EMV. ökad säkerhet eller mer krångel? olika områden, som alla egentligen är skilda från varandra. De tre delarna är övergången till EMVterminaler

2008 nr 32 restauratören tema: emv 11 EMV ökad säkerhet eller mer krångel? inom lite drygt ett år förändras kraven på betalningssystemen inom tre olika områden, som alla egentligen är skilda från varandra. De tre delarna är övergången till EMVterminaler för chip-baserade korttransaktioner, certifierade kassaregister och datasäkerhetsstandarden PCI DSS. För att slippa onödiga investeringar och få en så smidig övergång som möjligt bör du ha alla tre delarna i åtanke innan du gör nya investeringar. Restauratören reder ut begreppen. TEXTER DANIEL HIRSCH OCH KATJA ALEXANDERSON Läs mer om EMV på nästa uppslag

12 tema:emv restauratören nr 32 2008 Det kan bli trögt i baren Fredagnatt i baren. Då kommer det att bli krångligt när gästerna ska betala med kort försedda med chip. Det tror i alla fall Johan Sahlin, vd för restaurang- och nattklubbsbåten Patricia i Stockholm. De nya EMV-terminalerna kräver att kort och kortinnehavare är på samma plats när betalningen sker, bartendern kan inte som i dag ta kortet och dra det i kassan. Det stora problemet är att det kommer att ta mycket längre tid för gästerna. Med dagens system kan bartendern ta en annan kund under tiden gästen signerar och avslutar köpet. Vid EMV-betalningar i baren kan man välja mellan bärbara terminaler och fasta terminaler som är förbundna med kabel till kassan. Johan Sahlin ser problem med båda alternativen. Den bärbara terminalen låser fast bartendern under hela betalprocessen. Jag har ingen större lust att ge terminalen till gästen. Han befarar också att det kommer att ta tid för gästen att genomföra betalningen. Det ska bli intressant att se. Först ska gästen slå in totalbeloppet och sedan sin kod. Johan Sahlin skulle inte bli förvånad om det till att börja med kommer att bli många fyrsiffriga totalbelopp, när kunderna råkar slå in sin pinkod direkt. Eller så kommer gästen inte ihåg koden. Och det är inte helt otroligt att gästen börjar prata med en polare mitt i betalningen, som då drar ut än mer på tiden. Med Fasta terminaler slipper man fastlåsningseffekterna, men Johan Sahlin ser potentiella problem med dem också. Mest handlar det om avståndet mellan bargästen och terminalen. Du kan inte ha terminaler på varje halvmeter. Är det fullsmockat i baren kan det vara svårt att be gästen ta sig fram till terminalen, om det står tre andra personer emellan. Dessutom måste bartendern bestämma till vilken terminal som notan ska skickas från kassan, och blir det för många alternativ kan det bli svårt att hålla koll på vilken terminal som gäller. Johan Sahlin tror att EMV-systemet i värsta fall kan leda till sämre servicenivå och irriterade kunder, vilket inte gör någon glad. En effekt skulle kunna vara att gästerna börjar använda mer kontanter, men det tror inte Johan Sahlin kommer att ske. På fredagkvällarna är pengarna slut vid niotiden i bankomaten i Götgatsbacken här intill, säger han och konstaterar att ingen är intresserad av en återgång till mer kontanthantering. Han efterlyser dessutom vattensäkra terminaler. För vad händer om en oförsiktig gäst råkar stöta till någon och terminalen får en öl över sig? I restaurangen med bordsservering ser Johan Sahlin däremot inga problem med att det kommer att ta längre tid att genomföra betalningarna. För servisen blir skillnaden marginell. att betalningarna Med emv ska kunna kopplas ihop med kassasystemet tycker han är ett absolut krav för att hanteringen inte ska bli för krånglig. Annars blir det som att hoppa tillbaka i utvecklingen. Men än så länge går det inte att koppla mobila terminaler till kassasystemet. Samtidigt har Johan Sahlin förståelse för att ban-

