Руководство по управлению рисками онлайн-транзакций

Внимание

В качестве партнера Майкрософт в программе поставщик облачных решений (CSP) вы несете ответственность за покупки клиентов и использование наших служб. Важно, чтобы партнеры отслеживали и устраняли аномальные действия от своих клиентов. Корпорация Майкрософт может отправлять уведомления партнерам, если мы обнаруживаем подозрительные действия, но крайне важно, чтобы партнеры использовали дополнительные методы мониторинга для обнаружения аномального поведения клиентов.

Корпорация Майкрософт серьезно относится к управлению рисками транзакций в Интернете, и партнеры должны сделать то же самое, чтобы снизить бизнес-риски. Для поддержки партнеров корпорация Майкрософт предоставляет набор рекомендаций по управлению рисками при работе с клиентами в Интернете. Хотя корпорация Майкрософт стремится поддерживать партнеров, партнеры по-прежнему несут финансовую ответственность за мошеннические покупки своими клиентами и (или) неплатежение приобретенных услуг.

Рекомендации по управлению сетевыми рисками

В этом разделе содержатся сведения об основных аспектах управления рисками, которые следует учитывать, а также рекомендации по использованию рекомендаций.

См. следующую таблицу, чтобы снизить риск.

Риск воздействия	Определение	Примеры
Злоупотребление службой	Клиенты или плохие субъекты, использующие облачные службы в нарушение политики допустимого использования Майкрософт	-Спам -Отрывистый и сухой — атаки DDOS — крипто-интеллектуальный анализ — распространение вредоносных программ - Пиратские подписки перепродажа
Кража службы*	Клиенты, которые демонстрируют, что они не намерены платить за потребляемые услуги, использовать украденные средства оплаты, предоставлять ложные сведения о выставлении счетов и (или) по умолчанию для невыполненных балансов	— Транзакции, которые не происходят лично — неверные удостоверения — службы, подготовленные и используемые без намерения оплаты — автоматическое создание и приобретение учетных записей плохими субъектами

*Кража услуг может быть выше в развивающихся рынках и регионах с высоким риском.

Рекомендации

Корпорация Майкрософт рекомендует партнерам реализовать следующие протоколы в течение жизненного цикла отношения клиента:

• Подключение новых клиентов
  • При возможности установить личные отношения с клиентами (например, связаться по телефону).
  • Ищите лучшие способы проверки учетных данных клиентов и фона (кредитные бюро или коммерческие агентства отчетов).
  • Используйте многофакторную проверку подлинности (MFA) во время регистрации, чтобы свести к минимуму воздействие на создание и приобретение роботизированных учетных записей.
  • Требовать от клиентов отслеживать и защищать свои клиенты**, следуя рекомендациям по обеспечению безопасности.
  • Управление удостоверениями и отслеживание их использования с помощью таких служб, как службы цифровых удостоверений.
  • Оцените финансовую силу клиентов с помощью строгих систем обнаружения мошенничества с кредитными картами.
  • Установите четкую политику коллекций. Процессы сбора сведений и при доступе к подпискам влияют на неплатежение.
• Управление учетными записями клиентов
  • Реализуйте процесс для быстрого получения, проверки, действия и реагирования на уведомления Майкрософт.
  • Обратитесь к клиентам, чтобы понять потребности бизнеса в облаке и задать соответствующие пороговые значения мониторинга. (Например, партнеры могут задать ежемесячный бюджет расходов Azure в Центре партнеров.
  • Регулярно отслеживайте журналы действий клиентов, чтобы выявить мошенничество рано.
  • Выполните быстрые действия при обнаружении подозрительных действий.
  • Избегайте предоставления клиентам полного административного доступа к подпискам без первой реализации средств управления устранением рисков.
• Управление выставлением счетов клиентов
  • Запросить предоплату перед первоначальными транзакциями и выставлением счетов.
  • Не принимаю средства оплаты с высоким риском (например, предоплаченные карты или карты с хранимым значением).
  • Отслеживайте платежи клиентов и стареющие счета с задолженностью. Агрессивно применять стандартизированные процессы подземления для поздних платежей или неплатежи.

Рекомендации по подключению клиентов

В этом разделе приведены рекомендации по подключению клиентов. В разделах содержатся сведения о проверке службы коротких сообщений (SMS), управлении удостоверениями конечных пользователей и о том, что клиент подключен.

