Brałem niedawno udział w niewielkim projekcie doradczym dla jednej z europejskich instytucji płatniczych. Chcieli zderzyć z kimś z zewnątrz swoje mechanizmy antyfraudowe.
Pierwsze spotkanie: bardzo miło, przyjemnie, szybko złapaliśmy wspólny język
Drugie spotkanie: na tyle dobrze nam się rozmawia, że decydujemy się spróbować coś zrobić razem
Trzecie spotkanie: kick-off projektu, na którym zadaję pierwsze poważniejsze pytania
Jakie było moje zdziwienie gdy okazało się, że nie mają…
no NIC nie mają.
To znaczy coś mają, bo podpięli zewnętrznego (całkiem niezłego zresztą) dostawcę rozwiązań antyfraudowych, który oceniał każdą transakcję według sobie tylko znanych kryteriów i wystawiał całościową ocenę transakcji (w skali 1-100).
A że instytucji, której doradzałem, zależało na procesowaniu możliwie jak największego wolumenu (startup, który chciał budować wizerunek przyjaznego klientom), to i odrzucał tylko to, co było naprawdę bardzo, ale to bardzo podejrzane.
Nie mieli jednak nic ponad to. Żadnych własnych rozwiązań, własnych algorytmów sprawdzających, korzystania z wiedzy którą już posiadają.
Po spotkaniu kick-offowym już wiedziałem co powiem przy najbliższej możliwej okazji.
I tak też zrobiłem.
“Nie rozpisujcie wielkiego projektu, który będzie trwał miesiącami. Nie róbcie nie wiadomo jak dużego researchu, nie spisujcie teraz nie wiadomo jak wymyślnych procedur, nie szukajcie ogromnych narzędzi. Weźmy na warsztat kilka najprostszych, najbardziej oczywistych mechanizmów, które możecie szybko wdrożyć i w najbardziej dla Was wygodnej metodologii agile’owej zacznijcie je wprowadzać. One by one. Po kolei. Bo każde kolejne zabezpieczenie będzie Was zbliżało do celu, każde kolejne wdrożenie małego mechanizmu będzie Was chroniło coraz bardziej. Każde małe wdrożenie najprostszego mechanizmu będzie lepsze od tego, co macie dzisiaj. A każdy kolejny dzień zwłoki i utrzymywania stanu obecnego, jest dla Was kolejnym dniem, który zbliża Was do fatalnego finału.”
Poleciłem im też kilka najprostszych mechanizmów, od których powinni zacząć, a które wdrożyć mogli stosunkowo szybko dzięki danym, które już posiadają:
- Niestandardowa – “dziwna” – wielkość pojedynczych transakcji
- Niestandardowa częstotliwość transakcji
- Anomalie geograficzne (regiony podwyższonego ryzyka, duża odległość od ostatniej transakcji)
- Anomalie behawioralne (do tej pory płacił tak, nagle coś zupełnie odwrotnego)
- Transakcje powiązane
- Transakcje anonimowe, kartami prepaidowymi itd.
Zaczęli wszystko to wdrażać.
I jestem przekonany, że zaczęli też trochę spokojniej spać po nocy.
Bo każda – nawet najprostsza – akcja, jest lepsza od braku akcji.
