Document ID: 262255

Title: QUY ĐỊNH CÁC YÊU CẦU KỸ THUẬT VỀ AN TOÀN BẢO MẬT ĐỐI VỚI TRANG THIẾT BỊ PHỤC VỤ THANH TOÁN THẺ NGÂN HÀNG

Legal Basis:
Căn cứ Luật Ngân hàng Nhà nước Việt Nam số 46/2010/QH12 ngày 16 tháng 6 năm 2010;
Căn cứ Luật các tổ chức tín dụng số 47/2010/QH12 ngày 16 tháng 6 năm 2010;
Căn cứ Luật giao dịch điện tử số 51/2005/QH11 ngày 29 tháng 11 năm 2005;
Căn cứ Nghị định số 35/2007/NĐ-CP ngày 08 tháng 3 năm 2007 của Chính phủ về giao dịch điện tử trong hoạt động ngân hàng;
Căn cứ Nghị định số 101/2012/NĐ-CP ngày 22 tháng 11 năm 2012 của Chính phủ về thanh toán không dùng tiền mặt;
Căn cứ Nghị định số 156/2013/NĐ-CP ngày 11 tháng 11 năm 2013 quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Ngân hàng Nhà nước Việt Nam;

Full Text:
[{"full_text": "Điều 1. Phạm vi điều chỉnh và đối tượng áp dụng\n1. Thông tư này quy định các yêu cầu kỹ thuật về an toàn bảo mật đối với trang thiết bị phục vụ thanh toán thẻ ngân hàng tại Việt Nam.\n2. Thông tư này áp dụng đối với các tổ chức hoạt động thẻ, bao gồm:\na) Tổ chức phát hành thẻ (viết tắt là TCPHT);\nb) Tổ chức thanh toán thẻ (viết tắt là TCTTT);\nc) Tổ chức cung ứng dịch vụ trung gian thanh toán (viết tắt là TCTGTT) có trang thiết bị phục vụ thanh toán thẻ ngân hàng.", "header": "['Thông tư 47/2014/TT-NHNN quy định các yêu cầu kỹ thuật về an toàn bảo mật đối với trang thiết bị phục vụ thanh toán thẻ ngân hàng do Thống đốc Ngân hàng Nhà nước ban hành'\n 'Chương I. QUY ĐỊNH CHUNG']", "len_tokenizer": 100, "lower_segmented_text": "điều 1 . phạm_vi điều_chỉnh và đối_tượng áp_dụng \n 1 . thông_tư này quy_định các yêu_cầu kỹ_thuật về an_toàn bảo_mật đối_với trang thiết_bị phục_vụ thanh_toán thẻ ngân_hàng tại việt_nam . \n 2 . thông_tư này áp_dụng đối_với các tổ_chức hoạt_động thẻ , bao_gồm : \n a ) tổ_chức phát_hành thẻ ( viết tắt là tcpht ) ; \n b ) tổ_chức thanh_toán thẻ ( viết tắt là tcttt ) ; \n c ) tổ_chức cung_ứng dịch_vụ trung_gian thanh_toán ( viết tắt là tctgtt ) có trang thiết_bị phục_vụ thanh_toán thẻ ngân_hàng .", "pointer_link": "['Chương I' 'Điều 1']"}, {"full_text": "Điều 2. Giải thích từ ngữ. Trong Thông tư này, các từ ngữ dưới đây được hiểu như sau:\n1. Trang thiết bị phục vụ thanh toán thẻ bao gồm các thiết bị, phần mềm sử dụng cho việc tiếp nhận, xử lý các giao dịch thẻ.\n2. ATM (Automated Teller Machine) đặt bên ngoài là ATM đặt tại nơi công cộng và nơi không có người giám sát trực tiếp thiết bị.\n3. Máy POS (Point Of Sale) là thiết bị chấp nhận thẻ được sử dụng để thực hiện giao dịch thẻ tại các đơn vị chấp nhận thẻ (viết tắt là ĐVCNT).\n4. Máy mPOS (Mobile Point Of Sale) là máy POS bao gồm phần mềm và thiết bị chuyên dụng tích hợp với thiết bị thông tin di động.\n5. Thẻ ngân hàng (sau đây gọi tắt là thẻ) bao gồm thẻ từ và thẻ chip\na) Thẻ từ là loại thẻ mà các thông tin của thẻ và chủ thẻ được mã hóa và lưu trữ trong dải băng từ ở mặt sau của thẻ;\nb) Thẻ chip là loại thẻ được gắn vi mạch máy tính hoặc mạch tích hợp để nhận dạng, lưu trữ thông tin và giao dịch của chủ thẻ, xử lý vi mô khác.