Document ID: 333481

Title: QUY ĐỊNH VỀ AN TOÀN, BẢO MẬT CHO VIỆC CUNG CẤP DỊCH VỤ NGÂN HÀNG TRÊN INTERNET

Legal Basis:
Căn cứ Luật Ngân hàng Nhà nước Việt Nam số 46/2010/QH12 ngày 16 tháng 6 năm 2010;
Căn cứ Luật các tổ chức tín dụng số 47/2010/QH12 ngày 16 tháng 6 năm 2010;
Căn cứ Luật Giao dịch điện tử số 51/2005/QH11 ngày 29 tháng 11 năm 2005;
Căn cứ Luật an toàn thông tin mạng số 86/2015/QH13 ngày 19 tháng 11 năm 2015;
Căn cứ Nghị định số 35/2007/NĐ-CP ngày 08 tháng 3 năm 2007 của Chính phủ về giao dịch điện tử trong hoạt động ngân hàng;
Căn cứ Nghị định số 156/2013/NĐ-CP ngày 11 tháng 11 năm 2013 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Ngân hàng Nhà nước Việt Nam;

Full Text:
[{"full_text": "Điều 1. Phạm vi điều chỉnh và đối tượng áp dụng\n1. Thông tư này quy định các yêu cầu đảm bảo an toàn, bảo mật cho việc cung cấp dịch vụ ngân hàng trên Internet.\n2. Thông tư này áp dụng đối với các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán tại Việt Nam (sau đây gọi chung là đơn vị).", "header": "['Thông tư 35/2016/TT-NHNN quy định về an toàn, bảo mật cho việc cung cấp dịch vụ ngân hàng trên Internet do Thống đốc Ngân hàng Nhà nước Việt Nam ban hành'\n 'Chương I. QUY ĐỊNH CHUNG']", "len_tokenizer": 61, "lower_segmented_text": "điều 1 . phạm_vi điều_chỉnh và đối_tượng áp_dụng \n 1 . thông_tư này quy_định các yêu_cầu đảm_bảo_an_toàn , bảo_mật cho việc cung_cấp dịch_vụ ngân_hàng trên internet . \n 2 . thông_tư này áp_dụng đối_với các tổ_chức tín_dụng , chi_nhánh ngân_hàng nước_ngoài , tổ_chức cung_ứng dịch_vụ trung_gian thanh_toán tại việt_nam ( sau đây gọi chung là đơn_vị ) .", "pointer_link": "['Chương I' 'Điều 1']"}, {"full_text": "Điều 2. Giải thích từ ngữ và thuật ngữ. Trong Thông tư này, các từ ngữ dưới đây được hiểu như sau:\n1. Dịch vụ ngân hàng trên Internet (Internet Banking) là các dịch vụ ngân hàng và dịch vụ trung gian thanh toán được các đơn vị cung cấp thông qua mạng Internet.\n2. Hệ thống Internet Banking là một tập hợp có cấu trúc các trang thiết bị phần cứng, phần mềm, cơ sở dữ liệu, hệ thống mạng truyền thông và an ninh bảo mật để sản xuất, truyền nhận, thu thập, xử lý, lưu trữ và trao đổi thông tin số phục vụ cho việc quản lý và cung cấp dịch vụ Internet Banking.\n3. Khách hàng là các tổ chức, cá nhân sử dụng dịch vụ Internet Banking.\n4. Mã khóa bí mật dùng một lần (One Time Password - OTP) là mã khóa bí mật có giá trị sử dụng một lần và có hiệu lực trong một khoảng thời gian nhất định, thường được sử dụng như một yếu tố thứ 2 để xác thực người dùng truy cập ứng dụng hoặc thực hiện giao dịch Internet Banking.\n5. Xác thực hai yếu tố là phương pháp xác thực yêu cầu hai yếu tố để chứng minh tính đúng đắn của một danh tính. Xác thực hai yếu tố dựa trên những thông tin mà người dùng biết (số PIN, mã khoá bí mật, …) cùng với những gì mà người dùng có (thẻ thông minh, thiết bị token, điện thoại di động …) hoặc những dấu hiệu sinh trắc học của người dùng để xác minh danh tính.