Document ID: 403506

Title: SỬA ĐỔI, BỔ SUNG MỘT SỐ ĐIỀU CỦA THÔNG TƯ SỐ 35/2016/TT-NHNN NGÀY 29 THÁNG 12 NĂM 2016 CỦA THỐNG ĐỐC NGÂN HÀNG NHÀ NƯỚC VIỆT NAM QUY ĐỊNH VỀ AN TOÀN, BẢO MẬT CHO VIỆC CUNG CẤP DỊCH VỤ NGÂN HÀNG TRÊN INTERNET

Legal Basis:
Căn cứ Luật Ngân hàng Nhà nước Việt Nam ngày 16 tháng 6 năm 2010;
Căn cứ Luật các tổ chức tín dụng ngày 16 tháng 6 năm 2010 và Luật sửa đổi, bổ sung một số điều của Luật các tổ chức tín dụng ngày 20 tháng 11 năm 2017;
Căn cứ Luật Giao dịch điện tử ngày 29 tháng 11 năm 2005;
Căn cứ Luật an toàn thông tin mạng ngày 19 tháng 11 năm 2015;
Căn cứ Nghị định số 16/2017/NĐ-CP ngày 17 tháng 02 năm 2017 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Ngân hàng Nhà nước Việt Nam;
Căn cứ Nghị định số 35/2007/NĐ-CP ngày 08 tháng 3 năm 2007 của Chính phủ về giao dịch điện tử trong hoạt động ngân hàng;
Căn cứ Nghị định số 117/2018/NĐ-CP ngày 11 tháng 9 năm 2018 của Chính phủ quy định về việc giữ bí mật, cung cấp thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài;

Full Text:
[{"full_text": "Điều 1. Sửa đổi, bổ sung một số điều của Thông tư 35/2016/TT-NHNN\n1. Điều 3 được sửa đổi, bổ sung như sau: “Điều 3. Nguyên tắc chung về đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin cho việc cung cấp dịch vụ Internet Banking 1. Hệ thống Internet Banking là hệ thống thông tin quan trọng theo quy định của Ngân hàng Nhà nước về an toàn hệ thống thông tin trong hoạt động ngân hàng.\n2. Đảm bảo tính bí mật, tính toàn vẹn của thông tin khách hàng; đảm bảo tính sẵn sàng của hệ thống Internet Banking để cung cấp dịch vụ một cách liên tục. 2. Khoản 3 Điều 4 được sửa đổi, bổ sung như sau: “3. Thông tin khách hàng không được lưu trữ tại phân vùng kết nối Internet và phân vùng DMZ.”.\n3. Các thông tin giao dịch của khách hàng được đánh giá mức độ rủi ro theo từng nhóm khách hàng, loại giao dịch, hạn mức giao dịch và trên cơ sở đó cung cấp biện pháp xác thực giao dịch phù hợp cho khách hàng lựa chọn. Biện pháp xác thực giao dịch phải đáp ứng: 3. Khoản 10 Điều 4 được sửa đổi, bổ sung như sau: “10. Đường truyền kết nối Internet cung cấp dịch vụ phải bảo đảm tính sẵn sàng cao và khả năng cung cấp dịch vụ liên tục.”.\na) Áp dụng tối thiểu biện pháp xác thực đa thành tố khi thay đổi thông tin định danh khách hàng;\nb) Áp dụng các biện pháp xác thực cho từng nhóm khách hàng, loại giao dịch, hạn mức giao dịch theo quyết định của Thống đốc Ngân hàng Nhà nước trong từng thời kỳ;\nc) Đối với giao dịch gồm nhiều bước, phải áp dụng tối thiểu biện pháp xác thực tại bước phê duyệt cuối cùng.\n4. Thực hiện kiểm tra, đánh giá an ninh, bảo mật hệ thống Internet Banking theo định kỳ hàng năm. 4. Khoản 2 Điều 6 được sửa đổi, bổ sung như sau: “2. Hệ thống Internet Banking phải có cơ sở dữ liệu dự phòng thảm họa có khả năng thay thế cơ sở dữ liệu chính và bảo đảm không mất dữ liệu giao dịch trực tuyến của khách hàng.”.\n5. Thường xuyên nhận dạng rủi ro, nguy cơ gây ra rủi ro và xác định nguyên nhân gây ra rủi ro, kịp thời có biện pháp phòng ngừa, kiểm soát và xử lý rủi ro trong cung cấp dịch vụ ngân hàng trên Internet. 