Türkiye elektronik bankacılığı için güvenli elektronik ticaret modeli (4b-güvenlik)
Secure electronic commerce model for Turkish elektronic banking (4d-security)
Yazar: MAHMUT ÖZCAN
Danışman: DOÇ. DR. İLKNUR ESEN YILDIRIM
Marmara Üniversitesi / Bankacılık ve Sigortacılık Enstitüsü / Bankacılık Ana Bilim Dalı
Derece: Doktora, 2014
Konu: Bankacılık = Banking
Dizin: Bankalar = Banks ; Elektronik bankacılık = Electronic banking ; Elektronik ticaret = Electronic commerce ; Güvenlik = Security ; Güvenlik önlemleri = Safety measures ; Mobil bankacılık = Mobile banking ; Sanal alışveriş = Virtual shopping ; Türk bankacılık sistemi = Turkish banking system ; İnternet = Internet ; İnternet kullanımı = Internet use

Özet:
İnternet ortamında yapılan elektronik ödemeler, teknolojik gelişmeler ve kartlı ödeme sistemlerindeki yeniliklerle birlikte en çok tercih edilen ödeme yöntemlerinden biri haline gelmiştir. Gittikçe yaygınlaşan kredi/banka kartı kullanımı ve sayıları artan alışveriş siteleri, elektronik ticaretin (e-ticaret) güvenlik sorunlarını ve gereksinimlerini de beraberinde getirmiştir. İnternet üzerinden yapılan işlemlerde kredi/banka kartı kullanıcıları, işyerleri ve bankalar; operasyon hataları, uygulamalardaki ve/veya sistemlerdeki güvenlik açıkları veya eksiklerinden dolayı mağdur duruma düşebilmektedirler. Kart sahiplerinin kart bilgilerinin çalınması, sahte işyerleri, iyi kurgulanmamış sistem/güvenlik altyapıları ve birtakım hukuki düzenleme eksikleri, hem kart sahiplerini, hem işyerlerini hem de bankaları zor durumda bırakabilmekte ve taraflara telafisi güç maliyetler doğurabilmektedir. 

E-ticarette riski asgariye indirmek amacıyla bankaların kartlı ödeme sistemlerinde yaptıkları kontrollerin yanında, kredi kartları için sanal kart uygulaması, banka kartları için ön-ödemeli kart uygulaması, tüm çipli kartlarda kimlik kontrolünü sağlayan "Çip ve PIN" uygulamasının internetteki modellemesi 3B-Güvenlik gibi yeniliklere gidilmiştir. Son zamanların en yaygın ve başarılı modellerinden olan 3B-Güvenlik, kartın fiziksel olarak kullanılmadığı işlemlerde kart sahibinin sanal şifresinin üçüncü bir boyutta doğrulanması kuralını içermektedir. Ülkemizde "Ulusal Güvenlik Platformu" adıyla zorunluluk haline getirilmiş olan 3B-Güvenlik uygulaması e-ticarette alışveriş işlemlerinin güvenliğini arttırmış, hem kart sahiplerini hem de işyerlerini sahtekârlıklara karşı güvence altına almıştır. Ancak, sahtekârlıkların halen durmadığı, kart sahiplerinin mağdur duruma düştükleri ve zarara uğradıkları görülmektedir. Kötü amaçla kurulan birtakım sanal işyerleri ya da piyasadan çekilmeye sonradan karar veren kötü niyetli bazı işyerleri, kart sahiplerine ve dolayısıyla dünya ekonomisine ciddi finansal kayıplar yaşatmaktadırlar. Çünkü 3B-Güvenlik modeli daha çok işyerlerini ve bankaları korumaya yönelik bir sistemdir.

