Wraz z oprogramowaniem ransomware największym zagrożeniem dla cyberbezpieczeństwa firm o przychodach poniżej 500 milionów dolarów są oszuści, a znaczna część tego zagrożenia dotyczy działu zobowiązań (AP) i oszustw płatniczych.

Mam jednak dobrą wiadomość. Obecnie techniki zapobiegania oszustwom, które najlepiej sprawdzają się przeciwko zewnętrznym grupom przestępczym i nieuczciwym pracownikom, są w większości takie same. Przedstawię najlepsze sposoby działania, zaczynając od niezbędnego kontekstu, a następnie przechodząc do strategii i taktyk, które zapewnią bezpieczeństwo środków Twojej firmy.

Skrócona historia kontroli finansowych

Od początku handlu ludzie oszukiwali się nawzajem. Rozpowszechnienie księgowości podwójnego zapisu, rachunkowości śledczej i regulacji handlowych pomaga opowiedzieć tę samą historię ludzkości: zawsze znajdą się ludzie, którzy ukradną wszystko, czego nie przytwierdzono na stałe.

W ciągu ostatniego stulecia księgi rachunkowe stały się niezwykle złożone dzięki technologii, globalizacji i bardziej skomplikowanemu otoczeniu prawnemu. Wraz ze wzrostem złożoności rozwijały się również metody kradzieży pieniędzy przez nieuczciwych pracowników. Środowiska księgowych i powiązane z nimi organy regulacyjne zareagowały, opracowując kontrole wewnętrzne, które od lat 60. XX wieku zyskiwały na znaczeniu i obecnie stanowią kluczowy element sprawnie zarządzanej firmy. 

W ciągu ostatnich 15 lat zagrożenia zewnętrzne znacznie wzrosły. Rosnące wyrafinowanie przestępców, coraz większe znaczenie technologii biznesowych oraz przejście na szybkie płatności elektroniczne przyczyniły się do rosnącego globalnego sukcesu oszustw, wymuszeń i kradzieży wymierzonych w firmy.

Telefon przyszedł z wnętrza domu

Najskuteczniejszym sposobem zapobiegania tym nowym zagrożeniom zewnętrznym jest zwiększenie nadzoru nad pracownikami, ponieważ uwierz mi — największe zagrożenie pochodzi „z wnętrza domu”. 

„Chcesz powiedzieć, że moi pracownicy są niegodni zaufania?”

Nie — nie zawsze i nie celowo.

Wcześniej ryzyko oszustw płatniczych wynikało głównie z połączenia możliwości, potrzeby i dostępu pracownika. Pracownik mający dostęp do środków firmy może ulec pokusie wykorzystania tej sytuacji, zwłaszcza jeśli rozwiązuje to jego poważny problem. Następnie oszukuje firmę, a jeśli nie zostanie przyłapany, często przeradza się to w nawyk, od którego nie potrafi się uwolnić.

Rozwój oszustw zewnętrznych dodaje kolejny czynnik: podatność Twoich pracowników, którzy mają dobre intencje, na manipulację. „Hakowanie” nie jest żadną technologiczną magią, która może w cudowny sposób wyprowadzić pieniądze z konta bankowego; po prostu zapewnia już działającemu w złej wierze oszustowi dostęp poprzez wprowadzenie w błąd ludzi lub systemów.

Choć możesz szkolić pracowników, aby byli bardziej wyczuleni na ataki, rozszerzenie kontroli finansowej na ich pracę i systemy jest jednym z najlepszych sposobów przeciwdziałania oszustwom pochodzącym z któregokolwiek źródła.

Ogólne strategie

W miarę ewolucji trendów związanych z oszustwami tradycyjne kontrole i kontrole wewnętrzne połączyły się w trzy główne strategie przeciwdziałania oszustwom płatniczym.

Jak w przypadku każdej inwestycji, zawsze zaczynaj od solidnego zarządzania ryzykiem: jakie zagrożenia są najbardziej prawdopodobne i najbardziej szkodliwe dla Twojej firmy?

