NaverHustQA/TVPL huggingface dataset:
Điều 5. Trình tự, thủ tục và nguyên tắc thực hiện đầu tư, mua sắm hàng hóa
1. Cơ sở in, đúc tiền và đơn vị thực hiện đầu tư, mua sắm hàng hóa phải thực hiện các thủ tục đầu tư, mua sắm hàng hóa phục vụ hoạt động in, đúc tiền theo đúng quy định của pháp luật về quản lý đầu tư, đấu thầu và các quy định khác của pháp luật có liên quan; đồng thời tuân thủ phân cấp thẩm quyền đầu tư quy định tại Thông tư này.
2. Việc đầu tư, mua sắm hàng hóa phục vụ hoạt động in, đúc tiền phải được thực hiện trên cơ sở đảm bảo đúng tiêu chuẩn, định mức kinh tế, kỹ thuật theo quy định của Nhà nước và của Ngân hàng Nhà nước; bảo đảm công khai, minh bạch, tiết kiệm, hiệu quả và đáp ứng yêu cầu thực hiện nhiệm vụ in, đúc tiền của Ngân hàng Nhà nước.
Điều 6. Tổ chức mua sắm hàng hóa quy định tại khoản 1 Điều 1 Thông tư này
1. Căn cứ cơ cấu mệnh giá, số lượng các loại tiền cần in, đúc, định mức kinh tế, kỹ thuật in tiền đã được Thống đốc Ngân hàng Nhà nước phê duyệt và số lượng nguyên liệu, vật tư tồn kho, cơ sở in, đúc tiền xây dựng và tổ chức thực hiện kế hoạch mua sắm hàng hóa theo quy định pháp luật về đấu thầu và các quy định khác của pháp luật có liên quan; đồng thời, báo cáo Ngân hàng Nhà nước (Cục Phát hành và Kho quỹ) để kiểm tra, theo dõi. Trường hợp cần điều chỉnh, Ngân hàng Nhà nước (Cục Phát hành và Kho quỹ) có văn bản thông báo gửi cơ sở in, đúc tiền thực hiện điều chỉnh cho phù hợp.
2. Trường hợp mua hàng hóa phát sinh ngoài kế hoạch mua sắm quy định tại khoản 1 Điều này với mục đích thực hiện in, đúc thử nghiệm nhằm nghiên cứu, ứng dụng khoa học công nghệ hiện đại trong lĩnh vực in, đúc tiền và các mục đích khác có liên quan đến hoạt động in, đúc tiền, cơ sở in, đúc tiền trình Thống đốc Ngân hàng Nhà nước (qua Cục Phát hành và Kho quỹ) xem xét, phê duyệt.
Điều 7. Tổ chức mua sắm hàng hóa quy định tại khoản 2, khoản 3 Điều 1 Thông tư này. Căn cứ chủ trương đầu tư, quyết định đầu tư hoặc kế hoạch mua sắm hàng hóa được cấp có thẩm quyền phê duyệt, cơ sở in, đúc tiền, đơn vị thực hiện đầu tư, mua sắm hàng hóa tổ chức thực hiện mua sắm hàng hóa theo quy định pháp luật về đấu thầu và các quy định khác của pháp luật có liên quan.
Điều 8. Trách nhiệm của Vụ Tài chính - Kế toán
1. Đầu mối thẩm định trình Thống đốc Ngân hàng Nhà nước phê duyệt chủ trương đầu tư, quyết định đầu tư các dự án đầu tư, mua sắm hàng hóa phục vụ hoạt động in, đúc tiền thuộc thẩm quyền phê duyệt của Thống đốc Ngân hàng Nhà nước theo quy định tại Điều 4 Thông tư này.
2. Trường hợp cần thiết, Vụ Tài chính - Kế toán trình Thống đốc Ngân hàng Nhà nước giao các đơn vị liên quan thuộc Ngân hàng Nhà nước phối hợp tham gia thẩm định hoặc mời cơ quan chuyên môn của các Bộ, ngành khác tham gia thẩm định dự án.
Điều 9. Trách nhiệm của Cục Phát hành và Kho quỹ
1. Phối hợp với Vụ Tài chính - Kế toán trong quá trình thẩm định dự án đầu tư, mua sắm hàng hóa phục vụ hoạt động in, đúc tiền thuộc thẩm quyền phê duyệt của Thống đốc Ngân hàng Nhà nước tại Điều 4 Thông tư này, đảm bảo phù hợp yêu cầu chất lượng in, đúc tiền của Ngân hàng Nhà nước.