Проверка SMS (текста)

Во время процесса регистрации конечные клиенты получают страницу "Подтверждение того, что вы не робот", которая инициирует проверку клиента через SMS (текст):

• Использование решения проверки SMS помогает партнерам снизить риск регистрации клиентов с помощью роботизированных методов. Проверка SMS также помогает предотвратить возможность создания нескольких учетных записей (например, поддельных регистрации).
• Во время регистрации партнеры могут подтвердить, находится ли пользователь в другой части транзакции. Проверка выполняется путем предоставления клиенту номера мобильного телефона, на который отправляется одноразовый секретный код через SMS.
• Кроме того, проверка SMS также может использоваться в рамках процесса входа в многофакторную проверку подлинности (MFA) для установленных клиентов.

Управление удостоверениями конечных пользователей

Рекомендации по устранению риска выявления мошенничества:

• Одним из способов управления удостоверением клиента и отслеживания его является использование службы цифровых удостоверений.
• Цифровое удостоверение — это уникальная подпись отдельного пользователя и (или) устройства в другом конце онлайн-транзакции.
• Службы цифровых удостоверений позволяют партнерам лучше определять клиентов за рамки простых идентификаторов, таких как адрес электронной почты, физический адрес и т. д.
• Партнеры могут проверить личность клиентов и определить потенциальных плохих субъектов с помощью сторонних средств.

Знакомство с клиентом при подключении

Важно, чтобы партнеры предприняли дополнительные шаги, чтобы проверить личность и финансовую силу, когда это возможно, физических лиц и компаний, которые хотят приобрести веб-службы. Ниже приведены рекомендации.

• Создавайте личные отношения с клиентами, например контактировать по телефону, встречаться лично и т. д.
• Требовать кредитную карту во время регистрации; не принимать хранящиеся карты или предоплаченные кредитные карты в качестве метода оплаты.
• Реализуйте строгие системы обнаружения мошенничества с кредитными картами, чтобы убедиться, что клиент, выступающий с инструментом оплаты, является авторизованным пользователем; просмотрите финансовые отчеты из кредитных бюро.
• Проверьте учетные данные клиентов и фон в надежных местах, таких как бизнес-коммерческие агентства отчетов.

Рекомендации для клиентов после покупки

Знакомство с клиентом

Рекомендуется реализовать мониторинг использования служб, даже если эти службы не выставляются по потреблению. Но эта практика особенно подходит для выставления счетов за использование службы, например Azure, где выставление счетов происходит после использования.

• Опираясь на стратегию "знать клиента", партнеры должны тесно взаимодействовать с клиентами, чтобы понять основные бизнес-потребности использования облачных служб.
• Избегайте предоставления клиентам полного доступа к подпискам без первой реализации элементов управления устранением рисков, таких как рекомендации в этом руководстве.
• Чтобы отслеживать использование на уровне клиента для различных бизнес-потребностей клиента, используйте портал управления Microsoft Azure и доступные возможности отчетов об использовании.
• Подпишитесь на новые оповещения системы безопасности, которые являются одним из многих способов , которым корпорация Майкрософт поддерживает защиту клиентов. Оповещения должны быть расследованы и исправлены быстро при необходимости, партнеры могут приостановить затронутые ресурсы Azure или подписки Azure, чтобы устранить проблему.

Выставление счетов

В программе поставщик облачных решений корпорация Майкрософт не выставляет счета конечному клиенту. Партнеру необходимо настроить и обработать выставление счетов.

Партнеры должны реализовать следующие протоколы в процессе выставления счетов:

• Защита платежей заранее перед выставлением счетов путем запроса клиентов отправлять предоплаты для финансирования своей деятельности по счету.
• Избегайте принятия средств оплаты с высоким риском, таких как предоплаченные или хранимые карты, так как сумма на карточках не может быть проверена и может быть недостаточно, чтобы покрыть расходы на покупку клиентов.
• Внимательно отслеживайте платежи клиентов и стареющую задолженность по счетам, агрессивно применяйте стандартизированные процессы подземления для неоплачиваемых или неоплачиваемых платежей, включая приостановку подписок и услуг до тех пор, пока не будут получены платежи по невыполненным остаткам.

Уведомления Майкрософт

Корпорация Майкрософт реализовала службу уведомлений и важно, чтобы партнеры регулярно обновляли адреса электронной почты, связанные с администраторами подписок:

• Партнеры должны разрабатывать и реализовывать процессы, чтобы быстро получать, просматривать, действовать и реагировать на уведомления Майкрософт по мере необходимости.
• Если корпорация Майкрософт обнаруживает необычное действие, корпорация Майкрософт отправляет уведомления партнерам в следующих сценариях:
  • Если подписки подозреваются или определены, что они нарушают политику допустимого использования для веб-служб и /или
  • Если подписки связаны с подозрительной деятельностью (например, мошенничеством или пиратством) и представляют непосредственный риск для майкрософт, партнеров и /или клиентов.
• Уведомления клиентов отправляются в портал Azure с помощью колонки "Работоспособности служб Azure". Узнайте, как настроить оповещения в статье "Создание оповещений журнала действий" для уведомлений служб с помощью портал Azure.
• Общие Уведомления по электронной почте злоупотреблений: сообщения электронной почты отправляются администраторам azsafety@microsoft.com подписки и владельцам. Рекомендуется добавить azsafety@microsoft.com адрес электронной почты в список надежных отправителей, чтобы предотвратить попадание важных сообщений электронной почты в папку нежелательной почты.

