La autenticaciónLa autenticación robusta robusta en el en el Discount Bank – el inicio de unaDiscount Bank – el inicio de una

realidad enrealidad en América Latina?América Latina?

CL@B2007 - Agosto 23 de 2007

Expositores:Sr. José Pedro Ferrer - Gerente de IT de Discount Bank Latin AmericaIng. Leonardo Berro - CISSP - Director de Security Advisor

Discount Bank L.A.Discount Bank L.A.MultiDiscount.NETMultiDiscount.NET

Implementacion Doble Implementacion Doble AutenticaciónAutenticación

Desarrollar con cada uno de nuestros clientes una Desarrollar con cada uno de nuestros clientes una relación a largo plazo, brindándoles los múltiples relación a largo plazo, brindándoles los múltiples productos y servicios financieros que necesiten en productos y servicios financieros que necesiten en las distintas etapas de su vida. las distintas etapas de su vida.

Para ello, nos basaremos en nuestra gente, a la que Para ello, nos basaremos en nuestra gente, a la que apoyaremos en su desarrollo profesional y personal, apoyaremos en su desarrollo profesional y personal, en un ambiente de trabajo en equipo que reconoce el en un ambiente de trabajo en equipo que reconoce el valor de cada una de las personas involucradas. valor de cada una de las personas involucradas.

Nuestra adhesión a la misión nos permitirá maximizar Nuestra adhesión a la misión nos permitirá maximizar el valor para nuestros accionistas, clientes y la el valor para nuestros accionistas, clientes y la sociedad en su conjunto, lo que permitirá el contsociedad en su conjunto, lo que permitirá el contíínuo nuo desarrollo del Discount Bank LA.desarrollo del Discount Bank LA.

Nuestra Nuestra MisiónMisión

Nuestra VisiónNuestra Visión

Ser reconocido como el banco que mejor Ser reconocido como el banco que mejor satisface las necesidades de sus clientes, satisface las necesidades de sus clientes, por la calidad de sus servicios, su atención por la calidad de sus servicios, su atención profesional y personalizada, por su profesional y personalizada, por su capacidad de innovación y aprovechamiento capacidad de innovación y aprovechamiento del rápido desarrollo tecnológico.del rápido desarrollo tecnológico.

19581958 Fundado como una sucursal del Fundado como una sucursal del Discount Bank (Overseas) Discount Bank (Overseas)

Limited.Limited.

19771977 Pasa a ser subsidiario de IDB New Pasa a ser subsidiario de IDB New York York y cambia el nombre a Discount Bank y cambia el nombre a Discount Bank

(Latin America) – “DBLA”(Latin America) – “DBLA”

20062006 “AA” establecido por S&P (Apr/06)“AA” establecido por S&P (Apr/06)

Breve HistoriaBreve Historia

232 Empleados232 Empleados

12 sucursales estratégicamente ubicadas en 12 sucursales estratégicamente ubicadas en

Montevideo y MaldonadoMontevideo y Maldonado

Al servicio de más de 40.000 clientesAl servicio de más de 40.000 clientes

ConformaciónConformación

ConformaciónConformación Personal BankingPersonal Banking ((Residentes & No ResidentesResidentes & No Residentes))

Características: Segmento Medio - Alto (Colectividad Judía, Características: Segmento Medio - Alto (Colectividad Judía, Profesionales, Jóvenes, Empresarios, etc.)Profesionales, Jóvenes, Empresarios, etc.)

Corporate BankingCorporate Banking ((Residentes & No ResidentesResidentes & No Residentes)) Características: Pequeñas y Medianas Empresas (Importaciones & Características: Pequeñas y Medianas Empresas (Importaciones &

Exportaciones, Empresas: Comerciales, Industriales y de Servicios)Exportaciones, Empresas: Comerciales, Industriales y de Servicios)

Servicios a empresas Argentinas, Brasileras y Chilenas principalmente.Servicios a empresas Argentinas, Brasileras y Chilenas principalmente.

Private Banking Private Banking ((Residentes & No ResidentesResidentes & No Residentes)) Se ofrecen instrumentos de inversión, brindando asesoramiento Se ofrecen instrumentos de inversión, brindando asesoramiento

integral al cliente.integral al cliente.

1er. Servicio de Windows Home Banking de Uruguay (1997)1er. Servicio de Windows Home Banking de Uruguay (1997)

26% de la cartera de Clientes activos en el servicio. El 5% de 26% de la cartera de Clientes activos en el servicio. El 5% de esta cartera accede por día a su información por este medio.esta cartera accede por día a su información por este medio.