2008 nr 32 restauratören tema: emv 13 foto: mattias de frumerie När EMV införs kan tempot gå ner för Pamela Grenell, bartender på Patricia. Det tror i alla fall hennes chef Johan Sahlin, eftersom gästerna ska slå in både totalbeloppet och sin pinkod varje gång de köper en öl. kerna är intresserade av att höja säkerheten. Men är det här det optimala sättet? Han skulle gärna se att han som krögare skulle kunna välja att fortsätta med det gamla systemet med magnetremsor, om det går att få till en lösning där man på något sätt delar på risken. Och berättar att Patricia kräver legitimation för alla kortköp. Du får inte en jordnöt utan leg. På Patricia tänker man vänta så länge som möjligt med att byta kortsystem. Jag ser hellre att någon annan tar barnsjukdomarna. Men målar du inte fan på väggen? Jag vill gärna bli överbevisad. Enligt Per Körner, vice vd på Point som levererar kortterminaler, behöver krögare inte oroa sig över att terminalerna ska sluta fungera om en gäst spiller ut en öl över terminalen. De mobila terminalerna är väldigt tåliga för vätska och stötar. Han förklarar att det finns en gummifilm bakom knappsatsen som stoppar vätskor om de kommer uppifrån. Den enda risken är om det kommer vätska där chipkortet trycks in i terminalen. De fasta terminalerna är inte fukt- och vätskeskyddade på samma sätt. För att slippa»låsa fast«bartendern under betalprocessen skulle man enligt Per Körner kunna använda sig av bärbara terminaler som förses med en liten ögla där man fäster en tunn vajer. Men med bärbara terminaler kan man som sagt inte koppla Emv på Restaurang EMV-betalningarna till kassasystemet. För fasta terminaler som kopplas ihop med kassasystemet via kabel gäller i dagsläget en terminal per kassa. Det går att lösa, men det ligger främst i hur kassa programvarorna utvecklas. Kortterminalen tar emot beloppet och överför sedan bara slutbeloppet som kunden accepterat tillbaka till kassan, säger Per Körner. Med EMV måste både kortet och kortinnehavaren vara närvarande när betalning sker och gästen godkänner det slutbelopp som ska debiteras med sin pin-kod. Det innebär nya rutiner framför allt vid bordsservering. Den som har brickservering eller en utgångskassa påverkas inte i någon större utsträckning. För att kunna ta betalt vid bordet måste servisen ha en bärbar kortterminal. Än så länge finns bara terminaler som kommunicerar direkt med banken via mobilnätet, vilket innebär att alla kvitton på kortbetalningar måste räknas av mot kassan efter dagens slut. När en servitör ska ta betalt vid bordet lämnar han fram terminalen, med notabeloppet på en rad. Under raden står det till exempel»totalbelopp«följt av en tom rad. Gästen stoppar i sitt kort, bestämmer själv totalbeloppet, slår sin pinkod och får kvitto på betalningen. Överskjutande belopp måste registreras i kassan som till exempel utbetalning. Servitören får ett kvitto som ska räknas av mot kassan. Servitören måste lyfta dricksen ur kassan efter varje betalning. Annars kan restaurangen anses befatta sig med dricksen, vilket kan resultera i att man får betala moms och arbetsgivaravgifter på personalens dricks. Källor: Euroline och SHR. Läs mer om EMV på nästa uppslag

14 tema: emv restauratören nr 32 2008 300 000 kronor för certifiering best Western Hotel Jägersro tvingades till Så vi är snart överkvalificerade säkerhetsmässigt. en dyr och omfattande certifiering av sitt korthanteringssystem. Vd Jan-Åke Hagman säger sig inte ha Det har bland annat inneburit att hotellet tvingats fått några bevis för att det är från hotellet som kortinformation har läckt ut. Tidigare hade vi bara en server. Nu skulle vi ha investera i fler servrar. För ett år sedan kontaktades Jan-Åke Hagman, fyra olika servrar: en för bokningar, en för kontokortshantering och två andra för något annat. Till som driver Best Western Hotel Jägersro i Malmö, av SEB:s kortinlösenföretag Euroline. Han fick det kom installation och service och de konsulter beskedet att kontokortsnummer hade läckt ut från som varit inkopplade. Det har varit otroligt jobbigt hotellet. Kortnätverken, med Visa och Mastercard i och kostat massor med pengar. spetsen, krävde därför att hotellet skulle genomgå en PCI DSS-certifiering (läs mer om PCI DSS på sidan FÖrutoM kostnaden FÖr att bli certifierad fick 16). Det innebar en massa jobb, krångel samt kostnader på 300 000 kronor. ken. hotellet betala böter på 25 000 kronor till kortnätver- Det första som hände var att hotellet stängdes av Kerstin Ottosson, informationschef på SEB kort från systemet och inte längre fick ta kreditkort online. som äger Euroline, säger att banksekretessen gör att hon inte får kommentera enskilda ärenden. Men enligt henne placeras företag alltid i nivå 1 för PCI DSS-certifiering om någon varit inne i datasystemet och tagit kortinformation. JAN-ÅKE HAGMAN VD PÅ BEST WESTERN HOTEL JÄGERSRO Så om man hamnar i nivå 1 har utredningen Vi fick gå tillbaka till vanliga betalterminaler via bevisat att det är fråga om intrång. telefonjacket. Det är mycket bökigare att ta kort via Kortnätverkens regler säger att så länge ett säljställe inte har åtgärdat de problem som finns, så telefonjacket, herregud, det tar så lång tid. Och det gick inte längre att reservera belopp när gästerna checkade in, säger Jan-Åke Hagman.»Vi fick gå tillbaka till vanliga betalterminaler via telefonjacket. Det är mycket bökigare att ta kort via telefonjacket, herregud, det tar så lång tid. Och det gick inte längre att reservera belopp när gästerna checkade in.