2. Đầu mối trình Thống đốc Ngân hàng Nhà nước chủ trương cho phép mua hàng hóa quy định tại khoản 2 Điều 6 Thông tư này. Trường hợp cần thiết, Cục Phát hành và Kho quỹ phối hợp lấy ý kiến các đơn vị liên quan thuộc Ngân hàng Nhà nước về đề xuất mua hàng hóa của cơ sở in, đúc tiền trước khi trình Thống đốc Ngân hàng Nhà nước xem xét, phê duyệt. Căn cứ phê duyệt của Thống đốc Ngân hàng Nhà nước, Cục Phát hành và Kho quỹ có thông báo gửi cơ sở in, đúc tiền thực hiện.
3. Thực hiện ủy quyền của Thống đốc Ngân hàng Nhà nước, Cục trưởng Cục Phát hành và Kho quỹ có văn bản xác nhận việc cơ sở in, đúc tiền nhập khẩu hàng hóa phục vụ hoạt động in, đúc tiền của Ngân hàng Nhà nước theo hợp đồng mua bán hàng hóa hoặc các hình thức văn bản khác giữa cơ sở in, đúc tiền và đơn vị cung cấp hàng hóa.
4. Kiểm tra, theo dõi tình hình thực hiện kế hoạch mua sắm hàng hóa phục vụ hoạt động in, đúc tiền tại các cơ sở in, đúc tiền.
5. Theo dõi tình hình thực hiện kế hoạch mua sắm hàng hóa phục vụ hoạt động in, đúc tiền tại đơn vị thực hiện đầu tư, mua sắm hàng hóa.
6. Trong trường hợp cần thiết, trình Thống đốc Ngân hàng Nhà nước tổ chức việc kiểm tra các thông số kỹ thuật của nguyên liệu, vật tư phục vụ in, đúc tiền tại các cơ sở in, đúc tiền.
Điều 10. Trách nhiệm của Vụ Kiểm toán nội bộ. Tham mưu, giúp Thống đốc Ngân hàng Nhà nước thực hiện việc giám sát, kiểm tra cơ sở in, đúc tiền; đơn vị thực hiện đầu tư, mua sắm hàng hóa và các đơn vị thuộc Ngân hàng Nhà nước có liên quan đến việc đầu tư, mua sắm hàng hóa phục vụ hoạt động in, đúc tiền theo quy định của pháp luật có liên quan.
Điều 11. Trách nhiệm của đơn vị thực hiện đầu tư, mua sắm hàng hóa
1. Tổ chức thực hiện dự án đầu tư, mua sắm hàng hóa phục vụ hoạt động in, đúc tiền theo quy định tại Thông tư này và các quy định khác của pháp luật có liên quan.
2. Chịu trách nhiệm trước Thống đốc Ngân hàng Nhà nước về kết quả thực hiện đầu tư, mua sắm hàng hóa phục vụ hoạt động in, đúc tiền; chất lượng hàng hóa đầu tư, mua sắm nhằm đảm bảo chất lượng và tiêu chuẩn kỹ thuật của từng loại tiền đã được Thống đốc Ngân hàng Nhà nước phê duyệt.
3. Thực hiện ký hợp đồng với đơn vị cung cấp hàng hóa phục vụ hoạt động in, đúc tiền.
4. Định kỳ hàng năm (chậm nhất vào ngày 18 tháng 01 năm tiếp theo), báo cáo bằng văn bản giấy, gửi trực tiếp hoặc qua dịch vụ bưu chính đến Ngân hàng Nhà nước (Cục Phát hành và Kho quỹ, Vụ Tài chính - Kế toán) về việc thực hiện kế hoạch mua sắm hàng hóa phục vụ hoạt động in, đúc tiền quy định tại Điều 1 Thông tư này theo Mẫu số 02 của Phụ lục ban hành kèm theo Thông tư này. Thời gian chốt số liệu báo cáo được tính từ ngày 15 tháng 12 năm trước kỳ báo cáo đến ngày 14 tháng 12 của kỳ báo cáo.
