მომხმარებლის ძლიერი ავთენტიფიკაციის (SCA) შესაბამისობის აუდიტი
საქართველოს ეროვნული ბანკის „მომხმარებლის ძლიერი ავთენტიფიკაციის წესით“ განსაზღვრული უსაფრთხოების ზომების დამოუკიდებელი აუდიტი — ავთენტიფიკაციის მექანიზმების, საგადახდო ოპერაციების მონიტორინგის, გამონაკლისების მართვისა და თაღლითობის პრევენციის კონტროლების შეფასებით.
მიზნობრივი ორგანიზაციები
ვისთვის არის განკუთვნილი აუდიტი?
წესის მოქმედების სფეროს პირველი მუხლი განსაზღვრავს. მოქმედ კონტროლებსა და აუდიტის ვალდებულებებს თითოეული პროვაიდერის საქმიანობის, არხებისა და გამონაკლისების მიხედვით ვადგენთ.
კომერციული ბანკები
ინტერნეტ და მობილბანკი, საბარათე და ანგარიშებთან წვდომის არხები.
მიკრობანკები
საქართველოს ეროვნული ბანკის მიერ ლიცენზირებული მიკრობანკები.
რეგისტრირებული საგადახდო მომსახურების პროვაიდერები
საქართველოს ეროვნულ ბანკთან რეგისტრირებული პროვაიდერები.
მიკროსაფინანსო ორგანიზაციები
პირველი მუხლით განსაზღვრულ საგადახდო მომსახურების პროვაიდერთა წრეში შემავალი ორგანიზაციები.
ზუსტი ფარგლები დამოკიდებულია პროვაიდერის რეგულირებულ საქმიანობაზე, საგადახდო არხებზე, მოქმედ დებულებებსა და გამონაკლისებზე. წესის მოქმედებას სამუშაოს დაწყებამდე ვადგენთ.
აუდიტის ფარგლები
შეფასების ცხრა მიმართულება
აუდიტი განისაზღვრება იმ მომსახურებებითა და არხებით, რომლებზეც წესი ვრცელდება. ქვემოთ აღწერილია, რას ვამოწმებთ; საბოლოო ფარგლები თითოეული პროექტისთვის ცალკე შეთანხმდება.
ძლიერი ავთენტიფიკაციის არქიტექტურა
მუხლები 2, 3 და 6: ვაფასებთ დამოუკიდებელ ფაქტორებს, ერთჯერად კოდებს, წარუმატებელ მცდელობებს, დაბლოკვასა და სესიის დაცვას თითოეული არხისთვის მოქმედი პირობებით.
- ცოდნის, ფლობისა და თანდაყოლილობის (ბიომეტრიული) ელემენტები
- ავთენტიფიკაციის ელემენტების ურთიერთდამოუკიდებლობა
- ერთჯერადი კოდის გენერირება და გაყალბებისა თუ ხელახალი გამოყენებისგან დაცვა
- წარუმატებელი მცდელობები და ავთენტიფიკაციის დაბლოკვა
- სესიის დაცვა და უმოქმედობის ლიმიტები
- რისკზე დაფუძნებული გამოყენება და აღდგენის კონტროლები
- ავთენტიფიკაციის მონაცემების დაცვა
ზოგადი მრავალფაქტორიანი ავთენტიფიკაცია (MFA) და მარეგულირებელი SCA ერთი და იგივე არ არის. MFA დაცვის მიდგომაა, SCA კი წესით დადგენილი კონკრეტული სტანდარტია, რომელიც ელემენტების დამოუკიდებლობას, ავთენტიფიკაციის კოდებსა და დინამიკურ დაკავშირებას აწესრიგებს. სისტემას შეიძლება MFA ჰქონდეს და მაინც ვერ აკმაყოფილებდეს SCA-ს მოთხოვნებს.
დინამიკური დაკავშირება და გადახდის ავტორიზაცია
მე-7 მუხლის მიხედვით ვამოწმებთ, უკავშირდება თუ არა კოდი ნაჩვენებ გადახდის თანხასა და მიმღებს და კარგავს თუ არა ძალას რომელიმე მათგანის შეცვლისას.
- გადამხდელისთვის თანხისა და მიმღების ჩვენება
- კოდის კონკრეტულ თანხასა და მიმღებთან დაკავშირება
- კოდის გაუქმება გადახდის დეტალების შეცვლისას
- ტრანზაქციის მონაცემების მთლიანობა
- საჭიროების შემთხვევაში საბარათე გადახდის ავტორიზაცია
- საჭიროების შემთხვევაში პაკეტური გადახდის ავტორიზაცია
- ავტორიზაციის უსაფრთხო პროცესები
ავთენტიფიკაციის ფაქტორების უსაფრთხოება
მუხლები 8–11: ვამოწმებთ ცოდნის, ფლობისა და უნიკალურობის ფაქტორების დაცვას, მათ დამოუკიდებლობასა და მრავალფუნქციურ მოწყობილობებზე არსებულ რისკებს.