\n6. Mã hóa điểm đầu đến điểm cuối (end to end encryption) là cơ chế mã hoá thông tin ở điểm đầu trước khi gửi đi và chỉ được giải mã sau khi nhận được tại điểm cuối trong quá trình trao đổi thông tin giữa các ứng dụng, các thiết bị trong hệ thống nhằm hạn chế rủi ro bị lộ, lọt thông tin trên đường truyền.", "header": "['Thông tư 35/2016/TT-NHNN quy định về an toàn, bảo mật cho việc cung cấp dịch vụ ngân hàng trên Internet do Thống đốc Ngân hàng Nhà nước Việt Nam ban hành'\n 'Chương I. QUY ĐỊNH CHUNG']", "len_tokenizer": 306, "lower_segmented_text": "điều 2 . giải_thích từ_ngữ và thuật_ngữ . trong thông_tư này , các từ_ngữ dưới đây được hiểu như sau : \n 1 . dịch_vụ ngân_hàng trên internet ( internet banking ) là các dịch_vụ ngân_hàng và dịch_vụ trung_gian thanh_toán được các đơn_vị cung_cấp thông_qua mạng internet . \n 2 . hệ_thống internet banking là một tập_hợp có cấu_trúc các trang thiết_bị phần_cứng , phần_mềm , cơ_sở dữ_liệu , hệ_thống mạng truyền_thông và an_ninh bảo_mật để sản_xuất , truyền nhận , thu_thập , xử_lý , lưu_trữ và trao_đổi thông_tin số phục_vụ cho việc quản_lý và cung_cấp dịch_vụ internet banking . \n 3 . khách_hàng là các tổ_chức , cá_nhân sử_dụng dịch_vụ internet banking . \n 4 . mã khóa bí_mật dùng một lần ( one time password - otp ) là mã khóa bí_mật có giá_trị sử_dụng một lần và có hiệu_lực trong một khoảng thời_gian nhất_định , thường được sử_dụng như một yếu_tố thứ 2 để xác_thực người dùng truy_cập ứng_dụng hoặc thực_hiện giao_dịch internet banking . \n 5 . xác_thực hai yếu_tố là phương_pháp xác_thực yêu_cầu hai yếu_tố để chứng_minh tính đúng_đắn của một danh_tính . xác_thực hai yếu_tố dựa trên những thông_tin mà người dùng biết ( số pin , mã khoá bí_mật , … ) cùng với những gì mà người dùng có ( thẻ thông_minh , thiết_bị token , điện_thoại_di_động … ) hoặc những dấu_hiệu sinh trắc học của người dùng để xác_minh danh_tính . \n 6 . mã_hóa điểm đầu đến điểm cuối ( end to end encryption ) là cơ_chế mã_hoá thông_tin ở điểm đầu trước khi gửi đi và chỉ được giải_mã sau khi nhận được tại điểm cuối trong quá_trình trao_đổi thông_tin giữa các ứng_dụng , các thiết_bị trong hệ_thống nhằm hạn_chế rủi_ro bị lộ , lọt thông_tin trên đường truyền .", "pointer_link": "['Chương I' 'Điều 2']"}, {"full_text": "Điều 3. Nguyên tắc chung về đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin cho việc cung cấp dịch vụ Internet Banking\n1. Hệ thống Internet Banking được xếp hạng là hệ thống công nghệ thông tin quan trọng và tuân thủ theo quy định của Ngân hàng Nhà nước về đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin trong hoạt động ngân hàng.\n2. Đảm bảo bí mật thông tin khách hàng; tính toàn vẹn dữ liệu giao dịch khách hàng và mọi giao dịch tài chính của khách hàng phải được xác thực tối thiểu hai yếu tố.\n3. Đảm bảo tính sẵn sàng của hệ thống Internet Banking để cung cấp dịch vụ một cách liên tục.\n4. Thực hiện kiểm tra, đánh giá an ninh, bảo mật hệ thống Internet Banking theo định kỳ hàng năm.