1. rész | 2. rész

Háromrészes sorozatunk záró részében az adatvédelmet megőrző, több résztvevős együttműködést támogató technológia gyakorlati alkalmazásait mutatjuk be.

Miért hasznos az anonimizálást támogató Data Clean Room?

Egy hagyományos csalásmegelőzési konzorciumban továbbra is szükség lehet arra, hogy egy központi üzemeltető olvasható formában hozzáférjen az azonosítókhoz és a tranzakciós rekordokhoz.

Az anonimizálást támogató Data Clean Room – vagyis egy ellenőrzött adategyüttműködési környezet – viszont megváltoztatja az együttműködés bizalmi modelljét.

A kiválasztott azonosítók átalakítása már az egyes adatgazdáknál megtörténik, mielőtt az adatok bekerülnének az együttműködési környezetbe. A védett rekordok ezt követően szabályozott keretek között összekapcsolhatók és elemezhetők. A kriptográfiai architektúrától függően SQL-alapú elemzések, hálózatelemzések és gépi tanulási munkafolyamatok is végrehajthatók anélkül, hogy a platform üzemeltetője vagy a részt vevő bankok korlátlan hozzáférést kapnának a bemeneti adatok nyílt szövegű változatához.

Ez a megközelítés több előnnyel jár:

• Adattakarékosság: A résztvevők kizárólag a jóváhagyott felhasználási célhoz szükséges azonosítókat, jellemzőket, időszakokra vonatkozó adatokat vagy kockázati jelzéseket bocsátják rendelkezésre.
• Semlegesség: Egyetlen résztvevő banknak sem kell a versenytársai nyers adatait központilag tárolnia és kezelnie.
• Célhozkötöttség: A projektek meghatározott csalásfelderítési kérdésekre, számításokra és eredményekre korlátozhatók.
• Az üzleti titkok védelme: A bankoknak nem kell feltárniuk teljes ügyfélállományukat, tranzakciós volumenüket, belső riasztásaikat vagy saját fejlesztésű modelljeik működési logikáját.
• Skálázhatóság: Az új résztvevők közös infrastruktúrához csatlakozhatnak, így nem szükséges minden meglévő taggal külön kétoldalú adatcsere-kapcsolatot kialakítaniuk.
• Irányítási és ellenőrzési keretrendszer: Projektszinten meghatározhatók a hozzáférési jogosultságok, az engedélyezett lekérdezések, a megőrzési idők, az eredmények kiadására vonatkozó küszöbértékek és az auditkövetelmények.

A technológia önmagában nem tesz jogszerűvé egy projektet, nem szünteti meg az újraazonosítás valamennyi kockázatát, és nem helyettesíti az irányítási és információbiztonsági kontrollokat. Ugyanakkor olyan technikai mechanizmust biztosít, amellyel a bankok szűkebb keretek közé szorított, jobban indokolható együttműködést valósíthatnak meg.

Az adatvédelmet megőrző együttműködés üzleti megalapozása

A legerősebb üzleti indoklás kiindulópontja egy mérhető csalási probléma, nem pedig a kriptográfia.

A banknak vagy a konzorciumnak az alábbi mutatókra kiterjedő kiinduló állapotot (baseline) célszerű rögzítenie:

• csalásból eredő bruttó veszteségek;
• ügyfelek részére teljesített visszatérítések;
• megelőzött csalások;
• téves pozitív jelzések aránya;
• manuális vizsgálatokra fordított munkaórák;
• kapcsolódó számla azonosításához szükséges átlagos idő;
• csalást követően visszaszerzett összegek;
• indokolatlan ellenőrzések miatt megszakított ügyfélfolyamatok;
• számlanyitáshoz kapcsolódó veszteségek;
• kártyás visszaterhelések és kártyatársasági költségek;
• felügyeleti adatszolgáltatásra fordított ráfordítások.

Az együttműködést ezt követően egy szűken meghatározott kérdésre célszerű összpontosítani. Ilyen lehet például, hogy a kedvezményezettekre vonatkozó, bankközi adatokból előállított védett kockázati információk csökkenthetik-e az ismert pénzfutár-(mule-) hálózatokhoz irányuló, megtévesztéssel jóváhagyatott átutalásos csalásokból (APP-csalásokból) eredő kifizetéseket.