- ცოდნის ფაქტორის დაცვა
- ფლობის ელემენტისა და რეპლიკაციისგან დაცვა
- ბიომეტრიული და უნიკალურობის ფაქტორის უსაფრთხოება
- ფაქტორების ურთიერთდამოუკიდებლობა
- მრავალფუნქციური მოწყობილობის რისკები
- უსაფრთხო შესრულების გარემო
- ჩარევისგან დაცვა
SCA-ს გამონაკლისები
მუხლები 12–20 კონკრეტულ გამონაკლისებს მხოლოდ მათი პირობების შესრულებისას უშვებს. ვამოწმებთ უფლებამოსილებას, მონიტორინგსა და მტკიცებულებებს თითოეული გამოყენებული გამონაკლისისთვის.
- ანგარიშის ინფორმაციაზე წვდომა და უკონტაქტო გადახდები
- ტრანსპორტისა და პარკირების ტერმინალები
- სანდო მიმღებები და განმეორებადი გადახდები
- ერთი პირის ანგარიშებს შორის გადარიცხვები
- მცირე ღირებულების გადახდები
- დაცული კორპორაციული საგადახდო პროცესები
- ტრანზაქციის რისკის ანალიზის გამონაკლისი
- უფლებამოსილება, მონიტორინგი, მტკიცებულებები და შეწყვეტა
ყველა გამონაკლისი ყველა პროვაიდერისთვის ხელმისაწვდომი არ არის. თითოეული მათგანი პირობითია და აუდიტი არცერთი გამონაკლისის გამოყენებას წინასწარ არ მიიჩნევს დასაშვებად.
ტრანზაქციების მონიტორინგი და თაღლითობის გამოვლენა
მუხლები 3 და 20–23: ვაფასებთ არაავტორიზებული ოპერაციების გამოვლენასა და რისკზე დაფუძნებულ ანალიზს. რეალურ დროში მონიტორინგს ვამოწმებთ იქ, სადაც წესი მოითხოვს, მათ შორის მყისიერი გადახდებისა და მე-20 მუხლის გამონაკლისის გამოყენებისას.
- ტრანზაქციების მონიტორინგის მექანიზმები
- თაღლითობის გამოვლენის წესები
- რისკის შეფასება და გადაწყვეტილების ლოგიკა
- გადახდის უჩვეულო ქცევა
- მოწყობილობის, მდებარეობისა და ავთენტიფიკაციის ანომალიები
- თაღლითობის მონიტორინგის მაჩვენებლები
- მონაცემების ხარისხი და ანგარიშგების სიზუსტე
- ესკალაციისა და რეაგირების შესაბამისი პროცესები
თაღლითობის მაჩვენებლის გაანგარიშებისა და აუდიტის მოთხოვნებს ვაფასებთ მხოლოდ იმ შემთხვევაში, თუ ისინი პროვაიდერზე ვრცელდება — მაგალითად, როდესაც გამოიყენება თაღლითობის მაჩვენებელზე დამოკიდებული გამონაკლისი.
პერსონალიზებული უსაფრთხოების მონაცემების დაცვა
მუხლები 24–29: ვაფასებთ პერსონალიზებული მონაცემების კონფიდენციალურობას, მთლიანობასა და კრიპტოგრაფიულ დაცვას შექმნის, მიწოდების, გააქტიურების, გამოყენების, განახლებისა და გაუქმების პროცესში.
- მონაცემების კონფიდენციალურობა და მთლიანობა
- უსაფრთხო შექმნა და მიწოდება
- მონაცემების შენახვა და დამუშავება
- კრიპტოგრაფიული დაცვა
- წვდომის შეზღუდვები
- მომხმარებლის მოწყობილობასთან მიბმა და გააქტიურება
- განახლება, დეაქტივაცია და გაუქმება
თაღლითობის მაჩვენებლის გაანგარიშება და TRA აუდიტი
მუხლები 5(3), 5(5), 20–23 და დანართი: ეს სპეციალიზებული შემოწმება ეხება პროვაიდერს, რომელიც მე-20 მუხლის ტრანზაქციის რისკის გამონაკლისს იყენებს.
- თაღლითობის მაჩვენებლის მეთოდოლოგია და შესაბამისი ოპერაციები
- წყაროს მონაცემებისა და ანგარიშგებული მაჩვენებლების სისრულე და სიზუსტე
- კვარტალური გამოთვლები და მოქმედი ზღვრები
- TRA მოდელის დიზაინი და ეფექტიანობა
- მარეგულირებელი ანგარიშგება და ჩანაწერები
- გამონაკლისის შეჩერება და განახლება
- მეთოდოლოგიის, მოდელისა და მაჩვენებლების სულ მცირე წლიური აუდიტი
- დამოუკიდებელი გარე აუდიტი პირველ წელს და სულ მცირე სამ წელიწადში ერთხელ, ან მოთხოვნისას უფრო ხშირად
60 წელს გადაცილებული მომხმარებლების სპეციალური დაცვა
მუხლი 23¹ ითვალისწინებს 60 წელს გადაცილებული მომხმარებლების ინდივიდუალურ ქცევით პროფილს. საბარათე ოპერაციებისთვის 2026 წლის ცვლილება მოქმედებს; სხვა ელექტრონული გადახდებისთვის დანერგვის ვადაა 2027 წლის 1 მაისი.
