Банковское обозрение

Финансовая сфера


20.02.2020 Best-practice
Кто ты?

Как распознавание лиц повлияло на безопасность процессов в двух российских банках


Никита Рогозин
Генеральный директор компании «Стахановец»

Никто не следил

Летом 2019 года на горячую линию банка из топ-20 поступил звонок. Разгневанный клиент из отдаленного российского региона недоумевал, почему в разгар рабочего дня дверь дополнительного офиса банка открыта, но никого из операционистов нет на месте. Вопрос не застрял в недрах колл-центра, а был доведен до сведения региональных руководителей, HR-специалистов и сотрудников службы безопасности.

В банке покрупнее сотрудник обратил внимание на то, что его коллега в моменты отсутствия руководителя в кабинете  переходит от собственного компьютера к рабочему месту начальника и что-то делает с его терминалом. Такое поведение коллеги показалось ему подозрительным. И не зря: сотрудник с компьютера руководителя подтверждал переводы денег по цепочке от одной фирмы-однодневки к другой, что вызвало массу вопросов регулятора к банку, где работал сотрудник.

Эти два случая объединяет проблема управления идентификацией сотрудников, или identity management. Она наиболее болезненна для банков, которые располагают развитой филиальной сетью. Ведь в небольших офисах, особенно в регионах, может не оказаться систем контроля и управления доступом, камер наблюдения, бдительных коллег и высокой сознательности сотрудников. С этой проблемой, не сговариваясь, к нам обратилось несколько банков. Это вдохновило нас на создание функциональности, которая фактически стирает границы между информационной и физической безопасностью бизнеса.

Ищем облик

Какое-то время банки пытались разобраться с управлением идентификацией своими силами. Дополнительные пароли, токены, NFC-метки, магнитные карты, использующиеся в рамках применения СКУД, отпечатки пальцев и даже сканирование сетчатки глаза — было испытано многое. Одна технология требовала специального оборудования, другая — надежных каналов связи с высокой пропускной способностью, третья и вовсе показывала сомнительную эффективность. Какой толк от карты управления доступом, если ее, как и дополнительный пароль, можно передать другому сотруднику?

Идентификацию сотрудников можно осуществлять в фоновом режиме и не требовать от них никаких дополнительных действий

Чем внимательнее заказчики изучали возможные решения, тем понятнее становился облик будущего решения. В идеале, оно должно не требовать существенной модернизации инфраструктуры ПК, не нагружать каналы связи (но при этом обязано поддерживать работу как на локальных ПК, так на терминалах и инфраструктуре виртуальных декстопов) и не усложнять существующие бизнес-процессы — операционистам, как правило, и без того есть чем заняться.

В рамках этих обстоятельств созрел технологический облик такой системы. Данные для распознавания можно брать с веб-камеры, которой практически всегда оснащен каждый современный компьютер. Идентификацию сотрудников можно осуществлять в фоновом режиме и не требовать от операционистов никаких дополнительных действий. И, конечно, крайне важно обеспечить работу системы исключительно в рамках IT-контура не только банка в целом, но и (при необходимости) конкретного филиала или территориального отделения. При этом обмен данными между местным офисом и головной организацией тоже должен быть.

Совместные уроки

Реализация функциональности оказалась делом техники, но все равно мы потратили на нее несколько месяцев. Вот какие уроки в создании решения мы вынесли вместе с клиентами:

  • Точность распознавания биометрического модуля “Стахановца” — 95%. Практика показала, что нередко эта точность избыточна. Например, операционисты жаловались на сложности с распознаванием лица из-за новой модели очков. Пришлось сделать точность настраиваемой. Нижняя планка по умолчанию — 85%. Как правило, такая точность не докучает ложными тревогами.
  • Обмануть систему с помощью фотографий в реальную величину, макияжа и других ухищрений не удалось.
  • Консалтинг при внедрении нашего решения обязателен. На переговорах мы принципиально отстаиваем это право, чтобы не умножать хаос из-за неидеальных процессов. Мы поясняем, каким будет результат, и даем рекомендации по оптимальному взаимодействию разных служб. Скажем, как все будет работать, если выявится инцидент.
  • Сроки внутреннего расследования инцидентов сократились с 3–4 месяцев до 7–10 дней. Если раньше расследователи тратили много времени на сбор первичной информации и на ее проверку (потому что часть данных поступала к ним в искаженном виде), то теперь они задают конкретные вопросы конкретным людям. Это экономит время.

Косвенный эффект от внедрения

Заказчики также отмечают косвенный эффект от внедрения. Его можно сравнить с психосоматическими реакциями организма в физиологии либо с проявлением теории разбитых окон. Сотрудники отлично знают, что даже такой мелкий (как раньше казалось) проступок, как передача карточки коллеге для фиктивной отметки прихода в офис, теперь будет разоблачен. Поэтому они небезосновательно уверены, что более существенные нарушения — от работы за чужим компьютером до конкурентной разведки или действий в интересах «обнальщиков» — уж точно будут выявлены.




Сейчас на главной