«för att Få börja dra korten online igen var hotellet tvunget att göra en PCI DSS-certifiering. Men kraven var mycket tuffare än för andra hotell av samma storlek. Kortnätverken ställer olika krav på hur omfattande certifieringen ska vara, normalt baserat på hur många korttransaktioner ett företag har per år. Det finns fyra olika nivåer. De största företagen, med flest korttransaktioner, placeras i nivå 1 och måste ta dit en certifierad kontrollant godkänd av kortnätverken. För nivå 2 4 räcker det att man fyller i ett frågeformulär samt gör en sårbarhetsskanning kvartalsvis. Certifieringen av hotellet inleddes i mars och är färdig inom kort. Emv på HOtELL får man inte använda utrustningen, säger Kerstin Ottosson. Hon säger vidare att i Eurolines avtal med säljföretag står vilka rutiner man måste följa för att hålla kortsäkerheten på rätt nivå, nämligen PCI DSS. Om det finns misstankar om kortbedrägerier initierar kortnätverken en utredning där man kontrollerar säljföretagets korthantering. Om den visar att säljföretaget inte har följt de säkerhetsregler som gäller bötfäller kortnätverken kortinlösaren. Det är kortnätverken som initierar böterna. Men det står i våra avtal att om säljstället inte följt sina rutiner så kan vi lägga över dem på säljstället, säger Kerstin Ottosson. Jan-åke HagMan säger sig inte ha fått några bevis för att det är från hotellet som kortinformation har läckt ut, utan tror att det är en bankomat precis intill hotellet som skimmats, alltså att informationen på magnetremsan kopierats. Men både Kerstin Ottosson och polisen säger att inte finns någonting som tyder på att bankomaten varit utsatt. Kerstin Ottosson säger att om en utredning kommer fram till att säkerhetsnivån inte är tillräcklig på ett säljställe, blir säljstället tvunget att vidta åtgärder för att bli PCI DSS-certifierad. Och vi återrapporterar självklart vad utredningen kommit fram till, vilka bevis som finns, säger hon. dagens regler FÖr no shows påverkas inte av EMV. Precis som i dag kan en natt debiteras förutsatt att bokningsproceduren finns bekräftad enligt reglerna om no show. En reservation via ett kort med chip, utan pinkod, är inte värt något i bankens ögon om kortet till exempel är stulet. Då kan inte hotellet kräva gästen på betalning för rummet. Bokningar via nätet är bättre än telefonbokningar, eftersom det då finns någon form av nätbaserad betalningslösning och gästen lämnar sin tre-siffriga CVV-kod, som står på baksidan av kortet. I dag när gäster checkar in reserverar många hotell ett högre belopp än vad den planerade övernattningen kommer att kosta. Detta för att täcka eventuella köp från minibaren eller liknande. Det blir ingen skillnad med EMV, förutom att hotellet måste fråga gästen att det är okej att reservera ett högre belopp, eftersom gästen godkänner beloppet med sin pin-kod. Om differensen mot det reserverade beloppet är mindre än 15 procent vid utcheckning sköts detta automatiskt. Om differensen är större än 15 procent sker en tilläggsauktorisation. Hur det går till beror på vilken utrustning hotellet har. Som hotell kan du avtala i förväg med gästen om att du i efterhand har rätt att debitera kortet eventuell konsumtion som är större än det förväntade vid incheckning. Gäster som till exempel tagit saker ur minibaren men bara lämnar hotellet utan att checka ut kan hotellet behöva kontakta i efterhand. Samma regler för efterdebitering som gäller i dag gäller även i samband med införande av EMV. Om antalet rumsnätter förändras jämfört vid incheckning krävs en tilläggsauktorisation på samma sätt som om gästen konsumerar mer än vad som är reserverat vid incheckningen. Källor: Euroline och SHR.