- ინდივიდუალური ქცევითი პროფილი და უჩვეულო აქტივობის გამოვლენა
- 500 ლარზე მეტი თანხა, როგორც ერთ-ერთი ერთობლივი ინდიკატორი
- მაღალი რისკის საქმიანობა და სავაჭრო კატეგორიები
- წესით განსაზღვრული უჩვეულო ხარჯვისა თუ ქცევის ფაქტორები
- 48-საათიანი შეჩერება ან ტექნიკური შეუძლებლობისას უარი მხოლოდ ყველა განსაზღვრული პირობის ერთდროულად არსებობისას
- მომხმარებელთან კავშირი, დამატებითი ცალსახა თანხმობა და 48-საათიანი ვადის შემდგომი მოქმედება
- ფიზიკურ პოსტერმინალზე საბარათე გადახდების გამორიცხვა
- მონიტორინგის წესებისა და გადაწყვეტილებების მტკიცებულებები
მხოლოდ 500 ლარზე მეტი თანხა ავტომატურ 48-საათიან შეჩერებას არ იწვევს. თანხის, მაღალი რისკის საქმიანობისა და უჩვეულო ქცევის პირობები ერთდროულად უნდა არსებობდეს.
ელექტრონული კომერცია და გარდამავალი მოთხოვნები
31-ე მუხლი მოქმედ ვალდებულებებს გარდამავალი უფლებამოსილებებისგან განასხვავებს. ემიტენტებმა და ექვაირერებმა შესაბამისი ელექტრონული კომერციის მექანიზმები ან ეროვნულ ბანკთან შეთანხმებული უსაფრთხოების მოდელი 2027 წლის 1 იანვრამდე უნდა დანერგონ; წარსული ვადები მომავალ ვალდებულებებად არ წარმოგვიდგენია.
- ელექტრონული კომერციის ავტორიზაციის მოქმედი მოთხოვნები
- ემიტენტისა და ექვაირერის პასუხისმგებლობები
- საჭიროების შემთხვევაში ეროვნულ ბანკთან შეთანხმებული ალტერნატიული უსაფრთხოების მოდელი
- შესაბამისი ელექტრონული კომერციის მექანიზმების დანერგვა 2027 წლის 1 იანვრამდე
- ამ თარიღამდე რისკზე დაფუძნებული გარდამავალი უფლებამოსილებები
- მოქმედი კონტროლებისა და დაგეგმილი ცვლილებების გამიჯვნის მტკიცებულებები
აუდიტის სახეები
SCA აუდიტის სამი ფორმა
მე-5 მუხლი განსხვავებულ სამართლებრივ საფუძვლებს, სიხშირესა და დამოუკიდებლობის მოთხოვნებს ადგენს. აუდიტის ფარგლებამდე ვადგენთ, რომელი დავალება ვრცელდება ორგანიზაციაზე.
უსაფრთხოების ზომების წლიური აუდიტი
მუხლი 5(1) მოითხოვს დოკუმენტირებას, ტესტირებას, შეფასებასა და სულ მცირე წლიურ აუდიტს პროვაიდერის წესებით. აუდიტი შეუძლია ჩაატაროს კვალიფიციურ, ოპერაციულად დამოუკიდებელ შიდა ან გარე აუდიტორს.
TRA მეთოდოლოგიისა და თაღლითობის მაჩვენებლების აუდიტი
მე-20 მუხლის გამონაკლისის მომხმარებლებმა მეთოდოლოგია, მოდელი და ანგარიშგებული თაღლითობის მაჩვენებლები სულ მცირე ყოველწლიურად უნდა შეამოწმონ, მონაცემთა სისრულისა და სიზუსტის ჩათვლით.
SCA-ის დამოუკიდებელი გარე აუდიტი
გარე აუდიტი ტარდება, როდესაც ეროვნული ბანკი 5(4) მუხლით კონკრეტული კომპონენტებისთვის მოითხოვს, ან მე-20 მუხლის გამონაკლისის გამოყენების დაწყებიდან პირველ წელს და შემდეგ სულ მცირე სამ წელიწადში ერთხელ 5(5) მუხლით, თუ ეროვნული ბანკი მეტ სიხშირეს არ მოითხოვს.
მეთოდოლოგია
როგორ ვატარებთ აუდიტს?
სტრუქტურირებული, მტკიცებულებებზე დაფუძნებული პროცესი ექვს ეტაპად.
ეტაპი 1 — ფარგლები და დაგეგმვა
განვსაზღვრავთ მოქმედ მოთხოვნებს, ბიზნეს სერვისებს, სისტემებს, არხებს, პასუხისმგებელ გუნდებსა და აუდიტის საზღვრებს.
ეტაპი 2 — მარეგულირებელ მოთხოვნებთან შედარება
პროვაიდერის კონტროლებს ვადარებთ მომსახურების, არხებისა და გამონაკლისების მიხედვით მოქმედ დებულებებს.
ეტაპი 3 — დოკუმენტაციისა და მტკიცებულებების განხილვა
განვიხილავთ პოლიტიკებს, ტექნიკურ კონფიგურაციებს, სისტემურ არქიტექტურას, რისკის შეფასებებს, ტრანზაქციების კონტროლებსა და შესაბამის მტკიცებულებებს.
ეტაპი 4 — კონტროლების ტექნიკური ტესტირება
ავტორიზებულად და რისკზე დაფუძნებულად ვატარებთ ავთენტიფიკაციის მექანიზმების, ტრანზაქციის ავტორიზაციის, გამონაკლისების, სესიის კონტროლებისა და მონიტორინგის შესაძლებლობების ტესტირებას.
ეტაპი 5 — შესაბამისობისა და ხარვეზების შეფასება
მიგნებებს ვუკავშირებთ მოქმედ მარეგულირებელ მოთხოვნებს და ვაფასებთ კონტროლების დიზაინსა და ოპერირების ეფექტიანობას.
ეტაპი 6 — ანგარიშგება და რეკომენდაციები
გადმოგცემთ სტრუქტურირებულ აუდიტის ანგარიშს მიგნებებით, რისკის შეფასებებით, დამადასტურებელი მტკიცებულებებითა და პრიორიტეტული რეკომენდაციებით.
პენეტრაციული ტესტირება SCA აუდიტის ყველა პროექტის ნაწილი არ არის. ის დამატებითი აქტივობაა და სრულდება მხოლოდ მაშინ, როდესაც პროექტის ფარგლებში პირდაპირ არის გათვალისწინებული.
მტკიცებულებები
აუდიტის ფარგლებზე მორგებული მტკიცებულებები
ვითხოვთ მხოლოდ შეთანხმებული საქმიანობისა და დებულებებისთვის შესაბამის მტკიცებულებებს. ტიპური წყაროებია:
ავთენტიფიკაციის არქიტექტურის სქემები და SCA კონფიგურაცია
გადახდის ავტორიზაციის პროცესები და ტრანზაქციის ჩანაწერები
ავთენტიფიკაციის ჟურნალი და წარუმატებელი მცდელობები
თაღლითობის მონიტორინგის წესები და შეტყობინებები
TRA მოდელები, მეთოდოლოგია და თაღლითობის მაჩვენებლის გამოთვლები
გამონაკლისების გადაწყვეტილებები და რეესტრები
რისკის შეფასებები და პერსონალიზებული მონაცემების მართვის პროცედურები
ტექნიკური უსაფრთხოების ტესტირების შედეგები
შესაბამისი მესამე მხარის ხელშეკრულებები
წინა აუდიტის ანგარიშები და მაკორექტირებელი გეგმები
შედეგები
რას მიიღებს ორგანიზაცია?
თითოეული პროექტის შედეგად ორგანიზაცია იღებს დოკუმენტებს, რომლებიც გამოდგება ხელმძღვანელობის გადაწყვეტილებებისთვის, მაკორექტირებელი ღონისძიებების დაგეგმვისა და ზედამხედველთან კომუნიკაციისთვის.
SCA შესაბამისობის დამოუკიდებელი აუდიტის ანგარიში
სტრუქტურირებული ანგარიში, რომელიც აღწერს ფარგლებს, მეთოდოლოგიას, შეფასებულ მოთხოვნებს, მიგნებებსა და საერთო შეფასებას.
რეგულაციური შესაბამისობის მატრიცა
საქართველოს ეროვნული ბანკის მოქმედი ნორმების მოთხოვნა-მოთხოვნით შედარება ორგანიზაციაში დანერგულ კონტროლებთან.
ტექნიკური მიგნებების რეესტრი
დოკუმენტირებული ხარვეზები მტკიცებულებით, გავლენით, რისკის შეფასებითა და დაზარალებული სისტემებით ან პროცესებით.
თაღლითობის მონიტორინგისა და TRA შეფასება (საჭიროების შემთხვევაში)
მონაცემების, მოდელების, მეთოდოლოგიისა და გამონაკლისის კონტროლების ცალკე შეფასება მე-20 მუხლის მოქმედებისას.
მაკორექტირებელი ღონისძიებების რეკომენდაციები
გამოვლენილი ხარვეზების აღმოსაფხვრელი პრიორიტეტული რეკომენდაციები.
აღმასრულებელი რეზიუმე
ხელმძღვანელობისთვის განკუთვნილი მოკლე მიმოხილვა ძირითადი რისკების, რეგულაციური ექსპოზიციისა და რეკომენდებული ქმედებების შესახებ.