1. Ogranicz pojedyncze punkty awarii

To inżynieryjna wersja naszego starego znajomego, czyli rozdziału obowiązków (SoD), która rozszerza tę koncepcję poza ludzi, obejmując systemy i narzędzia. Rozważ klasyczny przypadek rozdziału obowiązków: jeśli jeden pracownik może i wypłacać środki, i edytować zapisy w księdze głównej, jest to niebezpieczne; stanowi on pojedynczy punkt awarii w zakresie oszustw płatniczych. W końcu wystarczyłaby awaria jednej rzeczy (tego pracownika i jego etyki), aby oszustwo zakończyło się powodzeniem.

W obliczu współczesnych zagrożeń pojedynczym punktem awarii jest również wszystko, co pozwala się pod niego podszyć: jego hasło, laptop, a nawet przejęcie jego poczty elektronicznej.

Eliminuj pojedyncze punkty awarii, rozdzielając je między zespół i dodając kolejne etapy.

Ta dyscyplina sięga głęboko. W dalszej części tego artykułu omówię niektóre z najczęstszych punktów awarii oraz sposoby radzenia sobie z nimi.

2. Ogranicz narażenie

Ograniczanie narażenia na oszustwa płatnicze obejmuje dwa główne elementy: ukierunkowanie na źródła zagrożeń i ograniczenie potencjalnych skutków. 

Eliminowanie źródła zagrożeń polega na zmniejszaniu prawdopodobieństwa ich wystąpienia; ograniczanie skutków minimalizuje potencjalne straty, jeśli do zagrożenia jednak dojdzie. 

Rozważmy dwa klasyczne przykłady z zakresu kontroli oszustw: limity zatwierdzania zmniejszają potencjalną stratę wynikającą z oszukańczych wydatków (wpływ), a zasada najmniejszych uprawnień zmniejsza prawdopodobieństwo oszustwa poprzez ograniczenie liczby osób, które mogłyby je zainicjować (źródła).

Branża cyberbezpieczeństwa posługuje się pokrewnym pojęciem powierzchni ataku, którego zwykle używa się do opisywania systemów. Jest to połączenie podatności systemu oraz liczby elementów, które mogą się z nim łączyć, a tym samym go zaatakować. Zespoły cyberbezpieczeństwa zazwyczaj najlepiej rozumieją, w jaki sposób systemy są najczęściej atakowane; ich wyzwanie zwykle polega na powiązaniu tej koncepcji z rzeczywistymi stratami finansowymi. Postęp w tym obszarze przyspieszył w ostatniej dekadzie.

Z mojego doświadczenia wynika, że wdrożenie tej strategii jest często najłatwiejszą do wykorzystania szansą dla większości organizacji na poprawę bezpieczeństwa. Większość oszustw obejmuje co najmniej pięć kroków, a oszuści muszą pomyślnie przejść przez wszystkie, aby osiągnąć cel; aby ich powstrzymać, wystarczy zatrzymać ich na dowolnym etapie. Dla każdego kroku w potencjalnym scenariuszu oszustwa zastanów się, jak ograniczyć źródła i wpływ. Zwykle na wszystkich etapach procesu istnieje kilka możliwości, które nie wymagają żadnych kosztów (lub wymagają ich bardzo niewiele).

Sukces tej strategii wymaga rygoru (w odkrywaniu i dokumentowaniu procesów) oraz kreatywności (w poszukiwaniu rozwiązań). Ćwiczenie dobrze nadaje się do przeprowadzenia jako moderowane ćwiczenie integracyjne dla zespołu i często przynosi również korzyści w zakresie efektywności.

3. Twórz alerty prowadzące do działania

Wbudowanie ostrzeżeń i wskaźników w procesy oraz systemy może powstrzymać oszustwo, zanim będzie za późno. W pewnym sensie jest to najstarszy trik w księdze: księgowość podwójnego zapisu, uzgadnianie trójstronne i większość GAAP wykorzystują niezależne mechanizmy prowadzenia rejestrów do ujawniania problemów. 

W ciągu ostatniego stulecia podejście to doprowadziło do ogromnych przemian w wielu innych branżach — od rewolucji produkcyjnej Toyoty po nowoczesne zarządzanie produktem — a firmy technologiczne od 15 lat znajdują się na czele, promując to podejście. Z mojego doświadczenia oraz potwierdzenia ze strony liderów opinii w dziedzinie finansów wynika, że dopiero zaczyna ono trafiać do głównego nurtu. W ciągu ostatnich 5 lat wiele mniejszych firm przyjęło zarządzanie oparte na wskaźnikach i zwykle powierza CFO prowadzenie tej transformacji. Masz szczęście.

