Leitfaden zum Onlinetransaktionsrisikomanagement

Microsoft nimmt das Onlinetransaktionsrisikomanagement ernst, und Partner sollten dasselbe tun, um Geschäftsrisiken zu mindern. Um Partner zu unterstützen, teilt Microsoft eine Reihe von Empfehlungen zur Verwaltung von Risiken bei der Onlinearbeit mit Kunden. Während Microsoft sich verpflichtet, Partner zu unterstützen, bleiben Partner finanziell für betrügerische Einkäufe durch ihre Kunden und/oder Kunden nicht bezahlte Dienste verantwortlich.

Bewährte Methoden für das Online-Risikomanagement

Dieser Abschnitt enthält Informationen zu den grundlegenden Aspekten des Risikomanagements, die Sie kennen sollten, sowie Vorschläge für bewährte Methoden.

In der folgenden Tabelle finden Sie Informationen zur Risikoexposition, die abgemildert werden soll:

*Der Dienstdiebstahl könnte in Schwellenländern und Risikoregionen höher sein.

Bewährte Methoden

Microsoft empfiehlt Partnern, die folgenden Protokolle während des gesamten Lebenszyklus der Kundenbeziehung zu implementieren:

• Onboarding neuer Kunden
  • Richten Sie nach Möglichkeit persönliche Beziehungen mit Kunden ein (z. B. telefonisch).
  • Suchen Sie nach besseren Möglichkeiten, die Anmeldeinformationen und den Hintergrund von Kunden zu überprüfen (Credit Bureaus/Business Commercial Report Agencies).
  • Verwenden Sie die mehrstufige Authentifizierung (MFA) während der Registrierung, um die Gefährdung von Roboterkontoerstellung und -einkauf zu minimieren.
  • Fordern Sie kunden auf, ihre Mandanten zu überwachen und zu schützen** durch Die Folgenden bewährter Sicherheitsmethoden.
  • Verwalten und Nachverfolgen von Identitäten mithilfe von Diensten wie digitalen Identitätsdiensten.
  • Verwenden Sie Systeme zur Erkennung von Kreditkartenbetrug, um die Kapitalkraft von Kunden zu beurteilen.
  • Stellen Sie eine eindeutige Inkasso-Richtlinie auf. Detailsammlungsprozesse und wenn der Zugriff auf Abonnements von nicht bezahlten Abonnements betroffen ist.
• Verwalten von Kundenkonten
  • Implementieren Sie einen Prozess, um Microsoft-Benachrichtigungen schnell zu empfangen, zu überprüfen, auf diese zu reagieren und sie zu beantworten.
  • Arbeiten Sie mit Kunden zusammen, um ihre Geschäftsanforderungen für die Cloudnutzung zu verstehen und geeignete Überwachungsschwellenwerte festzulegen. (Partner können beispielsweise ein monatliches Azure-Ausgabenbudget im Partner Center festlegen.
  • Prüfen Sie regelmäßig die Kundenaktivitätsprotokolle, um Betrug frühzeitig zu erkennen.
  • Handeln Sie schnell, wenn Sie verdächtige Aktivitäten entdecken.
  • Vermeiden Sie es, Kunden vollständigen Administratorzugriff auf Abonnements zu gewähren, wenn Sie noch keine Kontrollmechanismen zur Risikominderung implementiert haben.
• Verwalten der Kundenabrechnung
  • Fordern Sie Vorzahlung vor den ersten Transaktionen und der Abrechnung an.
  • Akzeptieren Sie keine Risikozahlungsinstrumente (z. B. Prepaidkarten oder gespeicherte Karten).
  • Überwachen Sie Kundenzahlungen und länger ausstehende Forderungen. Setzen Sie standardisierten Mahnverfahren verspätete oder ausgebliebenen Zahlungen durch.

Vorschläge für bewährte Methoden für das Onboarding von Kunden

Dieser Abschnitt enthält bewährte Methoden für das Onboarding von Kunden. Abschnitte umfassen Informationen zur Überprüfung des Short Message Service (SMS), zur Endbenutzeridentitätsverwaltung und zum Wissen Ihres Kunden beim Onboarding.

SMS(Text)-Überprüfung

Während des Anmeldevorgangs werden Endbenutzern eine Seite "Nachweis, dass Sie kein Roboter sind" angezeigt, die eine Kundenüberprüfung per SMS (Text) initiiert:

• Die Verwendung einer SMS-Überprüfungslösung hilft Partnern, das Risiko von Kundenanmeldungen durch Robotermethoden zu minimieren. Die SMS-Überprüfung verhindert auch, dass schlechte Akteure problemlos mehrere Konten erstellen können (z. B. gefälschte Anmeldungen).
• Während des Anmeldevorgangs können Partner bestätigen, ob sich eine Person am anderen Ende der Transaktion befindet. Die Überprüfung erfolgt durch Anforderung des Kunden, eine Mobiltelefonnummer anzugeben, an die eine einmalige Kennung per SMS gesendet wird.
• Darüber hinaus kann die SMS-Überprüfung auch als Teil eines mehrstufigen Authentifizierungsprozesses (MFA) für etablierte Kunden verwendet werden.