გამოსწორების შემდგომი შეფასება (არასავალდებულო)
მაკორექტირებელი ღონისძიებების ცალკე შემდგომი შეფასება, თუ ის პროექტშია გათვალისწინებული.
აუდიტის შედეგად არ გაიცემა სერტიფიკატი ან მარეგულირებლის თანხმობა და შესაბამისობის შედეგი არ გარანტირდება.
ბიზნესღირებულება
რას აუმჯობესებს აუდიტი
დამოუკიდებელი შეფასება მარეგულირებელ მოთხოვნებს პრიორიტეტულ, მტკიცებულებებზე დაფუძნებულ გაუმჯობესების გეგმად გარდაქმნის.
მარეგულირებელი ხარვეზების გამოვლენა
მოქმედი მოთხოვნების დანერგილ კონტროლებთან შედარება.
ავთენტიფიკაციის უსაფრთხოების შემოწმება
ფაქტორების, დამოუკიდებლობისა და უსაფრთხო მუშაობის შეფასება.
თაღლითობის პრევენციის გაუმჯობესება
მონიტორინგის, გამოვლენისა და რეაგირების კონტროლების შეფასება.
გამონაკლისების შეფასება
გამოყენებული გამონაკლისების საფუძვლებისა და მიმდინარე პირობების შემოწმება.
მტკიცებულებებისა და ანგარიშგების გაძლიერება
მიგნებებისა და საზედამხედველო ჩანაწერების მიკვლევადობის გაუმჯობესება.
გამოსწორების პრიორიტეტების განსაზღვრა
მაკორექტირებელი სამუშაოს არსებით რისკებზე მიმართვა.
საგადახდო მომსახურების მდგრადობის გაუმჯობესება
კრიტიკული ავთენტიფიკაციის პროცესების სისუსტეების გამოვლენა.
მარეგულირებელი განხილვისთვის მომზადება
დასაბუთებული მტკიცებულებებისა და მკაფიო მაკორექტირებელი გეგმების მოწესრიგება.
ჩვენი შესაძლებლობები
რატომ IO Consulting?
SCA შეფასებას სჭირდება როგორც რეგულაციის გაგება, ისე ტექნიკური სიღრმე. ჩვენი მუშაობა ორივეს აერთიანებს.
ინფორმაციული უსაფრთხოებისა და IT აუდიტის ექსპერტიზა
აუდიტი, რომელიც ინფორმაციული უსაფრთხოების პრაქტიკას ეფუძნება.
რეგულაციური შესაბამისობის შეფასება
მიგნებები დაკავშირებულია იმ ნორმებთან, რომლებსაც ისინი ეხება.
ფინანსური სექტორის ტექნოლოგიური რისკების გაგება
ყურადღება იმაზე, როგორ მუშაობს პრაქტიკაში საგადახდო არხები და მათზე დამოკიდებული კომპონენტები.
კონტროლების ტექნიკური ტესტირება
დასკვნები ეფუძნება ტესტირებას და არა მხოლოდ დოკუმენტებს.
მტკიცებულებებზე დაფუძნებული ანგარიშგება
თითოეულ მიგნებას თან ახლავს მიკვლევადი მტკიცებულება.
პრაქტიკული რეკომენდაციები გამოსწორებისთვის
პრიორიტეტული ქმედებები, რომლებსაც თქვენი გუნდები დაგეგმავენ და განახორციელებენ.
მარეგულირებელი საფუძველი
აუდიტის მარეგულირებელი საფუძველი
აუდიტი ეფუძნება საქართველოს ეროვნული ბანკის მიერ დამტკიცებულ მომხმარებლის ძლიერი ავთენტიფიკაციის წესს (2020 წლის 2 სექტემბრის №156/04 ბრძანება, ცვლილებებით). პირველი მუხლი განსაზღვრულ ფარგლებში მოიცავს ლიცენზირებულ კომერციულ ბანკებსა და მიკრობანკებს, რეგისტრირებულ საგადახდო მომსახურების პროვაიდერებსა და მიკროსაფინანსო ორგანიზაციებს.
ეს არის საქართველოს რეგულაცია. ჩვენ არ ვიყენებთ ევროკავშირის PSD2-ს ან მის მარეგულირებელ ტექნიკურ სტანდარტებს, როგორც მოქმედ ტექსტს, ხოლო SCA წესი განსხვავდება ეროვნული ბანკის ინფორმაციული უსაფრთხოებისა და კიბერუსაფრთხოების უფრო ფართო მოთხოვნებისგან.
ოფიციალური წყაროები
- მომხმარებლის ძლიერი ავთენტიფიკაციის წესი — საქართველოს საკანონმდებლო მაცნე
წესისა და მასში შეტანილი ცვლილებების პირველადი სამართლებრივი წყარო.
- მომხმარებლის ძლიერი ავთენტიფიკაცია — საქართველოს ეროვნული ბანკი
მარეგულირებლის მიმოხილვა წესისა და მისი ადრესატების შესახებ.