Điều 12. Trách nhiệm của cơ sở in, đúc tiền
1. Thực hiện theo quy định tại Điều 11 Thông tư này.
2. Gửi Ngân hàng Nhà nước (Cục Phát hành và Kho quỹ) các hợp đồng mua hàng hóa quy định tại khoản 1 Điều 1 Thông tư này.
3. Báo cáo Ngân hàng Nhà nước (Cục Phát hành và Kho quỹ) xem xét và có văn bản thông báo về việc tiếp nhận hàng hóa trong trường hợp hàng hóa được các đối tác cho, tặng hoặc tài trợ miễn phí với mục đích thực hiện in, đúc thử nghiệm nhằm nghiên cứu, ứng dụng khoa học công nghệ hiện đại trong lĩnh vực in, đúc tiền, đền bù hàng lỗi theo quy định tại Hợp đồng mua bán hàng hóa và các mục đích khác có liên quan đến hoạt động in, đúc tiền. Căn cứ văn bản thông báo của Ngân hàng Nhà nước (Cục Phát hành và Kho quỹ), cơ sở in, đúc tiền triển khai thực hiện.
4. Định kỳ hàng quý (chậm nhất vào ngày 18 của tháng đầu quý tiếp theo), cơ sở in, đúc tiền báo cáo bằng văn bản giấy, gửi trực tiếp hoặc qua dịch vụ bưu chính đến Ngân hàng Nhà nước (Cục Phát hành và Kho quỹ) về tình hình mua sắm và sử dụng hàng hóa đã mua sắm quy định tại khoản 1 Điều 1 Thông tư này theo Mẫu số 01 của Phụ lục ban hành kèm theo Thông tư này. Thời gian chốt số liệu báo cáo được tính từ ngày 15 của tháng trước kỳ báo cáo đến ngày 14 tháng cuối quý của kỳ báo cáo.
Điều 13. Quy định chuyển tiếp
1. Đối với các dự án đầu tư và kế hoạch mua sắm hàng hóa đã được cấp có thẩm quyền phê duyệt trước ngày Thông tư này có hiệu lực thì tiếp tục thực hiện theo các quy định pháp luật có liên quan và quy định tại Quyết định số 1145/2005/QĐ-NHNN ngày 04 tháng 8 năm 2005 của Thống đốc Ngân hàng Nhà nước Việt Nam ban hành Quy chế thực hiện đầu tư mua thiết bị và hàng hóa phục vụ in, đúc tiền của Ngân hàng Nhà nước.
2. Trong quá trình thực hiện, nếu các văn bản quy phạm pháp luật được dẫn chiếu để áp dụng trong Thông tư này có sửa đổi, bổ sung hoặc thay thế thì các nội dung dẫn chiếu sẽ được áp dụng theo các văn bản mới đã có hiệu lực.
Điều 14. Hiệu lực thi hành
1. Thông tư có hiệu lực thi hành kể từ ngày 14 tháng 8 năm 2020.
2. Thông tư này thay thế Quyết định số 1145/2005/QĐ-NHNN ngày 04 tháng 8 năm 2005 của Thống đốc Ngân hàng Nhà nước Việt Nam ban hành Quy chế thực hiện đầu tư mua thiết bị và hàng hóa phục vụ in, đúc tiền của Ngân hàng Nhà nước.
Điều 1. Phạm vi điều chỉnh và đối tượng áp dụng
1. Thông tư này quy định các yêu cầu kỹ thuật về an toàn bảo mật đối với trang thiết bị phục vụ thanh toán thẻ ngân hàng tại Việt Nam.
2. Thông tư này áp dụng đối với các tổ chức hoạt động thẻ, bao gồm:
a) Tổ chức phát hành thẻ (viết tắt là TCPHT);
b) Tổ chức thanh toán thẻ (viết tắt là TCTTT);
c) Tổ chức cung ứng dịch vụ trung gian thanh toán (viết tắt là TCTGTT) có trang thiết bị phục vụ thanh toán thẻ ngân hàng.
Điều 2. Giải thích từ ngữ. Trong Thông tư này, các từ ngữ dưới đây được hiểu như sau:
1. Trang thiết bị phục vụ thanh toán thẻ bao gồm các thiết bị, phần mềm sử dụng cho việc tiếp nhận, xử lý các giao dịch thẻ.
2. ATM (Automated Teller Machine) đặt bên ngoài là ATM đặt tại nơi công cộng và nơi không có người giám sát trực tiếp thiết bị.
3. Máy POS (Point Of Sale) là thiết bị chấp nhận thẻ được sử dụng để thực hiện giao dịch thẻ tại các đơn vị chấp nhận thẻ (viết tắt là ĐVCNT).