5. Điểm c và điểm đ khoản 6 Điều 7 được sửa đổi, bổ sung như sau: “c) Kiểm soát phiên giao dịch: hệ thống có cơ chế tự động ngắt phiên giao dịch khi người sử dụng không thao tác trong một khoảng thời gian do đơn vị quy định hoặc áp dụng các biện pháp bảo vệ khác”; “đ) Đối với khách hàng là tổ chức, phần mềm ứng dụng được thiết kế để đảm bảo việc thực hiện giao dịch bao gồm tối thiểu hai bước: tạo, phê duyệt giao dịch và được thực hiện bởi những người khác nhau. Trong trường hợp khách hàng là tổ chức được pháp luật cho phép áp dụng chế độ kế toán đơn giản, việc thực hiện giao dịch tương tự như khách hàng cá nhân”.\n6. Các trang thiết bị hạ tầng kỹ thuật công nghệ thông tin cung cấp dịch vụ Internet Banking phải có bản quyền, nguồn gốc, xuất xứ rõ ràng. Với các trang thiết bị sắp hết vòng đời sản phẩm và sẽ không được nhà sản xuất tiếp tục hỗ trợ, đơn vị phải có kế hoạch nâng cấp, thay thế theo thông báo của nhà sản xuất, bảo đảm các trang thiết bị hạ tầng có khả năng cài đặt phiên bản phần mềm mới.”. 6. Khoản 3 Điều 8 được sửa đổi, bổ sung như sau: “3. Phần mềm ứng dụng phải xác thực người dùng khi truy cập và không có tính năng ghi nhớ mã khóa truy cập. Trường hợp xác thực sai liên tiếp quá số lần do đơn vị quy định, phần mềm ứng dụng phải tự động khóa tạm thời không cho người dùng tiếp tục sử dụng.”.\n7. Bổ sung điểm c vào khoản 1 Điều 9 như sau: “c) Đối với việc truy cập hệ thống Internet Banking bằng trình duyệt, đơn vị phải có biện pháp chống đăng nhập tự động.”.\n8. Khoản 2 Điều 9 được sửa đổi, bổ sung như sau: “2. Phần mềm ứng dụng Internet Banking phải có tính năng bắt buộc khách hàng thay đổi mã khóa bí mật ngay lần đăng nhập đầu tiên; khóa tài khoản truy cập trong trường hợp bị nhập sai mã khóa bí mật liên tiếp quá số lần do đơn vị quy định. Đơn vị chỉ mở khóa tài khoản khi khách hàng yêu cầu và phải xác thực khách hàng trước khi thực hiện mở khóa tài khoản, bảo đảm chống gian lận, giả mạo.”.\n9. Khoản 3 Điều 12 được sửa đổi, bổ sung như sau: “3. Đơn vị phải thiết lập chính sách hạn chế truy cập Internet đối với các máy tính thực hiện quản trị, giám sát hệ thống Internet Banking. Trường hợp cần phải kết nối Internet để phục vụ công việc, đơn vị phải:\na) Đánh giá rủi ro cho việc kết nối Internet;\nb) Áp dụng các biện pháp kiểm soát cho việc kết nối;\nc) Phương án thực hiện phải được người có thẩm quyền tại đơn vị phê duyệt.”.\n10. Bổ sung khoản 6 vào Điều 13 như sau: “6. Cập nhật thông tin các lỗ hổng bảo mật được công bố có liên quan đến phần mềm hệ thống, hệ quản trị cơ sở dữ liệu và phần mềm ứng dụng theo thông tin từ Hệ thống tính điểm lỗ hổng phổ biến (Common Vulnerability Scoring System version 3 - CVSS v3). Thực hiện triển khai cập nhật các bản vá bảo mật hoặc các biện pháp phòng ngừa kịp thời đáp ứng các tiêu chí sau:\na) Trong vòng 1 tháng sau khi công bố với lỗ hổng bảo mật được đánh giá ở mức nghiêm trọng (tương đương với CVSS v3 điểm từ 9.0 trở lên);\nb) Trong vòng 2 tháng sau khi công bố với lỗ hổng bảo mật được đánh giá ở mức cao (tương đương với CVSS v3 điểm từ 7.0 đến 8.9);\nc) Khoảng thời gian do đơn vị tự quyết định với lỗ hổng bảo mật được đánh giá ở mức trung bình hoặc thấp (tương đương với CVSS v3 điểm nhỏ hơn 7.0).”