Примечание.

Партнеры должны использовать дополнительные методы для обнаружения аномального использования и подозрительных действий и не полагаться исключительно на уведомления Майкрософт.

Допустимое применение политик

• В рамках их соглашения с корпорацией Майкрософт партнеры и их клиенты должны соответствовать политике допустимого использования, как описано в условиях веб-служб.
• Если корпорация Майкрософт обнаруживает или в противном случае знает о действиях партнера или клиента, которые мы подтвердим или подозреваем, нарушает политику допустимого использования, корпорация Майкрософт выполняет действия по применению.
• Нарушения политики допустимого использования могут привести к приостановке веб-служб. При необходимости приостановка может быть немедленной. В противном случае корпорация Майкрософт уведомляет партнеров о принятии действий и (или) о действиях по принудительному применению, уже принятых корпорацией Майкрософт.

Уведомления и ожидаемые действия

Примечание.

Корпорация Майкрософт предпринимает разумные усилия по уведомлению партнеров о том, что подписка, связанная с клиентом, отображает рискованные или подозрительные действия; однако партнеры не должны полагаться исключительно на уведомления Майкрософт. Используйте другие методы мониторинга для обнаружения аномального поведения клиентов.

Партнеры должны оценивать клиентов, которые считаются нарушением политики допустимого использования, чтобы определить, представляют ли они какие-либо дополнительные риски для своего бизнеса.

События риска	Уведомления и /или ожидаемые действия*
Действия, которые представляют немедленный риск для майкрософт, партнеров и /или клиентов	Корпорация Майкрософт уведомит партнера через портал Azure или портал Центра партнеров подписки с высоким уровнем риска Партнер должен ИССЛЕДОВАТЬ и ПРИОСТАНОВИТЬ все остальные подписки клиента учетной записи клиента, если он определен партнером, чтобы быть мошенническим Корпорация Майкрософт может немедленно отключить подписки с высоким риском **
Текущие подозрительные действия безопасности	Хотя это ответственность партнера по реализации и поддержанию средств управления рисками предотвращения мошенничества и обнаружения мошенничества, корпорация Майкрософт может уведомить партнера по электронной почте о подозрительной активности. Корпорация Майкрософт может ОТКЛЮЧИТЬ подписки с высоким риском, если не предпринять никаких действий партнером В будущем корпорация Майкрософт может предложить другие средства и (или) возможности обнаружения для партнеров.
Нарушение политики допустимого использования	Корпорация Майкрософт уведомит партнера по электронной почте о нарушении Партнер приостановит обижающий ресурс и ответит на уведомление Майкрософт в течение 48 часов или следующего рабочего дня Корпорация Майкрософт может ОТКЛЮЧИТЬ подписки с высоким риском , если не предпринять никаких действий партнером

*Уведомления по электронной почте отправляются перечисленным администраторам подписки. Партнеры должны регулярно обновлять контактные данные электронной почты.
**Некоторые нарушения могут привести к немедленной приостановке и/или отключению обиженной подписки.

Когда партнеры обнаруживают подозрительное использование

Партнеры несут финансовую ответственность за мошеннические покупки своих клиентов и неплатежение приобретенных услуг. Партнеры должны реализовать средства контроля защиты от мошенничества и обнаружения рисков, такие как предложения, описанные в этом руководстве.

• Если партнер заранее обнаруживает подозрительные действия, они должны немедленно изучить и принять соответствующие меры, чтобы снизить риск:
  • Исследование может включать проверку действий входа в учетную запись клиента, историю оплаты счетов, частые изменения в инструментах оплаты и /или предыдущих шаблонах использования подписки, как описано ранее.
  • Действия по устранению рисков могут включать исправление скомпрометированных удостоверений, очистку скомпрометированных ресурсов и укрепление состояния безопасности. Дополнительные сведения см. в статье "Что делать, если подписка Azure была скомпрометирована?".
• Партнеры также могут отправить запрос на обслуживание в Центре партнеров, если у них есть другие вопросы или проблемы с подозрительными действиями.

Связанный контент

• Рекомендации по обеспечению безопасности клиентов
• Основные шаги для подтверждения, хранения и защиты компрометации
• Неплатежение, мошенничество и неправильное использование
• Уведомление о мошенничестве в Azure