Zachowaj jednak rozwagę: wskaźniki, pulpity nawigacyjne i alerty mają również ciemną stronę. W dzisiejszym świecie biznesu danych jest pod dostatkiem. KPI, SLA i statusy są dostępne od razu na atrakcyjnych pulpitach nawigacyjnych. Jeśli jednak wskaźnik lub alert nie prowadzi do bezpośredniego działania (albo, co gorsza, prowadzi do niewłaściwego działania), jest gorszy niż bezużyteczny.

Dzieje się tak na dwa sposoby. Po pierwsze, jeśli pojawia się zbyt wiele fałszywych alertów, zespoły uodpornią się na nie i zaczną je ignorować.

Po drugie, niektórzy wybierają wskaźniki, które nie prowadzą do bezpośredniego działania. Często nazywa się je wskaźnikami próżności, a w najgorszym przypadku mogą dawać fałszywe poczucie bezpieczeństwa i odwracać uwagę od rzeczywistych problemów. Jak mawiają prawnicy...

Tworząc alerty, wybieraj zdarzenia, które prawdopodobnie wskazują na rzeczywisty problem. Dobrą zasadą jest śledzenie wskaźników i tworzenie dotyczących ich alertów wyłącznie wtedy, gdy wszyscy interesariusze zgadzają się, że ryzyko uzasadnia czas potrzebny na jego zbadanie. 

Taktyki zapobiegania oszustwom płatniczym

Chociaż sprawdzone w praktyce konwencjonalne kontrole wewnętrzne nadal mają ogromną wartość, niektóre z nich mogą być zbyt kosztowne lub trudne do wdrożenia dla wszystkich organizacji poza największymi. Znalazłem poniższe mechanizmy szczególnie skuteczne w powstrzymywaniu współczesnych oszustw w mniejszych organizacjach, często przy zaskakująco niewielkim nakładzie pracy. Kontrole te zostały z grubsza uporządkowane według priorytetu, ale ich wartość i wymagany wysiłek będą się znacznie różnić w zależności od firmy. 

1. Podziel rachunki

Strategia: ogranicz ekspozycję

To podstawowe rozwiązanie, które wciąż jest zbyt rzadko stosowane przez rozwijające się firmy. Odseparowanie rachunków bankowych przeznaczonych do płatności może zapobiec ogromnym stratom. Prowadź osobny rachunek na jednorazowe płatności, inny rachunek na przewidywalne miesięczne wydatki oraz rachunek skarbcowy na pozostałe środki. 

Utrzymuj niskie saldo na rachunku przewidywalnych wydatków, ręcznie zasilaj rachunek jednorazowych płatności i nigdy nie wypłacaj środków z rachunku skarbcowego. Każde oszustwo, które dotknie którykolwiek z rachunków zobowiązań, spowoduje jedynie nominalne straty albo zakończy się całkowitym niepowodzeniem.

To rozwiązanie można łatwo wdrożyć za pomocą platform automatyzacji zobowiązań (AP).

2. Rejestracja w agencji informacji kredytowej dla firm

Strategia: ograniczenie ekspozycji

To proste rozwiązanie, które dotyczy innego rodzaju oszustwa: kradzieży tożsamości Twojej firmy. Fałszywy kredyt może zostać zaciągnięty na nazwę Twojej firmy, a uporządkowanie sytuacji może być uciążliwe. Wcześniejsza rejestracja w agencjach informacji kredytowej dla firm może znacznie utrudnić przestępcom wykorzystanie Cię w ten sposób.

3. Odejdź od poczty e-mail

Strategia: ograniczenie pojedynczych punktów awarii

Poczta e-mail umożliwia popełnianie ogromnej liczby oszustw i przestępstw. To nic dziwnego, ponieważ wiele organizacji realizuje za jej pośrednictwem niemal wszystkie działania. Jeśli tak wygląda sytuacja w Twojej firmie, poczta e-mail jest prawdopodobnie pojedynczym punktem awarii: jeśli oszust uzyska dostęp do Twojej poczty, może wyrządzić wiele szkód, jednocześnie zacierając ślady.