\n5. Xác định rủi ro, có biện pháp phòng ngừa, xử lý rủi ro trong cung cấp dịch vụ Internet Banking.\n6. Các trang thiết bị hạ tầng kỹ thuật công nghệ thông tin cung cấp dịch vụ Internet Banking phải có bản quyền, nguồn gốc, xuất xứ rõ ràng; trường hợp không còn hỗ trợ của nhà sản xuất, không có khả năng nâng cấp để cài đặt phần mềm phiên bản mới đơn vị phải có kế hoạch nâng cấp, thay thế theo thông báo của nhà sản xuất.", "header": "['Thông tư 35/2016/TT-NHNN quy định về an toàn, bảo mật cho việc cung cấp dịch vụ ngân hàng trên Internet do Thống đốc Ngân hàng Nhà nước Việt Nam ban hành'\n 'Chương I. QUY ĐỊNH CHUNG']", "len_tokenizer": 180, "lower_segmented_text": "điều 3 . nguyên_tắc chung về đảm_bảo_an_toàn , bảo_mật hệ_thống công_nghệ thông_tin cho việc cung_cấp dịch_vụ internet banking \n 1 . hệ_thống internet banking được xếp_hạng là hệ_thống công_nghệ thông_tin quan_trọng và tuân_thủ theo quy_định của ngân_hàng nhà_nước về đảm_bảo_an_toàn , bảo_mật hệ_thống công_nghệ thông_tin trong hoạt_động ngân_hàng . \n 2 . đảm_bảo bí_mật thông_tin khách_hàng ; tính toàn_vẹn dữ_liệu giao_dịch khách_hàng và mọi giao_dịch tài_chính của khách_hàng phải được xác_thực tối_thiểu hai yếu_tố . \n 3 . đảm_bảo tính sẵn_sàng của hệ_thống internet banking để cung_cấp dịch_vụ một_cách liên_tục . \n 4 . thực_hiện kiểm_tra , đánh_giá an_ninh , bảo_mật hệ_thống internet banking theo định_kỳ hàng năm . \n 5 . xác_định rủi_ro , có biện_pháp phòng_ngừa , xử_lý rủi_ro trong cung_cấp dịch_vụ internet banking . \n 6 . các trang thiết_bị hạ_tầng kỹ_thuật công_nghệ thông_tin cung_cấp dịch_vụ internet banking phải có bản_quyền , nguồn_gốc , xuất_xứ rõ_ràng ; trường_hợp không còn hỗ_trợ của nhà sản_xuất , không có khả_năng nâng_cấp để cài_đặt phần_mềm phiên_bản mới đơn_vị phải có kế_hoạch nâng_cấp , thay_thế theo thông_báo của nhà sản_xuất .", "pointer_link": "['Chương I' 'Điều 3']"}, {"full_text": "Điều 4. Hệ thống mạng, truyền thông và an ninh bảo mật. Đơn vị phải thiết lập hệ thống mạng, truyền thông và an ninh bảo mật đạt yêu cầu tối thiểu sau:\n1. Hệ thống mạng được chia tách thành các phân vùng, tối thiểu gồm: phân vùng kết nối Internet, phân vùng trung gian giữa mạng nội bộ và mạng Internet (phân vùng DMZ), phân vùng người dùng, phân vùng quản trị, phân vùng máy chủ. Các máy tính phục vụ cho việc cung cấp thông tin trên Internet phải được đặt trong phân vùng DMZ. Các máy chủ lưu trữ, xử lý dữ liệu phải được đặt trong phân vùng máy chủ.\n2. Trang bị các giải pháp an ninh bảo mật cho hệ thống Internet Banking, tối thiểu gồm: thiết bị tường lửa; phòng chống vi rút; phòng chống tấn công từ chối dịch vụ; tường lửa bảo vệ lớp ứng dụng và phòng chống tấn công xâm nhập.\n3. Dữ liệu nhạy cảm không được lưu trữ tại phân vùng kết nối Internet và phân vùng DMZ.\n4. Kết nối từ bên ngoài vào hệ thống Internet Banking phải thông qua phân vùng DMZ để kiểm soát an ninh, bảo mật.\n5. Thiết lập chính sách hạn chế tối đa các