PSD2 bezpečnostní audit a realizace požadavků z RTS k SCA v praxi

Ondřej Ulvr

Bachelor's thesis

PSD2 security audit and implementation of requirements from RTS on SCA in practice

Abstract:

Tato bakalářská práce je zaměřena na téma PSD2 bezpečnostního auditu a realizaci požadavků vyplívajících z RTS v praxi. Cílem práce je charakterizovat PSD2 audit a nalézt důvod jeho provedení, popsat jednotlivé fáze auditu a to, jak jsou požadavky vyplívající z RTS realizovány v praxi. Cíle je dosaženo využitím metody case study. V úvodu práce je popsána struktura práce, jsou definovány cíle a dále je uveden kontext, tedy problematika PSD2, a to hlavně Regulační technické standardy pro silné ověření klienta (RTS SCA), které stanovují řadu požadavků, které musí poskytovatelé platebních služeb uplatňovat za účelem provádění bezpečnostních opatření týkajících se zejména silného ověření klienta a zpřístupnění dat svých klientů třetím stranám prostřednictvím tzv. API rozhraní (Application Programming Interface). RTS SCA je zásadní dokument pro provádění bezpečnostního auditu, společně s dalšími vyjádřeními agentury EBA (European Banking Authority), kterými se poskytovatelé musejí řídit. Dodržování požadavků, obsažených v RTS k SCA musí být kontrolováno nezávislým auditem, který musí provádět odborníci na IT bezpečnost. V další části je popsána kvalitativní metoda výzkumu case study (případová studie), kterou je tato práce prováděna. Metoda je rozdělena do šesti fází, a to Plan, Design, Prepare, Collect, Analyze a Share. Ve třetí části jsou uvedeny výsledky získané metodou case study, a to konkrétně odpovědi na základní výzkumné otázky položené ve druhé kapitole, a to tedy „Jak probíhají PSD2 audity?“ a „Jak jsou požadavky vyplívající z RTS realizovány v praxi?“. V poslední části jsou shrnuty výsledky auditu, je zhodnocen soulad v postupu při auditech a také míra dodržení požadavků uvedených v RTS. V závěru je diskutováno naplnění cílů práce.

Abstract:

This bachelor thesis is focused on the topic of PSD2 security audit and implementation of requirements arising from RTS in practice. The goals of the work are to characterize PSD2 audit and find reason for its execution, to describe phases of PSD2 audit and to answer how the requirements arising from the RTS are implemented in practice. The goal is achieved by using the case study method. The introduction part describes the structure of the work, defines the objectives and the context, which means the topic of PSD2, especially the Regulatory Technical Standards for Strong Customer Authentication (RTS SCA), which set a number of requirements that payment service providers must apply to implement security measures concerning, in particular, strong client authentication and making its clients' data available to third parties via an API (Application Programming Interface). The RTS SCA is an essential document for conducting a security audit, together with other statements and comments of EBA (European Banking Authority) that providers must follow. Compliance with the requirements contained in the RTS SCA must be checked by an independent audit, which must be performed by IT security expert. The next part describes the qualitative research method Case study, which is used in this work. The method is divided into six phases – Plan, Design, Prepare, Collect, Analyze and Share. The third part presents the results obtained by the Case study method, which means answers to the basic research questions from the second chapter, namely "How are PSD2 audits done?" and "How are the requirements arising from the RTS implemented in practice?". The last part summarizes the results of the audit, evaluates the compliance with the audit process and the extent of compliance with the requirements set out in the RTS. In the end, the fulfillment of the goals of the work is discussed.

Keywords

RTS, Case study, bazpečnost, PSD2, SCA, API, audit

Keywords

PSD2, RTS, SCA, API, Case study, audit, security

Language used: Czech

Date on which the thesis was submitted / produced: 18. 11. 2020

Thesis defence

• Date of defence: 16. 6. 2021
• Supervisor: Tomáš Bruckner
• Reader: Tomáš Huml

Vysoká škola ekonomická v Praze

Bachelor programme / field:
Aplikovaná informatika / Aplikovaná informatika