Çalışmamızda, 3D-Secure uygulamasının kart sahiplerini yeterince koruyamama zaafını,  alışveriş anında giderecek ve güvenlik riskini düşürecek yeni bir model önerilmiştir. Modelde, e-ticaret işlemlerinde sanal işyerlerinin güvenilirlik kontrolünü de sağlayacak yeni bir boyut olan "İşyeri Kontrol Sunucusu (İKS)" eklenmiş ve güvenlik bir adım daha arttırılmıştır. Tüm sanal işyerlerinin "Elektronik Ticaret Skoru (ETS)" değerlerini tutan İKS'ler, işyerlerinin ETS değerlerinin çevrimiçi veya çevrimdışı sorgulanmasına imkân hazırlamıştır. "İşyeri Güvenli E-Ticaret" yapmaya olanak sağlayan bu modelimize, 3B-Güvenli olarak yapılan bir işlemde uygulandığında dördüncü bir güvenlik katmanı daha sağladığı için "4B-Güvenlik uygulaması" adı verilmiştir. Çalışmada modelin kapsamı, detayları anlatılmış, özel olarak ülkemizde nasıl uygulanabileceği detaylı bir şekilde anlatılmıştır. "Türkiye Elektronik Bankacılığı için Güvenli E-Ticaret Modeli" adı ile 4B-Güvenlik (4D-Security) uygulamasının dünyada ilk defa ülkemizde uygulanabilmesi amacıyla yeni bir model önerilmiştir. 

İşyeri güvenli e-ticaret yapmayı taahhüt eden model ile ürün teslimat bilgisi alımı için kargo şirketleriyle uyumun sağlanması ve müşterilerine işlem temelli sigortalama imkânı eklenmesiyle "Sıfır Riskte E-Ticaret" amacına ulaşılması mümkündür.

Abstract:
Electronic payments which are performed over internet become most popular with the development of technology and Payment Card Industry (PCI). As the increase in use of credit/debit cards in internet transactions and the number of virtual merchants, the needs and security risks of e-commerce increase as well. For a secure e-commerce; customers, banks, merchants and the overall services framework should act in a secure manner. Otherwise, credit/debit cards can be used unintendedly in fraudulent transactions over internet. It results in the expense of monetary, operational and reputational cost for all parties.  

In addition to detailed security controls of merchants, acquirer banks and issuer banks during the transaction, PCI has developed e-commerce security to a higher level by integrating virtual-card application for credit cards, prepaid-card application for debit cards and 3D-Security mechanism for all cards.  Development of 3D-Security system is one of the most successful, widely-used and high-sounding application in e-commerce which is based on virtual application of "Chip & PIN". Thanks to 3D-Security which provides card owner authentication and gives all the risks to the card owner. Banks and merchants have no risk as long as they support 3D-Security in e-commerce. Although 3D-Security meets a big deficit, the absolute security is not achieved in e-commerce by burnout of 3D-Security. Because, a misgiving matter is not to predict the behavior of the merchants in the situation of corporate disasters or bankruptcies. No mechanism can protect cardholders from merchants' malicious order collection and canvass.  Any merchant immersed in debt (gone to bankruptcy) may cheat customers by collecting orders and do not deliver goods and services. 

For preventing card owners from malicious merchants, we need a new accredited mechanism which guarantees that the merchants are up-to-date confidential and trustable. In this study, we propose "Merchant Secure E-Commerce Model" for both Turkey and worldwide usage. The new system is announced which comprises "Merchant Control Servers (MCS)" that keeps the merchants credibility score called as "E-Commerce Score (ETS)". MCS is designed for responding to online and batch ETS inquiries at attention. This model provides fourth security domain to 3D-Secure transactions by controlling the merchants' ETS values. Therefore, this mechanism is called as 4D-Security.

In this study, we also describe "Secure E-Commerce Model for Turkish Electronic Banking System" which is a special model of 4D-Security application by being proposed BKM (Interbank Card Center) as MCS. Providing that, cargo status integration of orders and individual insurance of every order, 4D-Security system promises to guarantee "Zero Risk E-Commerce" in electronic payments.