4. Máy mPOS (Mobile Point Of Sale) là máy POS bao gồm phần mềm và thiết bị chuyên dụng tích hợp với thiết bị thông tin di động.
5. Thẻ ngân hàng (sau đây gọi tắt là thẻ) bao gồm thẻ từ và thẻ chip
a) Thẻ từ là loại thẻ mà các thông tin của thẻ và chủ thẻ được mã hóa và lưu trữ trong dải băng từ ở mặt sau của thẻ;
b) Thẻ chip là loại thẻ được gắn vi mạch máy tính hoặc mạch tích hợp để nhận dạng, lưu trữ thông tin và giao dịch của chủ thẻ, xử lý vi mô khác.
6. Số thẻ là dãy số dùng để xác định tổ chức phát hành và chủ thẻ.
7. Dữ liệu thẻ bao gồm dữ liệu chủ thẻ và dữ liệu xác thực thẻ.
a) Dữ liệu chủ thẻ bao gồm các dữ liệu chính sau: số thẻ; tên của chủ thẻ (đối với thẻ định danh); ngày có hiệu lực của thẻ; mã dịch vụ (3 (ba) hoặc 4 (bốn) số trên bề mặt thẻ để xác định quyền hạn trên giao dịch (nếu có));
b) Dữ liệu xác thực thẻ bao gồm các dữ liệu sau: toàn bộ dữ liệu trên dải băng từ đối với thẻ từ hoặc dữ liệu trên vi mạch máy tính, mạch tích hợp của thẻ chip; dãy số giá trị hoặc mã xác thực thẻ được in trên thẻ; mã số xác định chủ thẻ (PIN) hoặc khối mã số xác định chủ thẻ (PIN block).
8. Môi trường dữ liệu chủ thẻ là môi trường bao gồm các trang thiết bị và quy trình xử lý, truyền dẫn, lưu trữ dữ liệu thẻ.
9. Mã hóa mạnh là phương pháp mã hóa dựa trên các thuật toán đã được kiểm tra, chấp nhận rộng rãi trên thế giới cùng với độ dài khóa tối thiểu 112 (một trăm mười hai) bit và kỹ thuật quản lý khóa phù hợp. Các thuật toán tối thiểu bao gồm: AES (128 bit); TDES (112 bit); RSA (2048 bit); ECC (160 bit); ElGamal (2048 bit).
10. Dữ liệu nhật ký là các dữ liệu được hệ thống thanh toán thẻ hoặc con người tạo ra để lưu lại các quá trình giao dịch, hoạt động của hệ thống bằng hình thức điện tử, văn bản để phục vụ hoạt động giám sát, tra soát, khiếu nại.
11. Người có thẩm quyền tại văn bản này được hiểu là người đại diện theo pháp luật của tổ chức hoặc người được người đại diện theo pháp luật của tổ chức ủy quyền.
12. Tổ chức hỗ trợ hoạt động thẻ là các tổ chức, cá nhân có chuyên môn được tổ chức hoạt động thẻ thuê hoặc hợp tác nhằm cung cấp hàng hóa, dịch vụ kỹ thuật cho hệ thống thanh toán thẻ.
Khoản 1. Các yêu cầu về thiết lập và quản lý cấu hình thiết bị an ninh mạng:
a) Việc thiết lập và thay đổi cấu hình thiết bị an ninh mạng phải được kiểm thử và được người có thẩm quyền phê duyệt trước khi thực hiện;
b) Sơ đồ kết nối hệ thống mạng phải được thiết kế đáp ứng yêu cầu: - Tách biệt giữa vùng dữ liệu chủ thẻ và các vùng mạng khác bao gồm cả vùng mạng không dây; - Tách biệt chức năng của máy chủ theo nguyên tắc các máy chủ ứng dụng, máy chủ cơ sở dữ liệu, máy chủ quản lý tên miền phải để trên các máy chủ khác nhau (có thể là các máy chủ ảo trên một máy chủ vật lý); - Có tường lửa tại các điểm kết nối giữa các vùng của hệ thống mạng; - Sơ đồ mạng phải mô tả được toàn bộ đường đi của dữ liệu chủ thẻ.
