协同防御能力是支付安全的关键

　　记者：Visa有一句名言，致力于成为适用于任何人和任何地方的最佳支付方式。作为支付行业的领头企业的风控负责人，首先请您谈谈电子支付为什么居于那么不可替代的位置。

　　Michael E. Smith：电子支付需求在全球范围内迅猛增长。从大城市到小乡村，电子支付可以满足人们享受金融服务、进行网上购物和转账等需求，不但能给人们提供更多选择，还能促进经济增长。就拿Visa来讲，致力于成为适用于任何人和任何地方的最佳支付方式。为此，我们的品牌承诺是为世界各地的客户提供全球受理、可靠、方便和安全的服务。我们与支付领域的各方紧密合作，从持卡人到商户，从金融机构到服务提供商，从监管者到执法机构。我们之所以能够赢得客户信赖，正是靠着精诚合作、共享信息和协同防御的能力。

　　电子支付需求迅猛发展的另一个重要原因是可以免去使用现金和支票的烦恼，Visa在全球200多个国家和地区为消费者、企业、金融机构和政府提供电子支付业务。我们的支付平台能确保交易安全可靠，支持新型付款方式，在交易量激增的情况下依然能保证交易过程快速可靠。截至2013年9月30日的前四个季度内，Visa全球网络共处理了875亿笔总交易 6.9万亿美元总交易额。这些交易均是通过全球22亿张卡片、数以千万计的受理地点、200万台ATM自动提款机和14,600家金融机构共同完成。所有这些交易由VisaNet支持的一系列有力的处理服务进行支撑，包括核心交易处理、风险管理和信息类服务等。我们通过这些工具，帮助客户和大型支付机构处理当今支付形势下遇到的问题。　　   

　　记者：支付安全越来越受到人们广泛关注，请您谈谈日益增加的无卡交易 (CNP)欺诈风险应当如何防范。

　　Michael E. Smith：无论什么风险，加强支付基础设施建设是关键。尽管支付系统环境不断演变，Visa采取的风险管理策略是以不变应万变。确保Visa支付系统安全、便捷、可靠是我们至高无上的追求。我们的风险管理策略的核心围绕5点内容：防范：在欺诈活动发生前采取措施，防范欺诈并将其控制在最小范围内。保护：在支付系统中存储、处理或传输卡内数据时，保护容易被盗的卡片数据。响应，即监控并管理欺诈，有效处理并响应各类问题，将影响控制在最小范围内。推进：推进风险防控策略的制定，为创新产品和实体研发提供更适合的风险防控策略。培养：积极培养、营造促进客户和支付系统参与者协作的环境，以此促进信任与合作。

　　中国的电子商务业迅猛发展，鉴于互联网用户不断增多，宽带覆盖范围越来越广，智能手机覆盖率不断提高，以及平均可支配收入的增长，可以看出，中国的电子商务市场还远未饱和。中国互联网络中心（CNNIC）和爱点击互动亚洲有限公司(iClick Interactive Asia Limited)《2013年中国电子商务分析报告》研究表面，到2020年，中国的网购交易规模将达到2.5万亿人民币，约是2012年的3倍。而其它研究表明，到2015年，中国有望超过美国，成为全球第一大网购市场。然而，科技在丰富购物渠道的同时，也同时增加了犯罪机会。

　　从全球趋势越来越明显看到，欺诈由伪造卡向无卡交易(CNP)欺诈转变。怎样面对日益增加的无卡交易 (CNP)欺诈风险？其实运用适当的工具，就能防止欺诈者借全球电子商务业的快速发展图谋不轨。巧用技术可以使消费者和商户之间建立互信，促进商业增长。比如我们致力于开发工具，方便发卡行、收单行和商家更好的做出授权决定。

　　道高一尺，魔高一丈。欺诈者的欺诈手段日益多样化，我们开发的工具也日趋完善。例如，Visa高级授权和Visa风险管理工具（Visa Advanced Authorization and Visa Risk Manager）如今可以从市场、渠道、产品类型和欺诈类型等角度审查欺诈，审查模型由2005年的2个增加到如今的16个，能够分析的数据元素也从2005年的40个增加到今天的500个。我们的三维安全平台Visa验证服务（Verified by Visa），支持持卡人实时验证，目前也在中国的银行推广使用。事实上，多家银行已对该平台进行了灵活部署。Visa验证服务旨在为发卡行和商户/收单行处理网上购物交易时提供多一层安全保护。Visa的全资企业CyberSource还推出了一款商户欺诈检测工具决策管理工具(Decision Manager)。为阻止电子商务欺诈行为，决策管理工具专门设计了风险评分服务。例如，CyberSource可以通过分析持卡人是试图从靠近其账单地址的地点进行网上购物，还是从异国他乡购买，来帮助客户发现潜在的欺诈行为。　　 

　　记者： 数据泄露案件日益增加且形式多样也困扰着支付行业，请您谈谈这方面应当如何防范。

　　Michael E. Smith：数据泄露案件的确日益增加且形式多样。不容置疑，欺诈者正在不断适应新环境，改变攻击目标，扩大欺诈范围。就算支付系统参与者加大防御力度，欺诈者还是会从支付系统的最薄弱环节寻找突破口，诈骗方法也是从简单到复杂。

　　过去，持卡人和商户是诈骗犯的主要目标，如今，欺诈者正在研究新方法对付会员银行和处理商。过去三年来，随着欺诈总数的增长，各类实体遭受欺诈的数量都在激增。过去，进行欺诈的一度以个人和本地犯罪集团为主，如今，诈骗多由成熟的国际犯罪团伙精心策划。 过去，欺诈行为一度集中在盗窃个人卡片，如今，诈骗多利用网上系统的漏洞通过复杂的跨境计划来实施。