Rozwiązanie tego problemu jest proste: do wykonywania działań wysokiego ryzyka używaj wyłącznie dedykowanych systemów.  

4. Jednokrotne logowanie i uwierzytelnianie wieloskładnikowe

Strategia: ograniczenie pojedynczych punktów awarii

To rozwiązanie jest nieco techniczne, ale zdecydowanie warto je zastosować. Najlepszy sposób zarządzania hasłami, federacja tożsamości, eliminuje ogromną liczbę pojedynczych punktów awarii związanych z podszywaniem się pod użytkowników w Twoich systemach. Potrzebujesz nowoczesnego, centralnego systemu, który pełni funkcję dostawcy tożsamości dla Twoich pracowników; następnie każdemu używanemu systemowi należy przekazać informację, że ma mu ufać. Pracownicy logują się u dostawcy tożsamości, a potem wszystko inne łączy się automatycznie. 

Jak wspomniałem, jest to rozwiązanie techniczne, więc Twój zespół IT będzie musiał zbudować odpowiednie połączenia.

Hasła są częstym punktem awarii, dlatego wymaganie silnego uwierzytelniania wieloskładnikowego (MFA) eliminuje ten problem. Każdy godny zaufania dostawca federacji tożsamości również zdecydowanie zaleci jego wymaganie.

5. Honeypoty

Strategia: alerty umożliwiające podjęcie działania

Honeypoty (czasami nazywane tokenami kanarkowymi) to rozwiązanie, które informuje Cię, jeśli cyberprzestępca przedostał się przez wszystkie zabezpieczenia i uzyskał dostęp do czegoś, do czego nie powinien mieć dostępu. Honeypoty są wabikami, które wysyłają automatyczne alerty po użyciu. Najczęściej stosuje się je w branży technologicznej, ale można je również utworzyć dla danych płatniczych. Rozwiązanie to może szczególnie dobrze działać z automatycznymi platformami finansowymi, o których wspominam w strategii nr 10.

Honeypoty technologiczne można łatwo i bezpłatnie skonfigurować. 

6. Zleć obsługę usłudze zewnętrznej

Strategia: ograniczenie pojedynczych punktów awarii

Korzystanie z usług dostawcy często jest nie tylko tańsze niż realizacja zadań we własnym zakresie, ale także bardziej odporne na zakłócenia. Outsourcing może usunąć wiele pojedynczych punktów awarii, rozkładając potrzeby Twojej firmy na większy zespół i system. 

Wiele firm przekonuje się, że usługa obsługi zobowiązań staje się tańszą opcją, gdy obsługa zobowiązań zajmuje połowę czasu pracownika. Ponieważ takie oszacowanie pomija koszt oszustw, często zalecam firmom rozważenie tego rozwiązania znacznie wcześniej. Niektóre platformy automatyzacji pozwalają zespołowi finansowemu zwiększyć skalę obsługiwanych operacji stukrotnie bez zatrudniania nowych pracowników i utraty kontroli. 

Zlecenie obsługi systemów IT platformie internetowej może być kolejnym doskonałym sposobem na usunięcie pojedynczych punktów awarii. Taka platforma prawdopodobnie lepiej niż Ty poradzi sobie z szyfrowaniem, identyfikacją złośliwego oprogramowania i podatności, odpornością na naruszenia bezpieczeństwa danych oraz zapobieganiem phishingowi.

Działa to tylko wtedy, gdy oferta outsourcingowa ma niewiele pojedynczych punktów awarii lub nie ma ich wcale. Wielu dostawców outsourcingu finansowego zapewnia dedykowanego, pracującego w niepełnym wymiarze czasu księgowego, który zajmuje się wszystkim, pracuje w Twoich systemach i realizuje Twoje procesy — nie jest to dobre rozwiązanie, jeśli chcesz zmniejszyć ryzyko. Podobnie wiele platform internetowych nadal jest tworzonych z wykorzystaniem tych samych kruchych projektów, które stosowano w 2006 roku, dodaje do marketingu modne słowa związane z chmurą i liczy na to, że nikt nie zajrzy pod maskę. Nie trzeba dodawać, że żadna z tych opcji nie zapewnia korzyści w zakresie bezpieczeństwa. 