+2000 Accesos Diarios de Clientes+2000 Accesos Diarios de Clientes

mas de 60.000 Transacciones Mensualesmas de 60.000 Transacciones Mensuales

Sistema MultiCuenta ( 1 Usuario – N Cuentas habilitadas )Sistema MultiCuenta ( 1 Usuario – N Cuentas habilitadas )

Multi-IdiomaMulti-Idioma

Administración de Sub-Usuarios y PermisosAdministración de Sub-Usuarios y Permisos

MultiDiscount.NETMultiDiscount.NET

Seguridad basada en Niveles de UsuariosSeguridad basada en Niveles de Usuarios Administración de Permisos por parte del Administración de Permisos por parte del

BancoBanco Falta de seguridad de algunos Clientes Falta de seguridad de algunos Clientes

para operativas que afectan movimientos para operativas que afectan movimientos de fondosde fondos

Seguridad Pre Seguridad Pre Autenticación RobustaAutenticación Robusta

Ayer en Home BankingAyer en Home Banking

Doble autenticaciónDoble autenticación

Capa de WindowsCapa de Windows Gran cantidad de usuarios en Active DirectoryGran cantidad de usuarios en Active Directory Imposibilidad de que el usuario cambiara su claveImposibilidad de que el usuario cambiara su clave

Capa de la AplicaciónCapa de la Aplicación Mantenimiento de usuarios en Bases de DatosMantenimiento de usuarios en Bases de Datos Encripción de claves en Base de datosEncripción de claves en Base de datos

Ayer en Home BankingAyer en Home BankingProblemasProblemas

Doble juego de Usuario/passwordDoble juego de Usuario/password Usuario memorizaba password en cacheUsuario memorizaba password en cache

Problemas al borrar el cacheProblemas al borrar el cache Almacenamiento de usuario y passwords en PC Almacenamiento de usuario y passwords en PC

públicospúblicos Alto costo de administración de usuariosAlto costo de administración de usuarios

Olvido de passwordOlvido de password Generación de nuevas clavesGeneración de nuevas claves Verificación de usuario válido ante bloqueos por Verificación de usuario válido ante bloqueos por

erroreserrores Gran cantidad de llamadas al Call CenterGran cantidad de llamadas al Call Center

Flexibilidad para el ClienteFlexibilidad para el Cliente Auto-Administración por parte del Cliente de sus Auto-Administración por parte del Cliente de sus

permisos y perfiles de usuarios dependientespermisos y perfiles de usuarios dependientes Mecanismos de Seguridad adicional no Mecanismos de Seguridad adicional no

tradicional (basado en conocimiento de una clave tradicional (basado en conocimiento de una clave conocida)conocida)

Sin acceso al Token no se puede confirmar una Sin acceso al Token no se puede confirmar una operativaoperativa

Solución con Autenticación Solución con Autenticación Robusta (TOKEN)Robusta (TOKEN)

La implementación de la tecnología Token La implementación de la tecnología Token requirió los siguientes puntos:requirió los siguientes puntos:

En el BackEndEn el BackEnd La Integración de los Tokens en la Administración La Integración de los Tokens en la Administración

de Usuarios del Sistemade Usuarios del Sistema En el FrontEndEn el FrontEnd

Integración del mecanismo de autenticación Integración del mecanismo de autenticación mediante Token en las operativas seleccionadasmediante Token en las operativas seleccionadas

MultiDiscount con TOKEN MultiDiscount con TOKEN

Nivel Limitado Nivel Limitado Consultas, Solicitud de Chequeras y Compra Venta de Consultas, Solicitud de Chequeras y Compra Venta de

MonedaMoneda

Nivel Básico Nivel Básico Nivel Limitado más Traspasos de fondos entre cuentas del Nivel Limitado más Traspasos de fondos entre cuentas del

usuario, usuario, Traspasos a terceros dentro del Discount BankTraspasos a terceros dentro del Discount Bank

Nivel Básico c/TransferenciasNivel Básico c/TransferenciasNivel Básico más Transferencias a Bancos de Uruguay o del Nivel Básico más Transferencias a Bancos de Uruguay o del Exterior limitado por un tope máximo diario Exterior limitado por un tope máximo diario

Nivel Avanzado Nivel Avanzado Consultas, Solicitud de Chequeras, Compra Venta de Consultas, Solicitud de Chequeras, Compra Venta de

Moneda, Moneda, Traspasos de fondos entre cuentas del usuario, Traspasos de fondos entre cuentas del usuario, Traspasos a Traspasos a terceros dentro del Discount Bank, Transferencias terceros dentro del Discount Bank, Transferencias sin límitesin límite

Perfil de UsuariosPerfil de Usuarios

MultiDiscountMultiDiscountBackEndBackEnd

Se integró al sistema de administración de usuarios, la gestión Se integró al sistema de administración de usuarios, la gestión del stock de Tokens del Banco. del stock de Tokens del Banco.

Con ello se permite al momento de afiliar un cliente o cambiar Con ello se permite al momento de afiliar un cliente o cambiar su perfil, preguntarle con qué cuentas de su grupo desea su perfil, preguntarle con qué cuentas de su grupo desea operar operar con el Token.con el Token.