A gazdasági érték a következőképpen modellezhető:

Megelőzött veszteségek + elkerült ügyfél-visszatérítések + visszaszerzett összegek + működési megtakarítások + jogszerű üzleti tevékenységből származó többletbevétel − az együttműködés költségei.

Tegyük fel, hogy egy bankcsoport tagjainál egy meghatározott csalástípus évente összesen 200 millió euró veszteséget okoz. Ha a védett adatokon végzett, intézményközi elemzés ezt mindössze 5 százalékkal csökkenti, a közvetlen haszon 10 millió euró. Ez még nem tartalmazza az alacsonyabb vizsgálati költségekből, az eredményesebb pénzvisszaszerzésből vagy a kevesebb ügyfélpanaszból származó előnyöket.

A döntő szempont az, hogy az intézményi határokon átívelő elemzéssel többletként felderített csalásokból származó gazdasági előny meghaladja-e a részvétel költségét. Nem feltétel, hogy a platform minden csalást felismerjen.

Javaslat: induljon célzott konzorciumi pilotprojekt

Egy üzletileg megalapozott pilot-projektbe első körben kevés intézményt célszerű bevonni, egyetlen csalási mintázatra és a védett adatmezők szűk körére összpontosítva.

Például:

• három bank rendelkezésre bocsátja az igazolt APP-csalások kedvezményezettjeinek védett azonosítóit;
• a platform összekapcsolja az ismétlődően előforduló azonosítókat és a hozzájuk kapcsolódó számlákat;
• a résztvevő bankok az új, magas kockázatú átutalásokat összevetik a védett adatokból feltárt hálózattal;
• a kiadott eredmények kizárólag egyezési jelzésekre és előre meghatározott kockázati indokokra korlátozódnak;
• a teljesítményt összehasonlítják a bankok meglévő kontrolljainak eredményességével.

A pilot-projekt méri a többletként felderített csalásokat, a téves pozitív jelzéseket, a felülvizsgálatra fordított időt, a megállított fizetéseket, a visszaszerzett összegeket és az elkerült ügyfél-visszatérítési kiadásokat.

A nem technikai feltételeket is próbára teszi: az adatkezelés jogalapját, az irányítási és ellenőrzési keretrendszert, az adatminőséget, az azonosítók egységesítését, a vitás esetek kezelését, a megengedett felhasználási célokat, az adatszolgáltatás ösztönzőit, valamint a pontatlan kockázati információk helyesbítésére szolgáló eljárásokat.

A bankoknak több nyers adat helyett biztonságosabb hálózati rálátásra van szükségük

A pénzügyi intézmények már ma is fejlett csalásmegelőzési és -felderítési megoldásokkal rendelkeznek. E megoldások korlátja, hogy a bűnözők átlépik azokat az intézményi határokat, amelyek mentén a védelem felépül.

A PPDL (Privacy-Preserving Data Linkage) és a több résztvevős, adatvédelmet megőrző adatelemzés (Multi-Party Privacy-Preserving Data Analysis) lehetőséget kínál e rálátási hiány megszüntetésére anélkül, hogy valamennyi résztvevő nyers tranzakciós adataiból központi adattárat kellene létrehozni.

Ezek a megoldások lehetővé teszik a bankok számára, hogy felismerjék a több intézménynél is megjelenő szereplőket, feltárják az összehangolt magatartást, ellenőrizzék a kockázati információkat, és hálózati szintű csalási indikátorokat alakítsanak ki, miközben korlátozzák az egyes felek számára hozzáférhető információk körét.

A stratégiai kérdés többé nem az, hogy:

„Melyik banké a tranzakciós adat?”

Hanem:

„Képesek-e az intézmények közösen előállítani a csalásra utaló jelzést anélkül, hogy felfednék az alapul szolgáló tranzakciókat?”

A bankok, pénzforgalmi szolgáltatók, csalásmegelőzési technológákat szállítók és konzorciumi üzemeltetők számára a válasz közvetlenül alacsonyabb veszteségekben, kisebb ügyfél-visszatérítési költségekben, kevesebb téves pozitív jelzésben, hatékonyabb vizsgálatokban, erősebb ügyfélvédelemben és új, bevételtermelő kockázatkezelési szolgáltatásokban ölthet testet.

A csalók már ma is intézményeken átívelően működnek együtt.

A pénzügyi szektor védelmi rendszereinek ugyanerre kell képesnek lenniük, a személyes adatok és az üzleti titkok védelmének feladása nélkül.

1. rész | 2. rész