Endbenutzeridentitätsverwaltung

Die bewährten Methoden zur Risikominderung des Betrugsrisikos sind:

• Eine Möglichkeit zum Verwalten und Nachverfolgen der Identität eines Kunden ist die Verwendung eines digitalen Identitätsdiensts.
• Eine digitale Identität ist eine eindeutige Signatur eines einzelnen Benutzers und/oder Geräts am anderen Ende einer Onlinetransaktion.
• Digital Identity Services ermöglicht Es Partnern, Kunden über einfache IDs wie eine E-Mail-Adresse, physische Adresse usw. hinaus besser zu identifizieren.
• Partner können die Identität von Kunden überprüfen und potenzielle schlechte Akteure mithilfe von Tools von Drittanbietern identifizieren.

Kennen Sie Ihren Kunden beim Onboarding

Es ist wichtig, dass Partner zusätzliche Schritte unternehmen, um die Identität und finanzielle Stärke von Einzelpersonen und Unternehmen zu überprüfen, die Onlinedienste erwerben möchten. Die bewährten Methoden sind:

• Erstellen Sie persönliche Beziehungen mit Kunden, z. B. telefonisch, persönlich treffen usw.
• Fordern Sie während der Registrierung eine Kreditkarte an. Akzeptieren Sie keine gespeicherten, wertigen Karten oder Prepaid-Kreditkarten als Zahlungsmethode.
• Implementieren Sie strenge Systeme zur Erkennung von Kreditkartenbetrug , um sicherzustellen, dass der Kunde, der das Zahlungsmittel präsentiert, ein autorisierter Benutzer ist; überprüfen Sie Finanzberichte von Kreditinstituten.
• Überprüfen Sie die Anmeldeinformationen und den Hintergrund von Kunden an vertrauenswürdigen Stellen wie Geschäftsberichtsagenturen.

Vorschläge für bewährte Methoden für Kunden nach dem Kauf

Kennen Sie Ihren Kunden

Es ist die bewährte Methode, die Nutzungsüberwachung für Dienste zu implementieren, auch wenn diese Dienste nicht vom Verbrauch abgerechnet werden. Diese Vorgehensweise gilt jedoch insbesondere für verbrauchsrechnungsierte Dienste wie Azure, bei denen die Abrechnung nach der Nutzung erfolgt.

• Auf der Grundlage der Strategie "Wissen Ihrer Kunden" sollten Partner eng mit Kunden zusammenarbeiten, um die grundlegenden Geschäftsanforderungen ihrer Clouddienstenutzung zu verstehen.
• Vermeiden Sie es Kunden, vollständige Administratorzugriff auf Abonnements zu gewähren, ohne zuerst Risikominderungskontrollen zu implementieren, z. B. die bewährten Methoden in diesem Handbuch.
• Um die Nutzung auf Kundenebene für die verschiedenen Geschäftlichen Anforderungen des Kunden zu überwachen, verwenden Sie das Microsoft Azure-Verwaltungsportal und die verfügbaren Nutzungsberichtsfunktionen .
• Abonnieren Sie neue Sicherheitswarnungen , die einer der vielen Möglichkeiten sind, mit denen Microsoft Partner beim Sichern der Mandanten ihrer Kunden unterstützt. Warnungen sollten schnell untersucht und behoben werden, falls erforderlich, können Partner betroffene Azure-Ressourcen oder Azure-Abonnements aussetzen, um ein Problem zu beheben.

Abrechnung

Im Programm für Cloud-Lösungsanbieter stellt Microsoft den Endkunden nicht in Rechnung. Der Partner ist zum Einrichten und Verarbeiten der Abrechnung erforderlich.

Partner sollten die folgenden Protokolle in ihrem Abrechnungsprozess implementieren:

• Sichern Sie Zahlungen im Voraus vor der Abrechnung, indem Sie kundenauffordern, Vorauszahlungen zu übermitteln, um ihre Kontoaktivität zu finanzieren.
• Vermeiden Sie die Annahme von Risikozahlungsinstrumenten wie Prepaid- oder gespeicherten Karten, da der Betrag auf den Karten nicht überprüft werden kann und möglicherweise nicht ausreicht, um die Kaufkosten des Kunden zu decken.
• Überwachen Sie Kundenzahlungen und alternde Forderungen eng, durchsetzen Sie standardisierte Dunning-Prozesse für verspätete oder nicht bezahlte Zahlungen, einschließlich der Aussetzung von Abonnements und Diensten, bis Zahlungen an ausstehenden Saldos empfangen werden.