რას აწესრიგებს წესი
- მუხლები 2–3
- ძლიერი ავთენტიფიკაცია გულისხმობს ცოდნის, ფლობისა და თანდაყოლილობის კატეგორიებიდან ორი ან მეტი დამოუკიდებელი ელემენტის გამოყენებას. ის სავალდებულოა, როდესაც გადამხდელი ონლაინ ხვდება საგადახდო ანგარიშზე, იწყებს ელექტრონულ გადახდას ან დისტანციურ არხში ასრულებს თაღლითობის რისკის შემცველ მოქმედებას.
- მუხლი 6
- ავთენტიფიკაციის კოდი უნდა იყოს ერთჯერადი და დაცული დაშიფვრისა და გაყალბებისგან. მუხლი ასევე ადგენს ლიმიტებს წარუმატებელ მცდელობებსა და ონლაინ სესიის უმოქმედობაზე.
- მუხლი 7
- ელექტრონული გადახდისას ავთენტიფიკაციის კოდი უნდა უკავშირდებოდეს მიმღებსა და თანხას და ძალას კარგავდეს, თუ რომელიმე მათგანი შეიცვლება.
- მუხლები 12–20
- წესი ძლიერი ავთენტიფიკაციისგან გამონაკლისებს მხოლოდ განსაზღვრული პირობებით ითვალისწინებს. ისინი მოიცავს, მაგალითად, ანგარიშის შესახებ ინფორმაციას, ზოგიერთ უკონტაქტო და მცირე ღირებულების გადახდას, სანდო მიმღებებს, განმეორებად გადახდებს, მომხმარებლის საკუთარ ანგარიშებს შორის გადარიცხვებს, კორპორატიულ დაცულ პროცესებსა და ტრანზაქციის რისკის ანალიზს. თითოეული გამონაკლისი პირობითია და ყველა პროვაიდერისთვის ავტომატურად ხელმისაწვდომი არ არის.
- მუხლი 5
- უსაფრთხოების ზომები უნდა იყოს დოკუმენტირებული, ტესტირებული, შეფასებული და სულ მცირე ყოველწლიურად აუდიტირებული. აუდიტორი, შიდა თუ გარე, უნდა იყოს ოპერაციულად დამოუკიდებელი და ფლობდეს IT უსაფრთხოებისა და საგადახდო მომსახურების შესაბამის ცოდნას. მე-20 მუხლის გამონაკლისის მომხმარებლებს ყოველწლიურად მოეთხოვებათ მეთოდოლოგიის, მოდელისა და თაღლითობის ანგარიშგებული მაჩვენებლების აუდიტიც, მონაცემთა სისრულისა და სიზუსტის ჩათვლით. ეროვნულ ბანკს შეუძლია განსაზღვრული კომპონენტების გარე აუდიტის მოთხოვნა; მე-20 მუხლის მომხმარებელს გარე აუდიტი სჭირდება გამოყენების დაწყებიდან ერთ წელიწადში და შემდეგ სულ მცირე სამ წელიწადში ერთხელ, ან მოთხოვნისას უფრო ხშირად. ეროვნული ბანკის მოთხოვნიდან სრული ანგარიში 14 კალენდარულ დღეში უნდა წარედგინოს.
- მუხლები 21–23
- გარკვეულ გამონაკლისებზე დაყრდნობილი პროვაიდერები ითვლიან და ადოკუმენტირებენ თაღლითობის მაჩვენებლებს, პერიოდულად აკონტროლებენ მათ, ინახავენ მონაცემებს და ზღვრის გადაჭარბებისას ატყობინებენ საქართველოს ეროვნულ ბანკს.
- მუხლი 23¹
- სპეციალური მონიტორინგი იცავს 60 წელს გადაცილებულ მომხმარებლებს. 48-საათიანი შეჩერება ან უარი მხოლოდ თანხის, მაღალი რისკის საქმიანობისა და უჩვეულო ქცევის ყველა პირობის ერთდროულად არსებობისას გამოიყენება; ფიზიკურ პოსტერმინალზე საბარათე გადახდები გამორიცხულია. 2026 წლის ცვლილება საბარათე ოპერაციებზე 1 სექტემბრიდან მოქმედებს, სხვა ელექტრონულ გადახდებზე კი 2027 წლის 1 მაისიდან.
- მუხლი 31
- ემიტენტისა და ექვაირერის ელექტრონული კომერციის პასუხისმგებლობა მოიცავს შესაბამისი მექანიზმების ან ეროვნულ ბანკთან შეთანხმებული უსაფრთხოების მოდელის დანერგვას 2027 წლის 1 იანვრამდე. სხვა გარდამავალ უფლებამოსილებებს საკუთარი პირობები და ვადები აქვს; გასული ვადები მომავალ ვალდებულებებად არ მიიჩნევა.
გადამოწმებულია მოწოდებული კონსოლიდირებული ტექსტით 2026 წლის 27 აგვისტოს №208/04 ცვლილების ჩათვლით. ამ მიმოხილვაზე დაყრდნობამდე გადაამოწმეთ შემდგომი ცვლილებები და კონკრეტულ ორგანიზაციაზე მოქმედება; ეს იურიდიული რჩევა არ არის.
