Я зроблю сам: FRANKENSTEIN SECURITY для цифрового банкінгу (Ірина Латушкіна)

Ми живемо в той час, коли гаражні винаходи вже неможливі – все справді велике має створюватися принаймні середніми командами професіоналів вищого рівня. Сьогодні банки та фінтех стали справжніми центрами технологій та інновацій, маючи
дуже сильні технічні команди на борту. Очевидно, вони хочуть зробити все самостійно. Але коли ми говоримо про розробку рішень безпеки, такий підхід має кілька підводних каменів, які слід враховувати.

Дешевше не буде

Один із найпоширеніших аргументів, який ми чули з боку клієнта, полягає в тому, що буде дешевше розробити власне рішення за участю їх сильної команди. Це дуже популярна точка зору, але насправді це пастка. Вам потрібно буде шукати досить нішеву техніку
мізки з великим досвідом розробки рішень безпеки. Наприклад, наша компанія зосереджується на мобільній автентифікації без OTP. Отже, ми можемо відкрито сказати, що для розробки такого рішення – навіть спрощеної версії – вам, по-перше, знадобиться надійна криптографічна система.
фахівців, здатних розробити правильну схему розподілу ключів. Якщо ваше рішення безпеки працює на iOS та Android, то вам потрібно буде знайти не лише розробників Android та iOS, а й хлопців, які розуміють всю суть обох платформ.
Також очікується наймання бекенд-розробника, тестувальників, аналітиків, які мають компетенцію в цій конкретній темі, і точно вам обов’язково потрібен архітектор.

Я можу припустити, що дехто з вас здивований і вже підрахував витрати

Надто багато часу

Кожен, хто коли-небудь запускав продукт, знає, що це не так швидко. Але справа в тому, що у вас немає цього часу. Якщо зараз ви зіткнулися з проблемами безпеки, вам потрібно вирішити їх якомога швидше. В іншому випадку ви можете втратити більше грошей своїх клієнтів
очікування вашого власного внутрішнього розвитку буде закінчено. Очевидно, що втрата грошей дорівнює втраті репутації, і ваші клієнти просто перейдуть в інший банк. Можливо, тим часом ви завершите тестування свого нового Франкенштейна.

Крім того, нічого не зроблено з каменю. Я думаю, що в деяких із вас була ситуація, коли початкова команда розробників покинула компанію. Звичайно, в ідеальному світі ви залишатиметеся з усіма посібниками з продукту, щоб нових членів команди було легко залучити до процесу
підтримки. Але не завжди очікування і реальність збігаються. Коли вам потрібно щось виправити, запустити нову версію або адаптуватись до нових вимог, вашій команді раптово доведеться повернутися до рукописів початкової команди розробників.

Знову розвиватися?

Ви не можете розробити щось один раз і залишити це як є назавжди – вам доведеться оновлювати, підтримувати, запитувати якийсь зовнішній сервіс пентестування тощо.

Крім того, ви повинні додати нові функції. Ми завжди знаходимо нові цікаві кейси з нашими клієнтами – наприклад, так ми створили наш інтернет-банкінг за допомогою QR-сканування. Один із наших клієнтів просто сказав: "не могли б ви зробити це максимально безпечним,
як зараз, але без введення навіть імені користувача?» Таким же чином ми розробили автентифікацію в автономному режимі та багато інших функцій, які зараз доступні в нашому рішенні.

Говорячи про безпеку, важко зупинитися – хакери розумні та швидкі у пошуку нових вразливостей, тому ми маємо бути проактивними, вловлюючи тенденції безпеки, прогнозуючи останні ризики безпеці. Ось як ми додали адаптивну автентифікацію, конфлікт
інструмент вирішення випадків дружнього шахрайства, відбитків пальців пристрою для посилення захисту від шахрайства, спеціальних випадків для поновлення безпечного доступу тощо.

Гаразд, нарешті ви це розробили. Потім, через деякий час, ви переводите своїх клієнтів на нову програму чи службу – так, ймовірно, вам потрібно буде прийняти або перебудувати своє рішення безпеки. Знову.

Клієнто-орієнтований підхід

Це здається цілком очевидним, але коли у вас є досвідчена команда розробників – вам пощастило, ви можете зосередитися на обслуговуванні клієнтів, ви можете збирати відгуки, перевіряти та покращувати багато речей у їхньому користувацькому досвіді. Це займе досить багато часу
і зусилля, оскільки це нескінченний процес. Зосередьтеся на своїх клієнтах, поділіться відгуками та дозвольте розробникам рішень безпеки виконувати свою роботу та підтримувати вашу внутрішню команду розробників. Для нас ваші відгуки та запити є хорошим способом вловити нові тенденції.

З нашого досвіду

З нашого досвіду ми мали потенційних клієнтів, які планували створити власне рішення безпеки після того, як отримали досить глибоке розуміння наших продуктів. Ми звикли посміхатися, коли маємо справу з такими клієнтами, оскільки ключові моменти, описані вище, насправді взяті з нашого досвіду
з ними. Майже всі історії зазвичай закінчуються хорошим партнерством і успішними проектами. Тепер ми підійшли до того, що ера розвитку гаражів закінчилася, і настав найкращий час – час для цього
співпрацювати.