای FATF درباره استفاده از هویت دیجیتال برای بررسی مشتری نیز مطرح شده است.
برای مطالعه بیشتر درباره کاربردهای این فرایند در بازار ایران، به مقاله احراز هویت KYC در ایران مراجعه کنید.
چگونه راهکار مناسب احراز هویت دیجیتال را برای بانک انتخاب کنیم؟
انتخاب راهکار مناسب باید بر اساس نیاز کسب‌وکار، سطح ریسک، الزامات قانونی و کیفیت فنی انجام شود؛ نه صرفاً تعداد قابلیت‌ها یا سرعت اعلام‌شده یک سرویس.
معیارهای فنی و عملیاتی انتخاب راهکار
پیش از انتخاب یک راهکار، بهتر است بانک یا مؤسسه مالی موارد زیر را ارزیابی کند:
- پوشش نیازهای واقعی: مشخص کنید به کدام قابلیت‌ها نیاز دارید؛ مانند استعلام هویتی، تطبیق اطلاعات بانکی، OCR، تطبیق چهره یا تشخیص زنده بودن.
- کیفیت و قابلیت ارزیابی: روش سنجش عملکرد، نرخ خطا، شرایط آزمون و نحوه رسیدگی به نتایج مبهم باید روشن باشد.
- امنیت و حریم خصوصی: نحوه انتقال و نگهداری داده‌ها، کنترل دسترسی، مدیریت رخداد و شرایط حذف اطلاعات را بررسی کنید.
- قابلیت یکپارچه‌سازی: سرویس باید از نظر API، مدیریت خطا، ثبت رویداد و اتصال به سامانه‌های موجود با معماری بانک سازگار باشد.
- پایداری عملیاتی: زمان پاسخ‌گویی، دسترس‌پذیری، محدودیت درخواست‌ها، شیوه پشتیبانی و مسیر بازیابی هنگام اختلال باید ارزیابی شوند.
- قابلیت ممیزی و پشتیبانی: بانک باید بتواند نتایج، خطاها و تصمیم‌های حساس را بررسی کند و در صورت لزوم فرایند را به کارشناس ارجاع دهد.
چه زمانی استفاده از وب سرویس احراز هویت منطقی است؟
اگر بانک یا فین‌تک بخواهد بررسی‌های هویتی را در فرایند فعلی خود ادغام کند، استفاده از API می‌تواند امکان ارتباط میان سامانه مشتریان، سرویس‌های استعلامی و ماژول‌های احراز هویت را فراهم کند. در مقابل، توسعه یک راهکار مستقل ممکن است به سرمایه‌گذاری بیشتری در توسعه، نگهداری، آزمون امنیتی و به‌روزرسانی نیاز داشته باشد.
برای بررسی نمونه‌ای از راهکارهای این حوزه می‌توانید خدمات احراز هویت دیجیتال یوآیدی را مشاهده کنید. انتخاب نهایی باید با ارزیابی مستقل قابلیت‌ها، مستندات فنی، الزامات نظارتی و تناسب راهکار با نیازهای بانک انجام شود.
جمع‌بندی؛ آینده احراز هویت دیجیتال در بانک‌ها
احراز هویت دیجیتال در بانک‌ها یکی از زیرساخت‌های مهم افتتاح حساب غیرحضوری و توسعه خدمات مالی آنلاین است. ترکیب استعلام اطلاعات هویتی، بررسی شماره همراه، تطبیق اطلاعات بانکی، OCR و فناوری‌های بیومتریک می‌تواند به کاهش اصطکاک فرایندها و مدیریت بهتر ریسک کمک کند؛ اما هیچ‌یک از این ابزارها به‌تنهایی جایگزین تمام مراحل شناسایی مشتری نمی‌شود.
بانک‌ها باید با توجه به نوع خدمت، ضوابط نظارتی، امنیت داده‌ها و تجربه مشتری، راهکار مناسبی انتخاب کنند و عملکرد آن را به‌طور مستمر ارزیابی کنند. به نظر شما مهم‌ترین چالش بانک‌ها در توسعه احراز هویت غیرحضوری چیست: امنیت، هزینه یکپارچه‌سازی یا تجربه کاربری؟ دیدگاه خود را در بخش نظرات بنویسید.
سوالات متداول درباره احراز هویت دیجیتال در بانک‌ها
برای افتتاح حساب، بانک باید الزامات مربوط به شناسایی و احراز هویت مشتری را رعایت کند. امکان انجام این مراحل به‌صورت دیجیتال، به نوع خدمت و ضوابط و امکانات مربوط بستگی دارد.
KYC مجموعه فرایندهای شناخت و بررسی مشتری است؛ احراز هویت دیجیتال یکی از روش‌هایی است که می‌تواند برای اجرای بخش‌هایی از این فرایند استفاده شود. KYC ممکن است علاوه بر تأیید هویت، بررسی‌های تکمیلی مبتنی بر ریسک را نیز شامل شود.
خیر. این سرویس‌ها ارتباط میان اطلاعات بانکی و هویت مورد ادعا را بررسی می‌کنند، اما به‌تنهایی اصالت کامل هویت، حضور واقعی مشتری یا رعایت تمام الزامات شناسایی را اثبات نمی‌کنند.
کاهش نیاز به مراجعه حضوری، تسهیل افتتاح حساب، خودکارسازی برخی بررسی‌ها، بهبود تجربه مشتری و امکان پایش بهتر فرایند از مهم‌ترین مزایای بالقوه آن هستند. میزان تحقق این مزایا به نحوه پیاده‌سازی و هزینه‌های عملیاتی راهکار بستگی دارد.
خیر. تطبیق چهره و تشخیص زنده بودن می‌توانند خطر برخی جعل‌های تصویری را کاهش دهند، اما به‌تنهایی برای مقابله با تمام حملات کافی نیستند. استفاده از استعلام‌های معتبر، کنترل‌های امنیتی مکمل و بررسی موارد مشکوک نیز اهمیت دارد.