2008 nr 32 restauratören tema: emv 15 foto: andré de loisted Jan-Åke Hagmans Hotel Jägersro har tvingats genomgå en mycket omfattande och dyr PCI DSS-certifiering, efter att kortnätverken kommit fram till att kortinformation läckt ut från hotellet. Men i dagarna är den klar och han och servitrisen Kersti Tyhag får glädja sig åt att hotellet nu är överkvalificerat säkerhetsmässigt. Ingen oro på hotellen för den nya korttekniken Övergången till EMV blir odramatisk tror de hotellföreträdare som Restauratören pratat med. Men strategierna kan vara helt olika. Rezidor accepterar inte kortnumret som garanti vid telefonbokning och reserverar inte högre belopp vid incheckning, Profil Hotels gör tvärtom. EMV innebär att kortet måste sitta i kortläsarterminalen samtidigt som kortinnehavaren slår sin kod för att en transaktion ska kunna genomföras. Därför kan många hotell behöva ändra sina rutiner vid telefonbokningar och in- och utcheckning. Men Kaj Johnson, it-ansvarig för Rezidor i Sverige, tar det lugnt. Anledningen är att Rezidor sedan tidigare inte nöjer sig med att gästen bara uppger sitt kortnummer för att garantera rummet vid telefonbokningar. Vi vill ha en kopia på fram- och baksida av det kort gästen vill betala med, kompletterat med en underskrift. Den kopian ska gästen faxa eller mejla till centralbokningen, som sedan krypterar det meddelandet och skickar till hotellet, säger Kaj Johnson. Krypteringen görs på grund av PCI DSSkrav, som säger att inga kortdata får skickas i klartext (läs mer om PCI DSS på sidan 16). Thomas Rähn är platschef på Central Hotel i Stockholm, som ingår i Profil Hotels, och ansvarig för hela kedjans övergång till EMV. Han ser inte heller övergången till EMV som dramatisk, men berättar att Profil Hotels har valt en annan strategi än Rezidor. I dag tar Profil Hotels kortnumret av gästen, för att garantera bokningen av rummet. Men om gästen nekar till att ha bokat så är det inget värt eftersom vem som helst kan uppge vilket kortnummer som helst. Men det blir ingen skillnad med EMV, så vi kommer absolut att fortsätta att ta kortnummer. Risken för att det är en lögn är minimal, den förlusten får jag räkna med, säger Thomas Rähn. Att boka via internet påverkas inte av EMV. Men både Rezidor och Profil Hotels tittar på möjligheten att gästerna ska kunna betala rummen över internet, inte bara boka dem genom att uppge sitt kortnummer. Det ska i så fall ske på ungefär samma sätt som på sajter som cdon.com. Men i så fall kommer inte vi att hantera kortuppgifterna utan vi lägger över det på en PCI DSS-certifierad leverantör, säger Kaj Johnson. Han tror inte heller att rutinerna vid in- och utcheckning påverkas nämnvärt för Rezidor. Anledningen är att kedjan inte reserverar ett högre belopp när gästen checkar in än vad den planerade övernattningen kommer att kosta, vilket många hotell gör för att täcka eventuell annan konsumtion, till exempel mat, dryck, telefon eller betal-tv. Det beror på att det ett tag var struligt med de här debiteringarna, det blev dubbeldebiteringar och liknande. Det Rezidor gör vid incheckning med EMV är att man låter gästen stoppa sitt kort i terminalen och slå sin kod. Hotellet får då en kod som visar att kortet är godkänt och inte stöldanmält eller liknande. Någon debitering sker inte i det här läget. Det förväntade beloppet reserveras på kortet, precis som i dag. Om det är någon skillnad mot det reserverade beloppet när gästen checkar ut så debiteras det då. Central Hotel lägger på 10 procent på det förväntade beloppet när man reserverar pengar vid incheckning. Med EMV måste gästen godkänna ett belopp med pin-koden. Då kan vi ställa frågan: Vill ni att vi reserverar ett högre belopp för eventuella extra kostnader för till exempel telefon, betal-tv eller annat? Om inte så gör vi inte det. Man får se hur gästerna anpassar sig efter det nya systemet så får vi anpassa oss efter dem, säger Thomas Rähn. Läs mer om EMV på nästa uppslag