c) Phân định trách nhiệm và quyền hạn đối với bộ phận, cá nhân trong quản lý, cấu hình các thiết bị an ninh mạng bằng văn bản;
d) Không cung cấp địa chỉ mạng (địa chỉ IP) nội bộ và thông tin định tuyến cho các tổ chức khác khi chưa được người có thẩm quyền phê duyệt;
đ) Quy định bằng văn bản các cổng, dịch vụ, giao thức sử dụng trên hệ thống mạng bao gồm cả những cổng, giao thức, dịch vụ không an toàn. Triển khai đầy đủ các giải pháp an ninh khi sử dụng các cổng, dịch vụ và giao thức không an toàn;
e) Thực hiện đánh giá lại các chính sách thiết lập trên thiết bị an ninh mạng tối thiểu 02 lần/năm nhằm loại bỏ các chính sách không sử dụng, hết thời hạn hoặc thiết lập sai chính sách, đảm bảo chính sách được thiết lập trên thiết bị đúng với các chính sách đã được người có thẩm quyền phê duyệt.
Khoản 2. Cấu hình thiết bị an ninh mạng
a) Giới hạn các truy cập đến môi trường dữ liệu chủ thẻ, chỉ chấp nhận các truy cập thực sự cần thiết và kiểm soát được;
b) Giới hạn các truy cập đến thiết bị mạng và thiết bị an ninh mạng khớp đúng với trách nhiệm của cá nhân, bộ phận được quy định tại Điểm c Khoản 1 Điều này;
c) Các tập tin cấu hình phải được đồng bộ với cấu hình đang hoạt động của thiết bị và được lưu trữ an toàn theo chế độ mật để tránh các truy cập trái phép;
d) Thực hiện thiết lập chức năng giám sát trạng thái gói tin hoặc lọc dữ liệu tự động trên thiết bị tường lửa hoặc định tuyến để phát hiện các gói tin không hợp lệ.
Khoản 3. Kiểm soát các truy cập trực tiếp từ Internet đến môi trường dữ liệu chủ thẻ
a) Thiết lập vùng trung gian cung cấp dịch vụ ra ngoài Internet (xác định rõ các máy chủ, dịch vụ, địa chỉ IP, cổng, giao thức được phép truy cập). Việc kết nối ra, vào giữa Internet và môi trường dữ liệu chủ thẻ phải kết nối qua vùng trung gian cung cấp dịch vụ;
b) Thực hiện các biện pháp chống giả mạo để ngăn chặn và loại bỏ các khả năng giả mạo địa chỉ IP nguồn;
c) Không cho phép các truy cập từ môi trường dữ liệu chủ thẻ ra ngoài Internet khi chưa được người có thẩm quyền phê duyệt.
Khoản 4. Yêu cầu thiết lập phần mềm tường lửa trên tất cả các thiết bị, máy tính cá nhân có kết nối đến dữ liệu thẻ
a) Các chính sách an ninh trên phần mềm tường lửa chỉ cho phép thực hiện các hoạt động đủ phục vụ cho nhu cầu xử lý các quy trình nghiệp vụ;
b) Đảm bảo các thiết lập trên phần mềm tường lửa là đang hoạt động;
c) Đảm bảo người dùng không thể thay đổi cấu hình phần mềm tường lửa trên thiết bị.
Điều 4. Thay đổi, loại bỏ hoặc vô hiệu hóa các tham số, chức năng mặc định trong hệ thống trang thiết bị phục vụ thanh toán thẻ
1. Thay đổi hoặc vô hiệu hóa các tham số và chức năng mặc định của hệ thống (tài khoản, mã khóa bí mật, tham số hệ điều hành, phần mềm, ứng dụng không sử dụng; tham số trên máy POS không sử dụng; chuỗi ký tự mặc định trong giao thức giám sát mạng (giao thức SNMP)).
2. Thay đổi các tham số mặc định (khóa mã hóa trong mạng không dây; các mã khóa bí mật; chuỗi ký tự mặc định trong giao thức SNMP tại các môi trường mạng không dây có kết nối đến dữ liệu thẻ).
3. Chỉ bật hoặc cài đặt các chức năng mặc định (dịch vụ, giao thức, các chương trình nền) khi có nhu cầu sử dụng.
4. Loại bỏ các chức năng, dịch vụ, tập tin, ổ đĩa không cần thiết. Thực hiện thêm các biện pháp an toàn bổ sung (các công nghệ SSH, S-FTP, SSL, IPSec VPN) khi sử dụng các dịch vụ, giao thức không an toàn để truyền dữ liệu trên mạng (chia sẻ tệp tin (File Sharing), NetBIOS, Telnet, FTP).
