Betalningsleverantörens ledningssystem för säkerhet, processer och dataskydd spelar en avgörande roll för att minska risker, skydda känslig information och ge företag kontroll över sin egen transaktionsdata.
– När man diskuterar säkerheten kring företagskort och betalningar ligger fokus ofta på vad företaget och kortinnehavaren själva kan göra för att minimera risken för bedrägerier. Minst lika viktigt är att säkerställa att betalningsleverantören lever upp till sina säkerhetsåtaganden, säger Thomas Eriksson, Chief Security Officer på AirPlus.
Minst lika viktigt är att säkerställa att betalningsleverantören lever upp till sina säkerhetsåtaganden
Han förklarar att dagens företagskort generellt är väldigt säkra, vilket till stor del beror på den ständigt pågående digitaliseringen i samhället.
- Digitala betalningssätt har visserligen medfört nya risker kopplade till bedrägerier som exempelvis nätfiske, men det har också gjort att de flesta banker och finansiella institutioner jobbar mer proaktivt med att säkra sina processer och system.
Kollegan John Mossblad, som arbetar med bedrägeribekämpning på AirPlus håller med och tillägger:
- EU:s andra betaltjänstdirektiv, PSD2, som kom för några år sedan, med bland annat kravet på stark kundverifiering vid kortbetalningar har också varit mycket viktigt i kampen mot den ekonomiska brottsligheten, säger han.
Vilka rutiner och system som olika betalningsleverantörer använder kan dock variera. Så vad kan du som företagare göra för att få svar på om en betalningsleverantör uppfyller de säkerhetskrav som ni behöver?
John och Thomas lyfter fram fem viktiga områden som organisationer bör ta hänsyn till när de utvärderar säkerheten hos en betalningsleverantör. Det första området är grundläggande, medan de övriga fungerar som ett komplement för företag som vill göra en mer fördjupad granskning av leverantören.
Är ni ISO IEC 27001:2022 certifierade?
ISO/IEC 27001:2022 är en internationell standard och ett ramverk för hur organisationer bör hantera information och data, för att säkerställa att hot, sårbarheter och affärsrisker regelbundet identifieras, utvärderas och hanteras. För att behålla certifieringen krävs årliga, uppföljande revisioner, både interna och externa.
Hur skyddar ni våra transaktioner?
-Hur man följer en kunds transaktioner kan skilja mycket mellan olika betalningsleverantörer. Viktigt är att monitoreringen sker i realtid, dygnet runt, oavsett var betalningen sker. Vilken typ av system används och hur stor del av arbetet sker manuellt respektive automatiskt? En mix av båda arbetssätt är bra, där det ena kan komplettera det andra. Vilken typ av beteenden följer man och hur ser rutinen ut om man ser ett avvikande beteende i en transaktion?
Hur robusta är era system?
- Betydelsefullt är även att få svar på hur motståndskraftiga betalningsleverantörens egna system är för exempelvis en cyberattack? Jobbar man exempelvis regelbundet med att uppdatera och testa sina system och vilka rutiner och processer finns för att snabbt komma igång efter ett eventuellt avbrott? Be dem också beskriva hur de proaktivt arbetar för att förhindra dessa typer av angrepp.
Hur hanteras roller och behörigheter?
En stabil process för hantering av behörigheter är en viktig del av ett effektivt säkerhetsarbete. Ta reda på hur roller och behörigheter tilldelas, granskas och uppdateras. Tillgång till kundinformation bör baseras på affärsbehov, och regelbundna översyner bör genomföras för att säkerställa att endast behöriga medarbetare har tillgång till känslig information och kritiska system.
Hur arbetar ni med partners?
-De flesta betalningsleverantörer har någon form av samarbete med en underleverantör. Det innebär att det finns ytterligare en part som har tillgång till exempelvis er transaktionsdata. Ta därför reda på vilka partners betalningsleverantören samarbetar med och hur man skyddar information och tjänster kopplat till dessa. Låt dem också redogöra för hur de följer upp och säkerställer att partners leverans efterlevs.
