捍卫安全权的银行忽视了消费者信任的要点

当企业推翻客户的安全决策时，他们是否会在发生违规行为时承担全部责任？这是像新加坡这样的银行在推出下一个安全功能之前需要考虑的问题。

市场数据表明网络安全攻击的数量和复杂性不断增加，企业将寻求更好的方法来保护其资产也就不足为奇了。银行尤其希望拥有更大的护城河，因为它们会损失更多。

然而，强化防御不可避免地意味着合法用户将不得不深入挖掘才能访问服务。其结果是关于在安全性和可用性之间寻找适当平衡的长期争论。

新加坡的一家银行似乎需要解决这一问题，因为它推出的安全功能让一些客户感到沮丧。

华侨银行上周推出了一项功能，如果在用户设备上检测到未从非官方应用商店（例如 Google Play Store 和华为 AppGallery）下载的移动应用程序，则将锁定对其数字银行服务的访问。

该银行以保护客户免受恶意软件侵害的需要为由，表示这一“增强”使其应用程序能够识别客户设备上的错误应用程序。该安全功能还会根据银行认为存在潜在风险或恶意软件应用程序常用的权限检查应用程序的权限设置。

当检测到不符合这两个标准的应用程序时，客户将无法通过华侨银行的移动应用程序或在线银行网站登录其帐户，直到他们卸载或删除“流氓”应用程序。

这种高水平的安全听起来很棒——直到投诉开始出现。客户发现自己被锁定了，尽管银行新安全功能标记的应用程序实际上是从官方应用程序商店下载的。这些应用程序包括 Microsoft Authenticator、LG ThinQ、CCleaner 和 Trend Micro。即使是由客户自己的防病毒移动应用程序清除的应用程序也被 OCBC 安全功能标记为有风险。

受影响的客户表示，银行建议的从官方应用商店删除并重新安装特定应用程序的解决方案不起作用。

对于大多数情况，华侨银行的反应是标准的——新的安全功能是打击欺诈和“保护我们的客户”免受可疑恶意应用程序侵害的努力的一部分。该公司在 Facebook 页面上多次表示，“对于给您带来的任何不便，我们深表歉意”，以激怒顾客。 “我们希望您耐心等待，因为此功能旨在保护客户免受恶意软件诈骗。”

这种情况看起来像是安全性压倒了可用性的情况。在阅读了受委屈的华侨银行客户的轶事后，我松了一口气，因为我选择了另一家公司的银行业务。但随后行业监管机构新加坡金融管理局（MAS）站出来表示支持该银行的安全功能。

MAS 表示：“安全措施将会给客户带来一定程度的额外不便，但为了维护数字银行的安全和信心，这些措施是必要的。” “加上警惕和敏锐的公众，强有力的安全措施将帮助我们加强对诈骗的防御。”

鉴于监管机构的啦啦队作用，我现在预计包括我的银行在内的其余两家主要本地银行将在不久的将来效仿并推出类似的安全“增强功能”。

也许华侨银行正在为去年网络钓鱼诈骗中占据中心地位而进行忏悔，或者也许它输掉了一场石头、剪刀、布的游戏，并被选为第一家推出安全功能的银行——因此，不得不承受顾客愤怒的首当其冲？

无论如何，华侨银行的混乱推出还有很多不足之处，并引发了整个行业（包括其监管机构）需要集体解决的问题。

消费者信任和共同责任

首先，让我们弄清楚一件事。这不仅仅是隐私问题，而是用户信任问题。当事情没有按照预期的方式进行时，信任就会受到削弱。

只使用官方应用程序商店的应用程序就可以了，华侨银行的客户放心。但事实证明这种方法是有问题的。

“哦，那么你的应用程序的权限设置就是问题所在，”客户被告知。然而，银行对这些权限设置的细节仍然守口如瓶，大概是为了让坏人不知道如何规避这些标志。

更一般地说，缺乏信息和透明度意味着用户想知道这些应用程序究竟出了什么问题——他们从官方商店下载的应用程序是由合法公司开发的。这是否意味着微软、LG 和趋势科技等公司正在发布包含华侨银行认为存在安全风险的应用程序？

如果情况并非如此，这是否意味着应用程序被大型银行的安全“增强”错误地识别了？在向公众发布之前应该经过严格检查、测试和再次检查的安全增强功能？

因此，对于无法正确区分合法应用程序和具有实际风险的应用程序的安全功能，消费者应该给予多少信任？

另外：这些专家正在竞相保护人工智能免受黑客攻击

最重要的是，用户被告知他们关于如何操作设备的决定是无效的。换句话说，这种安全增强意味着“删除您顽皮的应用程序，否则您将无法使用我们的应用程序”。

那么，当企业推翻客户关于如何保护其设备的决定时，他们是否会在发生违规行为时承担全部责任？我相信它可能应该这样做，因为如果客户希望继续访问他们的银行账户，他们对手机上的应用程序（包括防病毒工具）几乎没有发言权。

我最近与一些行业人士进行了类似的对话，期间我提到了对应用程序权限和组织无法或不愿意解释为什么他们需要访问促进其服务不必要的功能的个人不满。

然后有人向我建议，可以通过保证这些企业为了自身利益而不想开发一款将客户置于危险之中的应用程序来缓冲透明度的缺乏，从而损害他们自己的品牌声誉。

我认为这种立场不应免除客户对其自身安全状况承担的责任。

事实上，新加坡政府一再强调消费者需要共同承担保护网络卫生的责任，这或许让企业感到高兴。

“持续打击诈骗需要采取生态系统方法，所有利益相关者都应发挥自己的作用，保持警惕并防范诈骗，”MAS 表示。该监管机构正在制定责任框架，称该框架将明确金融机构、电信公司和客户的角色和责任，以警惕网络诈骗。

另外：5个简单步骤可确保您的智能手机免受黑客攻击

如果消费者必须为自己的网络卫生承担责任和义务，那么他们难道不应该有权自行决定如何最好地保护自己吗？

难道不应该提高透明度并允许获取有关消费者如何进行交易的组织以确保其服务安全的信息吗？

为了他们的客户（以及我的理智），我希望其他准备追随华侨银行脚步的银行已经做好记录并努力确保他们避免类似混乱的推出。

例如，华侨银行是否可以通过向客户提供个人“白名单”来缓解一些问题，客户可以将最初由银行安全功能标记的应用程序纳入其中？这些应用程序可以根据安全策略进行检查和评估，只有在确定它们安全后才添加到白名单中。

银行可以在白名单中设置三个应用程序的上限，这样客户就有动力优先考虑绝对必要的应用程序，并且银行可以管理促进这种方法所需的资源。他们还可以使用人工智能工具来自动化某些流程并优化应用程序评估周期，以及维护已批准的流程的存储库，从而进一步减少维护白名单所需的工作量。

如果银行还没有这样做，那么银行应该与主要应用程序开发商（包括防病毒软件供应商）联系，了解他们的权限设置如何通过安全检查表。这是假设他们也选择不透露他们认为有风险的应用程序权限背后的细节。

最重要的是，所有银行都想问自己的一个关键问题是，如果他们选择推翻客户的安全选择，他们是否准备好在发生安全漏洞时承担全部责任。