Se almacena una tupla que identifica para cada cuenta del Se almacena una tupla que identifica para cada cuenta del cliente:cliente:

NOMBRE DE USUARIO + CUENTA HABILITADA + NRO. DE SERIE DEL NOMBRE DE USUARIO + CUENTA HABILITADA + NRO. DE SERIE DEL TOKENTOKEN

Seguidamente se corre un proceso de inicialización de Token que lo Seguidamente se corre un proceso de inicialización de Token que lo deja operativo.deja operativo.

Hoy en Home BankingHoy en Home Banking

Autenticación con Usuario y password sólo para Autenticación con Usuario y password sólo para consultas básicas (igual a otros servicios)consultas básicas (igual a otros servicios)

Requerimiento de Token sólo para transacciones críticas Requerimiento de Token sólo para transacciones críticas (manejo de fondos)(manejo de fondos)

VentajasVentajas Claves dinámicas, únicas e irrepetiblesClaves dinámicas, únicas e irrepetibles Mínimo período de validez del código generadoMínimo período de validez del código generado Fácil de usar (solo oprimir un botón)Fácil de usar (solo oprimir un botón) No es necesario recordar códigos ni clavesNo es necesario recordar códigos ni claves Fácil y rápida implementación e integración a aplicaciones ya Fácil y rápida implementación e integración a aplicaciones ya

existentesexistentes Permite autenticar desde la propia aplicación mediante el Permite autenticar desde la propia aplicación mediante el

llamado de rutinas encapsuladasllamado de rutinas encapsuladas Integrable a distintas plataformasIntegrable a distintas plataformas Elimina posibilidades de PHISHINGElimina posibilidades de PHISHING

Pantalla de bienvenida a

MultiDiscount.NET una vez autenticado

el cliente

Ejemplo de Ejemplo de Operativa de Operativa de

Transferencias Transferencias al Exterior al Exterior

mediante uso mediante uso de TOKENde TOKEN

FrontEndFrontEnd

Cuando un cliente accede a una operativa definida por el banco, para Cuando un cliente accede a una operativa definida por el banco, para que requiera autenticación adicional mediante Token, se le presenta que requiera autenticación adicional mediante Token, se le presenta una pantalla similar a la siguiente :una pantalla similar a la siguiente :

MultiDiscount.NETMultiDiscount.NET

En caso de no ingresar un código válido, se puede reintentar En caso de no ingresar un código válido, se puede reintentar hasta un máximo de 3 veces.hasta un máximo de 3 veces.

Seguidamente luego del 3er. reintento , se bloquea Seguidamente luego del 3er. reintento , se bloquea administrativamente el usuario, el cual debe contactar al Banco administrativamente el usuario, el cual debe contactar al Banco para su reactivación.para su reactivación.

MultiDiscount.NETMultiDiscount.NET

ProblemasProblemas

Posición correctaPosición correcta

Posición erróneaPosición errónea

LecturaLectura

342601342601

LecturaLectura

1092hE1092hE

Transacciones via FaxTransacciones via Fax

La operativaLa operativa

Los clientes envían faxes, los mismos son digitalizados Los clientes envían faxes, los mismos son digitalizados automáticamente y de la misma forma ingresan a un automáticamente y de la misma forma ingresan a un Workflow.Workflow.

El problemaEl problema

Los niveles de autenticación e integridad, se degradan, como Los niveles de autenticación e integridad, se degradan, como consecuencia de los cambios tecnológicosconsecuencia de los cambios tecnológicos

La SoluciónLa Solución

El Token es la solución, que permitirá autenticar al usuario y El Token es la solución, que permitirá autenticar al usuario y garantizará la integridad del contenido del documento enviado.garantizará la integridad del contenido del documento enviado.

IngresoIngresoWorkFlowWorkFlow

La OperativaLa Operativa:

El cliente envía por fax, una carta orden. El cliente envía por fax, una carta orden. A la misma le agrega una clave que A la misma le agrega una clave que autentique el origen del mismo.autentique el origen del mismo.

El problemaEl problema

El nivel de autenticación es muy bajo, ya que es una El nivel de autenticación es muy bajo, ya que es una clave creada a partir de una tabla fija y tampoco clave creada a partir de una tabla fija y tampoco garantiza que el contenido no fue modificado.garantiza que el contenido no fue modificado.

CLIENTECLIENTE

OFFICEROFFICER

VERIFICAVERIFICA

Token con Firma Token con Firma ElectrónicaElectrónica

•Autenticación robusta.

•Teclado reducido.

•Fácil de utilizar.

•Generador de Firma Electrónica a partir de múltiples campos.

El dispositivo consta de un teclado numérico, en el cual se pueden ingresar como parámetro del hash, los campos involucrados en la transacción, que pueden ser por ejemplo: número de cuenta que se debita, número de cuenta a ser acreditada, importe de la operación, fecha o fecha valor y un número fijo o PIN.

¿ Consultas ?

¡ Gracias !