Điều 7. Các yêu cầu kỹ thuật lắp đặt và an toàn vật lý ATM
1. Yêu cầu về lắp đặt ATM
a) Tổ chức hoạt động thẻ có cung cấp dịch vụ ATM (sau đây gọi chung là tổ chức cung cấp dịch vụ ATM) phải đảm bảo các yêu cầu về việc lắp đặt ATM theo quy định của Ngân hàng Nhà nước Việt Nam về trang bị, quản lý, vận hành và đảm bảo an toàn hoạt động của ATM.
b) Đối với ATM đặt bên ngoài Ngoài các yêu cầu tại Điểm a Khoản 1 Điều này, tổ chức cung cấp dịch vụ ATM thực hiện thêm các biện pháp đảm bảo an toàn cho ATM đặt bên ngoài đối với những nguy cơ mất an toàn vật lý sau: - Có biện pháp đảm bảo ATM tránh bị kéo để di dời trái phép; - Che giấu các thành phần, bộ phận ATM không cần thiết để lộ ra bên ngoài.
2. Yêu cầu về hệ thống báo động
a) Tổ chức cung cấp dịch vụ ATM trang bị thiết bị cảm biến cho ATM đặt bên ngoài để cảnh báo tác động nhiệt từ các thiết bị khò hàn và nhận biết các lực tác động với cường độ lớn, hoặc liên tục từ bên ngoài lên thân vỏ máy;
b) Tổ chức cung cấp dịch vụ ATM trang bị các thiết bị báo động cho ATM nhằm phòng chống: - Mở cửa máy trái phép; - Di dời trái phép khỏi khu vực đặt máy; - Đập phá máy trái phép. Các thiết bị báo động ngoài việc phát tín hiệu báo động tại chỗ, phải gửi cảnh báo về trung tâm giám sát.
3. Yêu cầu về két đựng tiền
a) Tổ chức cung cấp dịch vụ ATM trang bị két đựng tiền của ATM làm bằng vật liệu chịu được lực tác động lớn, chống được ăn mòn, tản nhiệt nhanh hoặc hấp thụ nhiệt chậm nhằm giảm thiểu mức độ hư hỏng vỏ két và tổn thất tiền bên trong do tác động lực, hóa chất và nhiệt từ bên ngoài;
b) Két đựng tiền của ATM phải được trang bị ít nhất hai khóa, do hai người nắm giữ.
4. Bàn phím nhập mã PIN phải đạt các yêu cầu nêu tại Điều 13 Thông tư này.
5. ATM phải có chứng nhận xuất xứ và có chứng nhận chất lượng của nhà sản xuất.
Khoản 1. Tổ chức cung cấp dịch vụ ATM phải đảm bảo các yêu cầu về phần mềm của ATM
a) Hệ điều hành máy ATM phải có bản quyền, được hỗ trợ bởi nhà cung cấp và được cập nhật bản vá lỗi kịp thời;
b) Hệ điều hành được cài đặt hoặc thiết lập phải đảm bảo phân tách các quyền khác nhau: quyền được sử dụng thiết bị lưu trữ ngoài; quyền được phép thay đổi cấu hình và chạy các ứng dụng, dịch vụ;
c) Phần mềm giao dịch trên ATM phải được thiết lập tính năng thông báo bằng hình ảnh hoặc âm thanh để cảnh báo người dùng các biện pháp an toàn trước khi nhập số PIN hoặc để thông báo người dùng nhận thẻ, nhận tiền sau khi thực hiện giao dịch;
d) Phần mềm điều khiển thiết bị, phần mềm giao dịch phải được thiết lập các tính năng chống lại việc lộ thông tin thẻ, thất thoát tiền do sai sót, gian lận hoặc do yếu tố lỗi kỹ thuật, các tính năng bao gồm: - Khi phần mềm điều khiển thiết bị chi tiền hoặc phần mềm ghi nhật ký giao dịch điện tử không hoạt động, ATM phải tự động dừng hoạt động chức năng rút tiền và tự động thông báo lỗi về trung tâm; - Phần mềm giao dịch trên ATM phải thiết lập tính năng bắt buộc người dùng phải nhập lại số PIN khi thực hiện giao dịch rút tiền tiếp theo; có thông báo nhắc nhở người dùng các biện pháp an toàn trước khi nhập số PIN và nhận thẻ sau khi thực hiện giao dịch.