7. Karty wirtualne

Strategia: ograniczenie ekspozycji

Korzystanie z dostawcy kart wirtualnych pozwala precyzyjnie kontrolować, komu płacisz i ile możesz mu zapłacić. Omówiłem już karty wirtualne w artykule wyjaśniającym, jak zabezpieczyć płatności B2B. Większość zautomatyzowanych platform AP udostępnia karty wirtualne.

8. Weryfikacja dostawców i uzgadnianie trójstronne

Strategia: Ograniczanie ryzyka

Ograniczenie płatności do listy autoryzowanych dostawców, weryfikowanie informacji dotyczących płatności oraz uzgadnianie faktur z zamówieniami zakupu może pomóc wyeliminować wiele mniej wyrafinowanych oszustw. Wielu dostawców oferuje uzgadnianie z listą zweryfikowanych dostawców; może to być zaskakująco tanie.

9. Pozytywna weryfikacja płatności

Strategia: Ograniczanie ryzyka

Ta funkcja umożliwia wysyłanie bankowi co miesiąc listy autoryzowanych zamówień zakupu. Bank blokuje następnie płatności ACH i czekiem, które nie pasują do listy, oraz powiadamia firmę, gdy tak się dzieje. Mechanizm ten zyskał 20 lat temu reputację rozwiązania wymagającego dużo pracy, ale od tego czasu wiele ofert wyeliminowało większość niedogodności.

10. Zautomatyzowane finanse

Strategia: Przydatne alerty i ograniczanie pojedynczych punktów awarii

Zautomatyzowana platforma finansowa może zapewnić bardzo szczegółową kontrolę nad przepływem pieniędzy w organizacji przy ułamku dotychczasowej liczby pracowników. Może być niezwykle wartościowa, ale jej wdrożenie często jest kosztowne. Rozważ:

• Automatyczne płatności na rzecz stałych, wieloletnich dostawców. Zwykle można skonfigurować szczegóły płatności w kartotece dostawcy.
• Automatyczne fakturowanie i monity o płatność
• Automatyczne transfery i należności
• Alerty dotyczące nieoczekiwanych transakcji i sald
• Automatyczne przetwarzanie faktur oraz uzgadnianie trójstronne lub dwustronne
• Wykrywanie anomalii za pomocą AI (informacje poniżej)

Niektóre platformy w magiczny sposób ostrzegają o ryzykownych transakcjach na podstawie aktualnych zagrożeń branżowych oraz tego, jaka aktywność w księdze głównej jest normalna dla danej firmy. Moja rada? Jeśli chcesz wybrać produkt ze względu na funkcję wykrywania anomalii, najpierw go przetestuj. Produkty AI zawsze działają jak czarne skrzynki, więc nie można obiektywnie zmierzyć ich jakości. Skuteczność produktów typu czarna skrzynka również ma tendencję do pogarszania się z biegiem lat, w miarę ewolucji zagrożeń i warunków.

Produkty technologiczne do obsługi zobowiązań

To wybór nowych i uznanych platform do obsługi zobowiązań, oferujących funkcje, o których wspomniałem w tym artykule. Banki zapewniają również zewnętrzną obsługę zobowiązań i zewnętrzną obsługę należności (często rozliczaną jako przetwarzanie przekazów), zwykle pod marką własną wyspecjalizowanego dostawcy.

Oszustw można uniknąć

Możesz wyeliminować wiele szkód powodowanych przez cyberprzestępczość, wdrażając silne kontrole wewnętrzne w obszarze zobowiązań. Chociaż zagrożenia zewnętrzne gwałtownie wzrosły w ciągu ostatniej dekady, rozwinęły się również narzędzia do ich wykrywania i zapobiegania im (jedną z zalet aplikacji do płatności mobilnych jest to, że mogą w tym pomóc).

Aby otrzymywać więcej porad dla osób zajmujących się finansami, w tym wskazówki dotyczące ochrony firmy przed zagrożeniami internetowymi, zapisz się już dziś do biuletynu The CFO Club.

Chętnie poznam Twoją opinię: które mechanizmy kontrolne były najskuteczniejsze w zapobieganiu oszustwom? Czy zastosowałeś któreś z nich? Daj mi znać w komentarzach lub w mediach społecznościowych.