Největší hrozbou internetového bankovnictví není uživatel

V pondělí 4. května 2015 vyšel v MF DNES velký článek Bankovní účty v ohrožení: mafie se v Česku učí krást a podobné články se objevují i jinde.

Již v roce 2003, konkrétně 15. 4. 2003, jsem vydal zprávu věnovanou internetbankingu. Tehdy i dnes tvrdí banky a jejich partneři z některých IT firem, že nejslabším článkem jsou klienti. Banky a někteří IT konzultanti říkají, že platící uživatel je hrozbou pro jinak dokonalý systém internetového bankovnictví. To je absurdní a chybný názor.

Klient svěřil bance své peníze, banka mu nabídla službu internetového bankovnictví a následně banky a jejich IT Security poradci tvrdí o platících zákaznících, že jsou hrozbou pro jejich službu. Proč tedy banka takovým klientům internetové bankovnictví nabízí?

České banky přenášejí odpovědnost na slabšího

Již v roce 2003 jsem jasně hovořil o tom, že internetbanking je služba banky. Klient svěřil bance své peníze a ona je povinna klientovi tyto peníze ochránit. Banky to jsou schopné zajistit v případě obsluhy uživatele na přepážce. S problémy, ale funguje to v případě platebních karet, takže to musí fungovat i v případě internetového bankovnictví.

Skutečnost, že banka si je vědoma své povinnosti ochránit klientovi peníze, je běžná všude v civilizovaném ve světě. Například v USA, Kanadě nebo Velké Británii vydávají banky garance pro uživatele internetového bankovnictví. Jak je zřejmé například z veřejného prohlášení a garancí banky Barclays, garancí Wells Fargo či z garancí TD Bank, tyto banky a další v USA, Kanadě a Velké Británii jsou si plně vědomy své odborné a společenské odpovědnosti. Banky si uvědomují, že běžný uživatel má své limity, jak v oblasti znalostí z bankovnictví, tak v tomto případě především v oblasti IT a bezpečnosti IT. V zahraničí to funguje, tak proč ne v České republice?

ICT technologie nejsou dokonalé, ale tato situace je víceméně stejná nebo velmi podobná ve všech zemích. Problém není ani v zájmu počítačových podvodníků. Pro ně je zajímavější anglicky mluvící prostředí od Kanady přes USA, Velkou Británii, JAR až po Austrálii. I znalosti běžných uživatelů jsou ve všech zemích dost podobné.

Hlavní problém je v atmosféře, která okolo IT a bezpečnosti IT za posledních 10–15 let v ČR vznikla. To vyslovuji s naprostou vážností a s 20 lety zkušeností z oboru ICT bezpečnosti v ČR.

Když jsem v roce 2003 vydal svoji předchozí zprávu věnovanou bezpečnosti internetového bankovnictví, vyjádřil se k mému prohlášení zástupce IT firmy a pan profesor a soudní znalec v oboru IT. Odmítavý postoj zástupce IT firmy naprosto chápu, jeho zájmem je udržet si obchod a generovat zisky. V případě pana soudního znalce v oboru počítačové kriminality byla a je situace složitější. Pan znalec mne tehdy obvinil z toho, že jsem chtěl svým prohlášením poškodit dobré jméno českých bank. Paradoxní na celé situaci je skutečnost, že od té doby uplynulo 12 let, banky se s problémy nedokázaly úspěšně vypořádat a odpovědnost přenášejí na toho nejslabšího. (Pozn. red.: Šlo o Vladimíra Šišku, bývalého náměstka ministra práce a sociálních věcí, který byl následně obviněn z trestné činnosti.)

Společenská odpovědnost bank

Pokud by si banky plně uvědomovaly svoji společenskou odpovědnost, mohly za uplynulých 12 let v oblasti ICT bezpečnosti mnoho změnit. Stačilo by například sebevědomé jednání s dodavateli SW, případně nastavení obchodních podmínek podobně jako u Barclays nebo WF. To se nestalo.

Banky se v České republice drží svých původních názorů z roku 2003 a starších. Od té doby se hodně změnilo v oblasti ICT, nastoupily chytré telefony a zdokonalily se i útoky počítačových podvodníků. Nezměnil se přístup tvůrců SW a nezměnily se a těžko se změní možnosti a schopnosti běžných uživatelů. Banky v zahraničí to dávno pochopily a jasně prohlásily, že si jsou vědomy své odpovědnosti za provozovanou aplikaci.