Khoản 3. Yêu cầu về kết nối liên thông hệ thống thanh toán thẻ Hợp đồng, thỏa thuận kết nối liên thông hệ thống thanh toán thẻ qua ATM phải quy định dữ liệu được mã hóa và trách nhiệm của các bên trong việc đảm bảo tính bí mật của khóa dùng cho mã hóa. Khóa dùng cho mã hóa phải thay đổi tối thiểu 01 lần/năm.
Điều 10. Các yêu cầu đối với máy POS
1. TCTTT, TCTGTT và ĐVCNT phải có thỏa thuận rõ về trách nhiệm của ĐVCNT, bao gồm:
a) Quản lý, bảo vệ, lắp đặt máy POS tại nơi an toàn. Có biện pháp phòng chống việc sử dụng trái phép, trộm cắp máy POS, lắp đặt các thiết bị đọc trộm dữ liệu thẻ trên máy POS;
b) Lắp đặt nguồn điện, đường truyền đúng theo yêu cầu kỹ thuật của nhà sản xuất;
c) Máy POS phải có tên và logo của TCTTT.
2. Máy POS phải có chứng nhận xuất xứ và có chứng nhận chất lượng của nhà sản xuất.
3. Trên tất cả các máy POS phải có số điện thoại liên hệ của TCTTT và tổ chức cung cấp dịch vụ hỗ trợ (nếu có).
4. Bàn phím nhập mã PIN phải đạt các yêu cầu nêu tại Điều 13 Thông tư này.
5. TCTTT, TCPHT phải có hệ thống giám sát, cảnh báo các giao dịch bất thường (số lượng, giá trị, thời gian, địa điểm giao dịch).
Điều 11. Các yêu cầu đối với máy mPOS
1. TCTTT, TCTGTT và ĐVCNT phải có thỏa thuận rõ về tiêu chuẩn kỹ thuật và trách nhiệm kiểm tra giám sát hoạt động của máy mPOS đáp ứng tối thiểu các yêu cầu sau:
a) Yêu cầu đối với thiết bị thông tin di động cài đặt phần mềm mPOS - Thiết bị không bị bẻ khóa (jailbreaking hoặc rooting), tắt các kết nối không cần thiết cho việc sử dụng thanh toán; - Thiết lập thêm các tính năng bảo mật phòng chống bị mất, trộm cắp (tính năng theo dõi vị trí qua GPS, mã hóa ổ đĩa lưu trữ). Đồng thời, ĐVCNT phải quản lý thông tin về số serial, phiên bản phần mềm của thiết bị.
b) Yêu cầu đối với phần mềm mPOS; - Phần mềm mPOS được cài đặt theo hướng dẫn của đơn vị cung cấp giải pháp hoặc TCTTT; - Phần mềm mPOS không được phép thanh toán khi thiết bị mPOS không kết nối được về trung tâm thanh toán thẻ và không được lưu trữ các giao dịch thẻ; - Màn hình mPOS phải hiển thị tình trạng sẵn sàng phục vụ để người dùng biết; - Hóa đơn thanh toán được gửi đến khách hàng qua email, SMS hoặc được in ra (khi có yêu cầu), trong đó số thẻ phải được che giấu (chỉ hiển thị tối đa 06 (sáu) số đầu và 04 (bốn) số cuối).
2. TCTTT phải công bố danh sách các ĐVCNT đã đăng ký sử dụng máy mPOS để chấp nhận thanh toán trên website của đơn vị hoặc các phương tiện truyền thông khác (nếu có).