ხშირად დასმული კითხვები
ხშირად დასმული კითხვები
რა არის მომხმარებლის ძლიერი ავთენტიფიკაცია (SCA)?
საქართველოს ეროვნული ბანკის წესის მიხედვით, ძლიერი ავთენტიფიკაცია გადამხდელს ამოწმებს სხვადასხვა კატეგორიის სულ მცირე ორი დამოუკიდებელი ელემენტით: რაც მხოლოდ მომხმარებელმა იცის, რაც მხოლოდ მას აქვს და რაც მისი თანდაყოლილი მახასიათებელია. ის უნდა გამოიყენოს, როდესაც გადამხდელი ონლაინ ხვდება საგადახდო ანგარიშზე, იწყებს ელექტრონულ გადახდას ან დისტანციურ არხში ასრულებს თაღლითობის რისკის შემცველ მოქმედებას.
რა განსხვავებაა SCA-სა და ჩვეულებრივ MFA-ს შორის?
MFA ზოგადი უსაფრთხოების მიდგომაა. SCA წესით დადგენილი კონკრეტული სტანდარტია: ელემენტები სხვადასხვა კატეგორიას უნდა მიეკუთვნებოდეს და იყოს დამოუკიდებელი, რათა ერთის კომპრომეტაცია არ იწვევდეს დანარჩენის კომპრომეტაციას. ავთენტიფიკაციის კოდი ერთჯერადი უნდა იყოს, ხოლო გადახდისას — მიბმული მიმღებსა და თანხაზე. MFA, რომელიც ამ პირობებს არ აკმაყოფილებს, შესაძლოა SCA-ს მოთხოვნებს არ შეესაბამებოდეს.
რომელ ორგანიზაციებზე ვრცელდება საქართველოს ეროვნული ბანკის SCA წესი?
პირველი მუხლი განსაზღვრულ ფარგლებში მოიცავს ეროვნული ბანკის მიერ ლიცენზირებულ კომერციულ ბანკებსა და მიკრობანკებს, რეგისტრირებულ საგადახდო მომსახურების პროვაიდერებსა და მიკროსაფინანსო ორგანიზაციებს. მოქმედი კონტროლები დამოკიდებულია პროვაიდერის სტატუსზე, მომსახურებაზე, არხებსა და გამონაკლისებზე.
რა შემთხვევებში შეიძლება SCA-ის მოთხოვნიდან გამონაკლისის გამოყენება?
მხოლოდ იმ შემთხვევებსა და პირობებში, რომლებსაც წესი ითვალისწინებს — მაგალითად, ანგარიშის შესახებ ინფორმაციაზე წვდომა, ზოგიერთი უკონტაქტო და მცირე ღირებულების გადახდა, სანდო მიმღებები, განმეორებადი გადახდები, მომხმარებლის საკუთარ ანგარიშებს შორის გადარიცხვები, კორპორატიული დაცული პროცესები და ტრანზაქციის რისკის ანალიზი. გამონაკლისები ნებაყოფლობითია, პირობითია და უკავშირდება მონიტორინგს, ზოგ შემთხვევაში კი თაღლითობის მაჩვენებლის მოთხოვნებს. ძლიერი ავთენტიფიკაცია ძირითადი წესია, ხოლო აუდიტი ამოწმებს, არის თუ არა პროვაიდერის მიერ გამოყენებული თითოეული გამონაკლისი დასაბუთებული.
რა დოკუმენტაცია და ტექნიკური მტკიცებულებებია საჭირო აუდიტისთვის?
ჩვეულებრივ: SCA-ს პოლიტიკები და პროცედურები, ავთენტიფიკაციის არქიტექტურა და კონფიგურაცია, რისკის შეფასებები, ავთენტიფიკაციის პროცესების აღწერა, გამონაკლისების შესახებ გადაწყვეტილებები და მათი დამადასტურებელი ანალიზი, თაღლითობის მონიტორინგის წესები და ანგარიშები, ინციდენტებისა და გამონაკლისების ჩანაწერები, მესამე მხარეებთან და აუთსორსინგთან დაკავშირებული შეთანხმებები და წინა აუდიტების შედეგები. ზუსტი ჩამონათვალი ფარგლების განსაზღვრისას შეთანხმდება.
რას მოიცავს SCA აუდიტის საბოლოო ანგარიში?
ანგარიში ასახავს ფარგლებს, მეთოდს, შეფასებულ დებულებებს, მტკიცებულებებს, რისკით შეფასებულ მიგნებებსა და მაკორექტირებელ რეკომენდაციებს. შედეგებს შეიძლება ახლდეს შესაბამისობის მატრიცა, ტექნიკური რეესტრი, საჭიროებისას TRA შეფასება და ხელმძღვანელობის რეზიუმე. ეროვნული ბანკის მოთხოვნისას პროვაიდერმა სრული ანგარიში 14 კალენდარულ დღეში უნდა წარადგინოს. აუდიტი სერტიფიკაციას ან მარეგულირებლის თანხმობას არ ნიშნავს.