Microsoft-Benachrichtigungen

Microsoft hat einen Benachrichtigungsdienst implementiert, und es ist wichtig, dass Partner E-Mail-Adressen, die Abonnementadministratoren zugeordnet sind, regelmäßig aktualisiert werden:

• Partner sollten Prozesse entwickeln und implementieren, um microsoft-Benachrichtigungen bei Bedarf schnell zu empfangen, zu überprüfen, zu reagieren und darauf zu reagieren.
• Wenn Microsoft ungewöhnliche Aktivitäten erkennt, sendet Microsoft Benachrichtigungen an Partner in den folgenden Szenarien:
  • Wenn Abonnements vermutet oder festgestellt werden, dass sie gegen die Zulässige Nutzungsrichtlinie für Onlinedienste verstoßen, und/oder
  • Wenn Abonnements verdächtigen Aktivitäten (z. B. Betrug/Piraterie) zugeordnet sind und ein sofortiges Risiko für Microsoft, Partner und/oder Kunden darstellen.
• Kundenbenachrichtigungen werden über das Blatt "Azure Service Health" im Azure-Portal gesendet. Erfahren Sie, wie Sie Warnungen im Artikel Erstellen von Aktivitätsprotokollbenachrichtigungen für Dienstbenachrichtigungen mithilfe der Azure-Portal einrichten.
• Allgemeine Missbrauchs-E-Mail-Benachrichtigungen: E-Mails werden an azsafety@microsoft.com Abonnementadministratoren und -besitzer gesendet. Es wird empfohlen, die azsafety@microsoft.com E-Mail-Adresse zu Ihrer Liste sicherer Absender hinzuzufügen, um zu verhindern, dass wichtige E-Mails in Ihren Spamordner verschoben werden.

Erzwingung einer akzeptablen Verwendungsrichtlinie

• Im Rahmen ihrer Vereinbarung mit Microsoft werden Partner und deren Kunde davon ausgegangen, dass sie die in den Onlinedienstbedingungen beschriebene Akzeptable Nutzungsrichtlinie einhalten.
• Wenn Microsoft erkennt oder anderweitig über Partner- oder Kundenaktivitäten informiert wird, die wir bestätigen oder anderweitig vermuten, dass die Richtlinie zur zulässigen Verwendung verletzt wird, führt Microsoft Erzwingungsschritte aus.
• Verstöße gegen die Zulässige Nutzungsrichtlinie können zu einer Aussetzung von Onlinediensten führen – gegebenenfalls kann die Aussetzung sofort erfolgen. Andernfalls benachrichtigt Microsoft Partner, die Maßnahmen anfordern, die bereits von Microsoft ergriffen wurden, und/oder von Erzwingungsmaßnahmen.

Benachrichtigungen und erwartete Aktionen

Partner sollten Kunden auswerten, die festgestellt haben, dass sie gegen die Richtlinie für zulässige Nutzung verstoßen, um festzustellen, ob sie zusätzliche Risiken für ihr Unternehmen darstellen.

*E-Mail-Benachrichtigungen werden an die aufgelisteten Administratoren des Abonnements gesendet. Partner sollten sicherstellen, dass E-Mail-Kontaktinformationen regelmäßig aktualisiert werden.
**Bestimmte Verstöße können zu sofortiger Aussetzung und/oder Deaktivierung des beleidigenden Abonnements führen.

Wenn Partner verdächtige Nutzung erkennen

Partner sind finanziell dafür verantwortlich, dass ihre Kunden betrügerische Käufe und nicht bezahlte Dienstleistungen erhalten. Partner sollten Betrugspräventions- und Erkennungskontrollen zur Risikominderung implementieren, z. B. die in diesem Leitfaden beschriebenen Vorschläge.

• Wenn ein Partner verdächtige Aktivitäten proaktiv erkennt, sollte er sofort untersuchen und geeignete Maßnahmen ergreifen, um Risiken zu mindern:
  • Die Untersuchung kann die Überprüfung der Kontoanmeldungsaktivität des Kunden, den Rechnungszahlungsverlauf, häufige Änderungen an Zahlungsinstrumenten und/oder früheren Abonnementnutzungsmustern umfassen, wie zuvor empfohlen.
  • Abhilfemaßnahmen können die Behebung kompromittierter Identitäten, die Bereinigung kompromittierter Ressourcen und die Stärkung des Sicherheitsstatus umfassen. Weitere Informationen finden Sie unter Was sollten Sie tun, wenn ein Azure-Abonnement kompromittiert wurde?.
• Partner können auch eine Serviceanfrage im Partner Center einreichen, wenn sie andere Fragen oder Bedenken bezüglich verdächtiger Aktivitäten haben.

Zugehöriger Inhalt

• Bewährte Methoden zur Kundensicherheit
• Wesentliche Schritte zur Bestätigung, Eindämmung und Sicherung eines Kompromisses
• Nichtzahlung, Betrug und Missbrauch
• Azure-Betrugsbenachrichtigungen