\n6. Số thẻ là dãy số dùng để xác định tổ chức phát hành và chủ thẻ.\n7. Dữ liệu thẻ bao gồm dữ liệu chủ thẻ và dữ liệu xác thực thẻ.\na) Dữ liệu chủ thẻ bao gồm các dữ liệu chính sau: số thẻ; tên của chủ thẻ (đối với thẻ định danh); ngày có hiệu lực của thẻ; mã dịch vụ (3 (ba) hoặc 4 (bốn) số trên bề mặt thẻ để xác định quyền hạn trên giao dịch (nếu có));\nb) Dữ liệu xác thực thẻ bao gồm các dữ liệu sau: toàn bộ dữ liệu trên dải băng từ đối với thẻ từ hoặc dữ liệu trên vi mạch máy tính, mạch tích hợp của thẻ chip; dãy số giá trị hoặc mã xác thực thẻ được in trên thẻ; mã số xác định chủ thẻ (PIN) hoặc khối mã số xác định chủ thẻ (PIN block).\n8. Môi trường dữ liệu chủ thẻ là môi trường bao gồm các trang thiết bị và quy trình xử lý, truyền dẫn, lưu trữ dữ liệu thẻ.\n9. Mã hóa mạnh là phương pháp mã hóa dựa trên các thuật toán đã được kiểm tra, chấp nhận rộng rãi trên thế giới cùng với độ dài khóa tối thiểu 112 (một trăm mười hai) bit và kỹ thuật quản lý khóa phù hợp. Các thuật toán tối thiểu bao gồm: AES (128 bit); TDES (112 bit); RSA (2048 bit); ECC (160 bit); ElGamal (2048 bit).\n10. Dữ liệu nhật ký là các dữ liệu được hệ thống thanh toán thẻ hoặc con người tạo ra để lưu lại các quá trình giao dịch, hoạt động của hệ thống bằng hình thức điện tử, văn bản để phục vụ hoạt động giám sát, tra soát, khiếu nại.\n11. Người có thẩm quyền tại văn bản này được hiểu là người đại diện theo pháp luật của tổ chức hoặc người được người đại diện theo pháp luật của tổ chức ủy quyền.\n12. Tổ chức hỗ trợ hoạt động thẻ là các tổ chức, cá nhân có chuyên môn được tổ chức hoạt động thẻ thuê hoặc hợp tác nhằm cung cấp hàng hóa, dịch vụ kỹ thuật cho hệ thống thanh toán thẻ.", "header": "['Thông tư 47/2014/TT-NHNN quy định các yêu cầu kỹ thuật về an toàn bảo mật đối với trang thiết bị phục vụ thanh toán thẻ ngân hàng do Thống đốc Ngân hàng Nhà nước ban hành'\n 'Chương I. QUY ĐỊNH CHUNG']", "len_tokenizer": 578, "lower_segmented_text": "điều 2 . giải_thích từ_ngữ . trong thông_tư này , các từ_ngữ dưới đây được hiểu như sau : \n 1 . trang thiết_bị phục_vụ thanh_toán thẻ bao_gồm các thiết_bị , phần_mềm sử_dụng cho việc tiếp_nhận , xử_lý các giao_dịch thẻ . \n 2 . atm ( automated teller machine ) đặt bên ngoài là atm đặt tại nơi công_cộng và nơi không có người giám_sát trực_tiếp thiết_bị . \n 3 . máy pos ( point of sale ) là thiết_bị chấp_nhận thẻ được sử_dụng để thực_hiện giao_dịch thẻ tại các đơn_vị chấp_nhận thẻ ( viết tắt là đvcnt ) . \n 4 . máy mpos ( mobile point of sale ) là máy pos bao_gồm phần_mềm và thiết_bị chuyên_dụng tích_hợp với thiết_bị thông_tin di_động . \n 5 . thẻ ngân_hàng ( sau đây gọi tắt là thẻ ) bao_gồm thẻ từ và thẻ chip \n a ) thẻ từ là loại thẻ mà các thông_tin của thẻ và chủ thẻ được mã_hóa và lưu_trữ trong dải_băng từ ở mặt sau của thẻ ; \n b ) thẻ chip là loại thẻ được gắn vi_mạch máy_tính hoặc mạch tích_hợp để nhận_dạng , lưu_trữ thông_tin và giao_dịch của chủ thẻ , xử_lý vi_mô khác . \n 6 . số thẻ là dãy số dùng để xác_định tổ_chức phát_hành và chủ thẻ . \n 7 . dữ_liệu thẻ bao_gồm dữ_liệu chủ thẻ và dữ_liệu xác_thực thẻ . \n a ) dữ_liệu chủ thẻ bao_gồm các dữ_liệu chính sau : số thẻ ; tên của chủ thẻ ( đối_với thẻ định_danh ) ; ngày có hiệu_lực của thẻ ; mã dịch_vụ ( 3 ( ba ) hoặc 4 ( bốn ) số trên bề_mặt thẻ để xác_định quyền_hạn trên giao_dịch ( nếu có ) ) ; \n b ) dữ_liệu xác_thực thẻ bao_gồm các dữ_liệu sau : toàn_bộ dữ_liệu trên dải_băng từ đối_với thẻ từ hoặc dữ_liệu trên vi_mạch máy_tính , mạch tích_hợp của thẻ chip ; dãy số giá_trị hoặc mã xác_thực thẻ được in trên thẻ ; mã_số xác_định chủ thẻ ( pin ) hoặc khối mã_số xác_định chủ thẻ ( pin block ) . \n 8 . môi_trường dữ_liệu chủ thẻ là môi_trường bao_gồm các trang thiết_bị và quy_trình xử_lý , truyền_dẫn , lưu_trữ dữ_liệu thẻ . \n 9 . mã_hóa mạnh là phương_pháp mã_hóa dựa trên các thuật_toán đã được kiểm_tra , chấp_nhận rộng_rãi trên thế_giới cùng với độ dài khóa tối_thiểu 112 ( một trăm mười hai ) bit và kỹ_thuật quản_lý khóa phù_hợp . các thuật_toán tối_thiểu bao_gồm : aes ( 128 bit ) ; tdes ( 112 bit ) ; rsa ( 2048 bit ) ; ecc ( 160 bit ) ; elgamal ( 2048 bit ) . \n 10 . dữ_liệu nhật_ký là các dữ_liệu được hệ_thống thanh_toán thẻ hoặc con_người tạo ra để lưu lại các quá_trình giao_dịch , hoạt_động của hệ_thống bằng hình_thức điện_tử , văn_bản để phục_vụ hoạt_động giám_sát , tra soát , khiếu_nại . \n 11 . người có thẩm_quyền tại văn_bản này được hiểu là người đại_diện theo pháp_luật của tổ_chức hoặc người được người đại_diện theo pháp_luật của tổ_chức ủy quyền . \n 12 . tổ_chức hỗ_trợ hoạt_động thẻ là các tổ_chức , cá_nhân có chuyên_môn được tổ_chức hoạt_động thẻ thuê hoặc hợp_tác nhằm cung_cấp hàng_hóa , dịch_vụ kỹ_thuật cho hệ_thống thanh_toán thẻ .", "pointer_link": "['Chương I' 'Điều 2']"}, {"full_text": "Khoản 1. Các yêu cầu về thiết lập và quản lý cấu hình thiết bị an ninh mạng:\na) Việc thiết lập và thay đổi cấu hình thiết bị an ninh mạng phải được kiểm thử và được người có thẩm quyền phê duyệt trước khi thực hiện;\nb) Sơ đồ kết nối hệ thống mạng phải được thiết kế đáp ứng yêu cầu: - Tách biệt giữa vùng dữ liệu chủ thẻ và các vùng mạng khác bao gồm cả vùng mạng không dây; - Tách biệt chức năng của máy chủ theo nguyên tắc các máy chủ ứng dụng, máy chủ cơ sở dữ liệu, máy chủ quản lý tên miền phải để trên các máy chủ khác nhau (có thể là các máy chủ ảo trên một máy chủ vật lý); - Có tường lửa tại các điểm kết nối giữa các vùng của hệ thống mạng; - Sơ đồ mạng phải mô tả được toàn bộ đường đi của dữ liệu chủ thẻ.\nc) Phân định trách nhiệm và quyền hạn đối với bộ phận, cá nhân trong quản lý, cấu hình các thiết bị an ninh mạng bằng văn bản;\nd) Không cung cấp địa chỉ mạng (địa chỉ IP) nội bộ và thông tin định tuyến cho các tổ chức khác khi chưa được người có thẩm quyền phê duyệt;\nđ) Quy định bằng văn bản các cổng, dịch vụ, giao thức sử dụng trên hệ thống mạng bao gồm cả những cổng, giao thức, dịch vụ không an toàn. Triển khai đầy đủ các giải pháp an ninh khi