　　与此同时，从大多数数据泄露案例中我们已经看到，遭到入侵的实体其实缺乏基本的安全措施。事实上，在过去五年间，常见的攻击方法并没有太大改变。看似复杂的攻击其实经常利用系统的破绽，用相当简单的方法进行。例如，许多攻击者经常使用一种名叫资料隐码攻击（SQL-injection）的方法，入侵公司网站所在服务器上的数据库。这一众所周知的攻击方法在1998年首次发现，却依然在受攻击实体常见漏洞中榜上有名。 尽管数据泄露的方法在演变，许多方法仅涉及低到中等难度的攻击，不足为惧，我们有对付它们的工具。而真正需要我们警惕的，是少数主要的攻击行径对整个支付系统影响巨大，必须加以预防。

　　数据泄露问题开始向静态数据渠道转移。各地情况不尽相同，在北美，EMV采用率相对较低，数据泄露主要集中在实体企业。而在亚太地区，大多数有据可查的数据泄露集中在电子商务企业。由于我们积极推动，美国市场已经扩大了EMV的使用范围，自2015年10月1日起，美国将被纳入全球责任转移政策，这一政策将适用于所有在美国销售点进行的跨境、国内信用卡及国内借记卡交易。

　　无论在中国和全球，visa形成了五个方面实施策略。采取多元化的方式保护支付系统。我们的方法全面有效，为支付环节的各类参与者处理风险事件。一是通过支付卡行业（PCI）标准，确保商户和处理商严格遵守各项安全标准。二是不断改进工具，帮助发卡行监控在ATM自动提款机上进行的诈骗。三是Visa的点对点加密解决方案，Visa商户数据安全点对点加密，使得犯罪分子无法窃取被盗的持卡人数据，极大降低了数据泄露的风险和影响，使商户可以简化安全协议。

　　四是Visa仍然致力于将EMV芯片技术作为有效的安全层，在全球范围内打击假卡欺诈行为。EMV是处理假卡问题唯一经过验证且广泛部署的可扩展解决方案。

　　五是我们提倡采用标记化技术(Tokenization)，尤其是和数据字段加密一起使用，作为全面数据安全计划的组成部分，通过减少系统内的卡片敏感数据来提高商户安全性。　　 

　　记者：那么在支付行业新参与者和新服务对支付体系带来新的风险又该如何面对呢？

　　Michael E. Smith： 应当说第三方支付代理在支付系统中广泛出现，给Visa及客户带来了信誉和财务双重风险。因此，过去两年来，Visa对第三方代理的管控力度也大大加强了。

　　第三方机构的增加给系统带来风险和复杂性。有三股力量促使第三方代理迅猛增长：一是客户越来越多地外包支付类服务，如账户管理等日常运作服务。商户也招揽第三方代理，这样他们就能专注于制定战略规划，在竞争激烈的市场中进行良好定位和定价，以此来增加销售额。二是支付行业持续发展，吸引了更多投资者和大量新参与者的涌入。三是新的第三方代理商业模式已经出现。诸多技术创新为消费者和零售商提供激动人心的崭新交易方式，mPOS就是很好的案例，但这些创新也可能带来新的风险。我们采取了诸多努力，如通过Visa服务提供商注册等计划，提升支付生态系统中参与者的公开性和透明度。我们还通过培训、最佳实践和威胁智能等认知活动，帮助银行客户提高代理风险控制能力。

　　虽然大多数第三方代理拥有健全的风险控制机制，但几个坏苹果就足以侵蚀人们对支付系统的信任。管控不力可能导致代理和支付服务提供商（PSP）为从事非法活动的商户收单而浑然不知。过度依赖第三方，缺乏管理层监管可能会导致合规过失，将机构置于一系列风险之下。例如，银行将信用卡印制业务外包给卡片供应商，这就意味着将客户数据托付给供应商，会给银行信誉带来一系列隐私和安全风险。践行风险管理最佳实践可以降低上述风险，内容包括进行适当的尽职调查，制定全面的风险管理程序，确保高管和董事会进行适当监督，从企业最高层开始着力，培养浓厚的风险管理文化，建立并审查强有力的监管报告，加强与第三方代理风险相关的员工培训，跟踪消费者投诉，对第三方代理行使审计权等。

　　处理新参与者和新服务给支付系统带来的新风险。一是我们创建了服务提供商注册平台(Registry of Service Providers)。在这一平台，第三方代理可以声明自己遵守Visa Inc.准则和行业安全标准，并向全球潜在客户推广。二合作是应对新支付技术带来的风险的另一个关键策略。三是Visa还推出了全球品牌保护计划（Global Brand Protection Program）和合格服务提供商计划（Qualified Service Provider Program），处理有问题的实体，同时支持负责任的创新。四是Visa合格服务提供商（QSP）计划在该计划框架内，中国的收单行只能使用经Visa批准的支付服务提供商来提供支付类服务。自该计划推出之日起，已有33家中国的支付服务提供商提交合格申请，Visa至今已批准十家，还有两家正在接受审查。 　 

　　总之，我想强调的是，安全是一项共同承担的责任。支付系统风险应对策略的关键一环就是建立信任与伙伴关系。行业参与者齐聚一堂，交流风险发展趋势，分享最佳实践，建立合作关系，这些对在支付系统建立信任至关重要。