Khoản 1. Lưu trữ, phục hồi, hủy thông tin, dữ liệu thẻ
a) Thực hiện chính sách, thủ tục, quy trình lưu trữ và hủy dữ liệu chủ thẻ; hạn chế lượng dữ liệu, thời gian cần lưu trữ đáp ứng theo yêu cầu nghiệp vụ và quy định của pháp luật về lưu trữ; hàng quý thực hiện xác định và xóa an toàn dữ liệu chủ thẻ vượt quá thời gian cần lưu trữ; tuân thủ các quy định về lưu dữ liệu chủ thẻ, bao gồm các quy định về thời hạn bảo quản hồ sơ, tài liệu lưu trữ trong ngành ngân hàng;
b) Dữ liệu xác thực thẻ phải đảm bảo: Giữ bí mật trong hoạt động in ấn, phát hành thẻ; cá nhân hoặc tổ chức khi xử lý dữ liệu xác thực thẻ phải cam kết không tiết lộ thông tin; không lưu trữ dữ liệu xác thực thẻ sau khi đã xác thực, kể cả thông tin đã mã hóa tại giao dịch đến, các tập tin dữ liệu nhật ký, tập tin lịch sử, tập tin theo dõi, các bảng sơ đồ dữ liệu và các nội dung cơ sở dữ liệu;
c) Số thẻ phải được che giấu khi hiển thị và chỉ được hiển thị đầy đủ khi có yêu cầu của cơ quan có thẩm quyền hoặc chủ sở hữu hợp pháp của thẻ; số thẻ phải đảm bảo không đọc được tại các nơi lưu trữ;
d) Đảm bảo số thẻ không đọc được tại các nơi lưu trữ bằng cách sử dụng một trong các phương pháp sau: - Phương pháp sử dụng hàm băm một chiều (hàm hash) dựa trên thuật toán mã hóa mạnh; - Phương pháp phân tách, cắt bớt dữ liệu đảm bảo không đọc được toàn bộ dữ liệu khi lưu trữ trên các tập tin, cơ sở dữ liệu, dữ liệu nhật ký; - Sử dụng hệ thống mật mã sử dụng một lần, trong đó đảm bảo thiết bị nhận mã phải được giữ bí mật; - Phương pháp mã hóa mạnh với quy trình và thủ tục quản lý khóa phải được tuân thủ; - Sử dụng phương pháp mã hóa ổ đĩa trong đó đảm bảo thực hiện mã hóa các tập tin thông qua cơ chế riêng biệt và độc lập với cơ chế kiểm soát truy cập và xác thực trên nền hệ điều hành có sẵn.
Khoản 2. Quy định mã hóa dữ liệu tại vùng lưu trữ dữ liệu thẻ
a) Các khóa dùng trong mã hóa phải được lưu trữ và có biện pháp đảm bảo an toàn tránh nguy cơ lộ thông tin: - Giới hạn số lượng người có quyền truy cập đến khóa mã hóa; - Lưu giữ các khóa riêng dùng để mã hóa, giải mã dữ liệu chủ thẻ trong mọi thời điểm theo một trong các phương thức sau: + Lưu trữ trong thiết bị chuyên dụng hoặc thiết bị bảo mật PIN trong giao dịch; + Lưu giữ khóa thành tối thiểu hai phần riêng biệt. + Thực hiện mã hóa khóa bằng thuật toán phải mạnh bằng hoặc mạnh hơn thuật toán dùng để mã hóa dữ liệu. Khóa để mã hóa khóa phải được lưu trữ tách biệt với khóa để mã hóa dữ liệu;
b) Ban hành quy trình thực hiện tất cả các công việc liên quan đến quản lý khóa và thủ tục mã hóa để mã hóa dữ liệu chủ thẻ bao gồm: - Quá trình tạo ra các khóa mã hóa; - Phân phối khóa mã hóa; - Lưu giữ khóa mã hóa; - Định kỳ thay đổi các khóa khi hết vòng đời sử dụng; - Thay thế hoặc thu hồi các khóa khi có nghi ngờ bị lộ, bị sửa đổi.
c) Quản lý khóa mã hóa phải đáp ứng tối thiểu các yêu cầu sau: - Nếu sử dụng các khóa mã hóa dưới dạng bản rõ (clear text) phải đảm bảo khóa này được chia thành nhiều phần quản lý bởi tối thiểu hai người, mỗi người giữ một phần khóa mã hóa; - Ngăn ngừa việc thay thế các khóa mã hóa khi chưa được phép; - Phải quy định rõ trách nhiệm của người giữ khóa mã hóa.
Điều 15. Mã hóa dữ liệu thẻ trên đường truyền qua mạng bên ngoài
1. Sử dụng các phương thức mã hóa và các giao thức bảo mật thích hợp (tối thiểu các giao thức SSL/TLS, SSH, IPSEC) để bảo vệ dữ liệu xác thực thẻ trong quá trình truyền thông tin qua mạng kết nối với bên ngoài (mạng internet, mạng không dây, mạng truyền thông di động và các mạng khác).
2. Khi gửi số thẻ đến người sử dụng thông qua thông điệp điện tử, số phải được mã hóa bằng phương pháp mã hóa mạnh.