სავალდებულოა თუ არა SCA-ის წლიური აუდიტი?
მუხლი 5(1) პროვაიდერებს ავალდებულებს წესის უსაფრთხოების ზომების დოკუმენტირებას, ტესტირებას, შეფასებასა და სულ მცირე ყოველწლიურ აუდიტს საკუთარი პროცედურების შესაბამისად. აუდიტმა უნდა შეაფასოს და აღწეროს შესაბამისობა. მე-20 მუხლის გამონაკლისის მომხმარებლებს მეთოდოლოგიის, მოდელისა და ანგარიშგებული თაღლითობის მაჩვენებლების წლიური აუდიტიც სჭირდებათ.
ყველა წლიური SCA აუდიტი გარე უნდა იყოს?
არა. მუხლი 5(2) უშვებს თანამშრომელ ან გარე აუდიტორს, რომელიც ოპერაციულად დამოუკიდებელია და IT უსაფრთხოებასა და საგადახდო მომსახურებაში კომპეტენტურია. ეროვნულ ბანკს შეუძლია განსაზღვრული კომპონენტების გარე აუდიტის მოთხოვნა. მე-20 მუხლის გამონაკლისის მომხმარებლებს დამოუკიდებელი გარე აუდიტი სჭირდებათ გამოყენების დაწყებიდან ერთ წელიწადში და შემდეგ სულ მცირე სამ წელიწადში ერთხელ, ან ეროვნული ბანკის მოთხოვნით უფრო ხშირად.
რა დამატებითი აუდიტი ეხება TRA გამონაკლისს?
მე-20 მუხლის გამონაკლისის მომხმარებლებს მეთოდოლოგიის, მოდელისა და ანგარიშგებული თაღლითობის მაჩვენებლების სულ მცირე წლიური აუდიტი სჭირდებათ, მონაცემთა სისრულისა და სიზუსტის ჩათვლით. მუხლი 5(5) დამატებით მოითხოვს დამოუკიდებელ გარე აუდიტს გამოყენების დაწყებიდან ერთ წელიწადში და შემდეგ სულ მცირე სამ წელიწადში ერთხელ, ან ეროვნული ბანკის მოთხოვნით უფრო ხშირად.
რომელი კონტროლები მოწმდება SCA აუდიტისას?
შეთანხმებული ფარგლების მიხედვით ვამოწმებთ დამოუკიდებელ ფაქტორებს, ერთჯერად კოდებს, დინამიკურ დაკავშირებას, სესიებს, ტრანზაქციების მონიტორინგს, გამონაკლისებს, თაღლითობის მაჩვენებლებს, 60 წელს გადაცილებული მომხმარებლების დაცვასა და პერსონალიზებულ უსაფრთხოების მონაცემებს მოქმედი დებულებების მიხედვით.
რა სპეციალური დაცვა ვრცელდება 60 წელს გადაცილებულ მომხმარებლებზე?
მუხლი 23¹ მოითხოვს ინდივიდუალურ ქცევით პროფილსა და რისკზე დაფუძნებულ მონიტორინგს. 48-საათიანი შეჩერება ან უარი გამოიყენება მხოლოდ მაშინ, როდესაც თანხა 500 ლარს აღემატება, ოპერაცია განსაზღვრულ მაღალი რისკის საქმიანობას ეხება და წესის ფაქტორებით უჩვეულო ქცევაც ერთად ვლინდება. შეჩერების შემდეგ შესრულებამდე საჭიროა მომხმარებელთან კავშირი და დამატებითი ცალსახა თანხმობა. ფიზიკურ პოსტერმინალზე საბარათე გადახდები გამორიცხულია. 2026 წლის ცვლილება საბარათე გადახდებზე 1 სექტემბრიდან, სხვა ელექტრონულ გადახდებზე კი 2027 წლის 1 მაისიდან მოქმედებს.
მოიცავს თუ არა SCA აუდიტი პენეტრაციულ ტესტირებას?
ავტომატურად არა. შესაბამისი ტექნიკური კონტროლების ავტორიზებული ტესტირება შეიძლება აუდიტში შევიდეს. პენეტრაციული ტესტირება ცალკე აქტივობაა და მხოლოდ პროექტის ფარგლებში პირდაპირი შეთანხმებით ტარდება.
შეაფასეთ თქვენი ორგანიზაციის შესაბამისობა SCA-ის მოთხოვნებთან
IO Consulting გთავაზობთ მომხმარებლის ძლიერი ავთენტიფიკაციის წესით განსაზღვრული უსაფრთხოების ზომების დამოუკიდებელ აუდიტს, ტექნიკური კონტროლების შეფასებასა და რეგულაციური შეუსაბამობების გამოვლენას.
მოითხოვეთ SCA აუდიტი