16 tema: emv restauratören nr 32 2008 Problem olöst för trådlöst i dagsläget Finns inga terminaler som kan hantera dricks och samtidigt är kopplade till kassasystemet. En tillbakagång till 80-talet, anser Thomas Rähn på Profil Hotels. Thomas Rähn är platschef på Central Hotel i Stockholm, som ingår i Profil Hotels. Han håller i hela kedjans övergång till EMV och är orolig för hur det ska funka i restaurangerna, eftersom han bara kan tänka sig trådlösa terminaler där. Och än så länge finns inga trådlösa terminaler som kommunicerar med kassan. Med fasta terminaler är det inga problem, de skickar informationen rakt in i kassasystemet. Men de trådlösa enheterna går via GPRS direkt till Euroline, säger Thomas Rähn.»Den företagare som vill ha ett kassakopplat system måste få sin leverantör att garantera att det system man köper kommer att uppfylla PCI DSS-kraven.«MATS HENRIKSSON PROJEKTLEDARE FÖR PCI DSS PÅ PAN NORDIC Utan EMV-terminaler som är kopplade till kassan ökar risken för felslag. Dessutom innebär det en massa dubbelarbete. Man vill ha en integrerad lösning för att allt ska gå genom ett och samma system. Det blir mycket lättare att hantera alla transaktioner och rapporter säkra, det krävs helt enkelt mer av leverantörerna för att PCI DSS-säkra kassakopplade system (läs mer om PCI DSS nedan). Mats Henriksson är projektledare för PCI DSS på Pan Nordic, bankernas samarbetsorganisation i kortfrågor. Hans råd till företagare som vill ha kassa kopplade system är tydligt: Den företagare som vill ha ett kassakopplat system måste få sin leverantör att garantera att det system man köper kommer att uppfylla PCI DSS-kraven. Kan leverantören inte garantera att deras kassasystem kommer att klara en verifiering bör man antingen välja en annan leverantör eller nöja sig med fristående terminaler som inte är kopplade till kassasystemet, råder Mats Henriksson. framför allt, så att man slipper allt dubbelarbete. Att stämma av slippar mot kassan låter som att gå tillbaka till 80-talet, säger Thomas Rähn. SHR:s utvecklingschef Clemens Wantschura bekräftar att det ännu inte finns bärbara terminaler som kan kopplas till kassan, men säger att det kommer. Det är på gång inom en inte alltför avlägsen framtid. Många leverantörer har kommit långt, säger Clemens Wantschura. Än så länge kan du dessutom bara ha en kassakopplad terminal per kassa. Det gör att till exempel barer kan behöva jobba med fristående terminaler, om det behövs fler än en terminal i baren. Men även det löser sig så småningom tror Clemens Wantschura. När det gäller EMV-terminaler kopplade till kassasystemet så kan sådana system vara lite svårare att Tänk på... Kontakta din kortinlösare och ta reda på vad den kräver av dig för att du ska uppfylla PCI DSS.! Tänk igenom vilken utrustning och vilka funktioner du vill ha: Vad vill du att ditt kassasystem ska kunna? Vill du ha ett kassasystem som är kopplat till kortterminalerna så att du inte behöver knappa in beloppet i terminalen innan gästen ska slå sin kod? Vill du att korttransaktionen automatiskt ska rapporteras till kassasystemet så att du slipper räkna slippar efter dagens slut? Hur många kortterminaler tror du att du behöver i matsalen, i baren, i receptionen? Vill du ha bärbara terminaler i både matsal och bar? Presentera dina önskemål för olika leverantörer. Kräv att de garanterar