.\n11. Khoản 1 Điều 19 được sửa đổi, bổ sung như sau: “1. Thông tin bí mật của khách hàng khi lưu trữ phải áp dụng các biện pháp mã hóa hoặc che dấu để đảm bảo tính bí mật.”", "header": "['Thông tư 35/2018/TT-NHNN sửa đổi Thông tư 35/2016/TT-NHNN quy định về an toàn, bảo mật cho việc cung cấp dịch vụ ngân hàng trên Internet do Ngân hàng Nhà nước Việt Nam ban hành']", "len_tokenizer": 1019, "lower_segmented_text": "điều 1 . sửa_đổi , bổ_sung một_số điều của thông_tư 35 / 2016 / tt - nhnn \n 1 . điều 3 được sửa_đổi , bổ_sung như sau : “ điều 3 . nguyên_tắc chung về đảm_bảo_an_toàn , bảo_mật hệ_thống công_nghệ thông_tin cho việc cung_cấp dịch_vụ internet banking 1 . hệ_thống internet banking là hệ_thống thông_tin quan_trọng theo quy_định của ngân_hàng nhà_nước về an_toàn hệ_thống thông_tin trong hoạt_động ngân_hàng . \n 2 . đảm_bảo tính bí_mật , tính toàn_vẹn của thông_tin khách_hàng ; đảm_bảo tính sẵn_sàng của hệ_thống internet banking để cung_cấp dịch_vụ một_cách liên_tục . 2 . khoản 3 điều 4 được sửa_đổi , bổ_sung như sau : “ 3 . thông_tin khách_hàng không được lưu_trữ tại phân_vùng kết_nối internet và phân_vùng dmz . ” . \n 3 . các thông_tin giao_dịch của khách_hàng được đánh_giá mức_độ rủi_ro theo từng nhóm khách_hàng , loại giao_dịch , hạn_mức giao_dịch và trên cơ_sở đó cung_cấp biện_pháp xác_thực giao_dịch phù_hợp cho khách_hàng lựa_chọn . biện_pháp xác_thực giao_dịch phải đáp_ứng : 3 . khoản 10 điều 4 được sửa_đổi , bổ_sung như sau : “ 10 . đường truyền kết_nối internet cung_cấp dịch_vụ phải bảo_đảm tính sẵn_sàng cao và khả_năng cung_cấp dịch_vụ liên_tục . ” . \n a ) áp_dụng tối_thiểu biện_pháp xác_thực đa thành_tố khi thay_đổi thông_tin định_danh khách_hàng ; \n b ) áp_dụng các biện_pháp xác_thực cho từng nhóm khách_hàng , loại giao_dịch , hạn_mức giao_dịch theo quyết_định của thống_đốc ngân_hàng nhà_nước trong từng thời_kỳ ; \n c ) đối_với giao_dịch gồm nhiều bước , phải áp_dụng tối_thiểu biện_pháp xác_thực_tại bước phê_duyệt cuối_cùng . \n 4 . thực_hiện kiểm_tra , đánh_giá an_ninh , bảo_mật hệ_thống internet banking theo định_kỳ hàng năm . 4 . khoản 2 điều 6 được sửa_đổi , bổ_sung như sau : “ 2 . hệ_thống internet banking phải có cơ_sở dữ_liệu dự_phòng thảm_họa có khả_năng thay_thế cơ_sở dữ_liệu chính và bảo_đảm không mất dữ_liệu giao_dịch trực_tuyến của khách_hàng . ” . \n 5 . thường_xuyên nhận_dạng rủi_ro , nguy_cơ gây ra rủi_ro và xác_định nguyên_nhân gây ra rủi_ro , kịp_thời có biện_pháp phòng_ngừa , kiểm_soát và xử_lý rủi_ro trong cung_cấp dịch_vụ ngân_hàng trên internet . 5 . điểm c và điểm đ khoản 6 điều 7 được sửa_đổi , bổ_sung như sau : “ c ) kiểm_soát phiên giao_dịch : hệ_thống có cơ_chế tự_động ngắt phiên giao_dịch khi người sử_dụng không thao_tác trong một khoảng thời_gian do đơn_vị quy_định hoặc áp_dụng các biện_pháp_bảo_vệ khác ” ; “ đ ) đối_với khách_hàng là tổ_chức , phần_mềm ứng_dụng được thiết_kế để đảm_bảo việc thực_hiện giao_dịch bao_gồm tối_thiểu hai bước : tạo