att det de levererar ska klara såväl PCI DSS som certifiering av kassaregistret. Kontrollera att din kortinlösare ger grönt ljus för den utrustning du tänker välja. SHR är väl insatt i dessa frågor. Behöver du råd, kontakta Clemens Wantschura på SHR. pci Dss pci dss står FÖr Payment Card Industry Data Security Standard. Det är en säkerhetsstandard som kortbranschen kräver av alla som tar emot kort. PCI DSS ska trygga hela kedjan i en korttransaktion så att inte information om till exempel kortnummer läcker ut. Varje företag som tar emot kort är ansvarigt för att korthanteringen sköts på ett säkert och korrekt sätt på alla inköpsställen och därmed uppfyller PCI DSS. Om du eller din utrustning inte uppfyller kraven kan din bank neka dig att ta emot kort. Pan Nordic, de nordiska bankernas samarbetsorganisation i kortfrågor, driver projektet, framför allt genom att ställa krav på leverantörerna. Det finns fyra olika nivåer för hur man bevisar att man är godkänd enligt PCI DSS. Nivåerna bygger på hur många korttransaktioner ditt företag hanterar. För de flesta företag räcker det med att fylla i ett frågeformulär som man får från sin kortinlösare. Det fungerar som en egenkontroll där du svarar på frågor om vilken utrustning ni använder för att ta emot kort och vilka rutiner ni har. Har ni ett litet system för kortmottagning klarar du att fylla i formuläret själv, är det ett mer komplext system kan du behöva konsulthjälp. Företag med riktigt många korttransaktioner måste ta dit en certifierad kontrollant. Bankerna har redan inlett det här arbetet och egentligen ska alla vara PCI DSS-godkända redan. Den som inte uppfyller PCI DSS-kraven löper ökad risk vid eventuella kortbedrägerier. Emv emv står FÖr Europay, Mastercard och Visa. Det är en ny standard för kortbetalningar som går ut på att magnetremsan på kortet kompletteras med ett chip. Den information som finns i chipet är mycket svårare att kopiera än den som finns i magnetremsan. När betalning sker med ett kort med chip måste kortet som regel sitta i kortläsarterminalen och kortinnehavaren slå in sin kod. Magnetremsan kommer dock att finnas kvar, bland annat eftersom USA ännu inte planerat att införa chip. Det går inte att använda magnetremsan i terminaler som kan ta chip, om kortet har chip. Magnetremsan på chipkort kan fortfarande skimmas, alltså kopieras, och användas för betalning över internet eller i terminaler som inte tar chip. Men skimmade chipkort kan inte användas i EMV-terminaler. Hittills har inlösande bank tagit kostnaden för kortbedrägerier eller om någon handlat med ett stulet kort. De företag som har fristående terminaler, alltså sådana som inte är kopplade till ett hotell- eller restaurangsystem, tar dock över den risken den 1 januari 2009, om man inte bytt till EMV. Senast vid utgången av 2010 ska alla kort vara försedda med chip och alla terminaler kunna hantera det. Med EMV blir det lättare att uppfylla PCI DSS-kraven. CERtIFIERaDE KassOR den 1 Januari 2010 blir det lagkrav på certifierade kassor i alla företag som tar emot betalning via kort eller kontanter, med undantag för bland annat taxi. Skatteverkets föreskrifter för vilka krav som ska gälla har nyligen blivit klara. De innebär att en kontrollenhet ska kopplas till varje kassa. I kontrollenheten lagras och krypteras alla transaktioner som sker i kassan. Tillverkare och leverantörer av kassaregister måste lämna in en tillverkardeklaration till Skatteverket där de garanterar att kassaregistret uppfyller de tekniska kraven. För att systemet ska fungera kommer många kassor att behöva programmeras om eller bytas ut. Källor: Euroline, Pan Nordic och SHR.