Khongso

NGÂN HÀNG NHÀ NƯỚC VIỆT NAM -------- CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc --------------- Số: /2016/TT-NHNN Hà Nội, ngày tháng năm 2016 DỰ THẢO THÔNG TƯ QUY ĐỊNH VỀ AN TOÀN, BẢO MẬT HỆ THỐNG CÔNG NGHỆ THÔNG TIN CHO VIỆC CUNG CẤP DỊCH VỤ NGÂN HÀNG TRỰC TUYẾN Căn cứ Luật Ngân hàng Nhà nước Việt Nam số 46/2010/QH12 ngày 16 tháng 6 năm 2010; Căn cứ Luật các tổ chức tín dụng số 47/2010/QH12 ngày 16 tháng 6 năm 2010; Căn cứ Luật giao dịch điện tử số 51/2005/QH11 ngày 29 tháng 11 năm 2005; Căn cứ Luật an toàn thông tin mạng số 86/2015/QH13 ngày 19 tháng 11 năm 2015; Căn cứ Nghị định số 35/2007/NĐ-CP ngày 08 tháng 3 năm 2007 của Chính phủ về giao dịch điện tử trong hoạt động ngân hàng; Căn cứ Nghị định 64/2001/NĐ-CP ngày 20 tháng 9 năm 2001 của Chính phủ về hoạt động thanh toán qua các tổ chức cung ứng dịch vụ thanh toán; Căn cứ Nghị định số 26/2007/NĐ-CP ngày 25 tháng 2 năm 2007 của Chính phủ quy định chi tiết thi hành Luật giao dịch điện tử về chữ ký số và dịch vụ chứng thực chữ ký số; Căn cứ Nghị định số 101/2012/NĐ-CP ngày 22 tháng 11 năm 2012 của Chính phủ về thanh toán không dung tiền mặt; Căn cứ Nghị định số 156/2013/NĐ-CP ngày 11 tháng 11 năm 2013 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Ngân hàng Nhà nước Việt Nam; Ngân hàng Nhà nước Việt Nam quy định về an toàn, bảo mật hệ thống công nghệ thông tin cho việc cung cấp dịch vụ ngân hàng trực tuyến như sau: Chương I. QUY ĐỊNH CHUNG · Phạm vi điều chỉnh và đối tượng áp dụng · Thông tư này quy định các yêu cầu đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin cho việc cung cấp dịch vụ ngân hàng trực tuyến. · Thông tư này áp dụng đối với các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán cung cấp dịch vụ ngân hàng trực tuyến (sau đây gọi chung là đơn vị) tại Việt Nam. · Giải thích từ ngữ và thuật ngữ Trong Thông tư này, các từ ngữ dưới đây được hiểu như sau: · Dịch vụ ngân hàng trực tuyến là các dịch vụ do các đơn vị cung cấp cho phép khách hàng tự thực hiện giao dịch mà không cần có mặt trực tiếp tại quầy bằng việc sử dụng các thiết bị điện tử thông qua mạng Internet, dịch vụ viễn thông. Các d ịch vụ ng ân hàng tr ực tuyến gồm: a) Tra cứu thông tin về đơn vị cung cấp dịch vụ và các dịch vụ của đơn vị. b) Tra cứu thông tin khách hàng, tài khoản, truy vấn số dư và các thông tin khác của khách hàng. c) Thực hiện các giao dịch tài chính trực tuyến như: dịch vụ về tài khoản, chuyển khoản, cấp tín dụng, thanh toán qua tài khoản. d) Các dịch vụ khác theo quy định của Ngân hàng Nhà nước. · Hệ thống công nghệ thông tin ngân hàng trực tuyến là một tập hợp có cấu trúc các trang thiết bị phần cứng, phần mềm, cơ sở dữ liệu, hệ thống mạng truyền thông và an ninh bảo mật để sản xuất, truyền nhận, thu thập, xử lý, lưu trữ và trao đổi thông tin số phục vụ cho việc quản lý và cung cấp dịch vụ ngân hàng trực tuyến. · Khách hàng là các tổ chức, cá nhân sử dụng dịch vụ ngân hàng trực tuyến. · Mã khóa bí mật dùng một lần (One Time Password - OTP) là mã khóa bí mật có giá trị sử dụng một lần và có hiệu lực trong một khoảng thời gian nhất định. · Xác thực hai yếu tố là phương pháp xác thực yêu cầu hai yếu tố khác nhau và phụ thuộc vào nhau để chứng minh tính đúng đắn của một danh tính. Xác thực hai yếu tố dựa trên những thông tin mà người dùng biết cùng với những gì mà người dùng có. · Tài khoản đặc quyền là tài khoản truy cập vào hệ thống công nghệ thông tin nhằm thực hiện các công việc đặc biệt hoặc truy cập vào dữ liệu nhạy cảm. Tài khoản đặc quyền thường sử dụng cho việc cấu hình thiết bị, quản trị hệ thống, quản trị hệ điều hành, quản trị cơ sở dữ liệu hay quản trị ứng dụng nghiệp vụ. · Mã hóa điểm đầu đến điểm cuối (end to end encryption) là cơ chế mã hoá thông tin ở điểm đầu trước khi gửi đi và chỉ được giải mã sau khi nhận được tại điểm cuối trong quá trình trao đổi thông tin giữa các ứng dụng, các thiết bị trong hệ thống nhằm hạn chế rủi ro bị lộ, lọt thông tin trên đường truyền. · Nguyên tắc chung về đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin cho việc cung cấp dịch vụ ngân hàng trực tuyến · Hệ thống cung cấp dịch vụ ngân hàng trực tuyến được xếp hạng là hệ thống công nghệ thông tin quan trọng và tuân thủ theo quy định của Ngân hàng Nhà nước về đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin trong hoạt động ngân hàng. · Đảm bảo bí mật thông tin khách hàng; tính toàn vẹn dữ liệu giao dịch khách hàng và mọi giao dịch khách hàng phải được xác thực tối thiểu hai yếu tố. · Đảm bảo tính sẵn sàng của hệ thống công nghệ thông tin cho việc đảm bảo cung cấp dịch vụ ngân hàng trực tuyến một cách liên tục. · Bố trí nhân lực thực hiện việc quản trị, giám sát, vận hành hệ thống công nghệ thông tin và hỗ trợ khách hàng trong quá trình cung cấp dịch vụ ngân hàng trực tuyến. · Thực hiện kiểm tra, đánh giá an ninh, bảo mật hệ thống công nghệ thông tin ngân hàng trực tuyến theo định kỳ hàng năm. · Xác định rủi ro, có biện pháp phòng ngừa, xử lý rủi ro trong cung cấp dịch vụ ngân hàng trực tuyến. · Cơ sở dữ liệu của hệ thống công nghệ thông tin ngân hàng trực tuyến không được đặt trên điện toán đám mây công cộng. · Các trang thiết bị hạ tầng kỹ thuật công nghệ thông tin ngân hàng trực tuyến phải có bản quyền, nguồn gốc, xuất xứ rõ ràng; trường hợp không còn hỗ trợ của nhà sản xuất, không có khả năng nâng cấp để cài đặt phần mềm phiên bản mới đơn vị phải có kế hoạch nâng cấp, thay thế kịp thời. Chương II. CÁC QUY ĐỊNH CỤ THỂ Mục 1 . HỆ THỐNG HẠ TẦNG KỸ THUẬT CÔNG NGHỆ THÔNG TIN · H ệ thống mạng, truyền th ông · Chia tách h ệ thống mạng th ành các phân vùng, t ối thiểu gồm: ph ân vùng k ết nối với Internet, ph ân vùng DMZ (Demilitarized Zone), phân vùng k ết nối nội bộ, ph ân vùng máy ch ủ (server farm). · Trang bị các giải pháp an ninh, bảo mật cho hệ thống công nghệ thông tin ngân hàng trực tuyến, tối thiểu gồm: thiết bị tường lửa (Firewall); phòng chống vi rút; phòng chống tấn công từ chối dịch vụ; tường lửa bảo vệ lớp ứng dụng (Application Firewall) và phòng chống tấn công xâm nhập (IDS/IPS). · Dữ liệu nhạy cảm không được lưu trữ tại phân vùng kết nối với Internet, phân vùng DMZ. · Kết nối từ bên ngoài vào hệ thống công nghệ thông tin ngân hàng trực tuyến phải thông qua phân vùng DMZ để kiểm soát an ninh, bảo mật. Kết nối giữa hệ thống công nghệ thông tin ngân hàng trực tuyến và các hệ thống công nghệ thông tin khác của đơn vị phải được kiểm soát bằng giải pháp tường lửa. · Thiết lập chính sách hạn chế tối đa các dịch vụ, cổng kết nối vào hệ thống công nghệ thông tin ngân hàng trực tuyến. · Kiểm tra chính sách an ninh bảo mật; quyền truy cập; các kết nối, trang thiết bị, phần mềm cài đặt bất hợp pháp vào mạng hệ thống mạng tối thiểu 3 tháng một lần. · Không cho phép kết nối từ mạng không dây nội bộ đến môi trường vận hành ngân hàng trực tuyến. · Hạn chế kết nối từ xa để thực hiện công tác quản trị hệ thống. Trường hợp bắt buộc phải kết nối từ xa, đơn vị phải sử dụng giao thức truyền thông được mã hóa và không lưu các mã khóa bí mật trong các phần mềm tiện ích. · Kết nối vào hệ thống mạng nội bộ thông qua mạng Internet để thực hiện công tác quản lý từ xa phải được tuân thủ các quy tắc sau: a) Phải được sự chấp thuận của người có thẩm quyền trên cơ sở hồ sơ yêu cầu kết nối. b) Phải sử dụng giao thức truyền thông được mã hóa. c) Thiết bị kết nối phải được cài đặt các phần mềm đảm bảo an ninh bảo mật. d) Phải sử dụng biện pháp xác thực hai yếu tố khi đăng nhập hệ thống. đ) Giám sát và lưu giữ hồ sơ kết nối. · Hệ thống máy chủ và phần mềm hệ thống · Các máy chủ và các thiết bị đi kèm của hệ thống công nghệ thông tin ngân hàng trực tuyến phải đảm bảo đủ công suất, hiệu năng, tốc độ xử lý truy xuất đáp ứng yêu cầu của khách hàng sử dụng dịch vụ. · Yêu cầu đối với máy chủ a) Hiệu năng sử dụng trung bình hàng tháng tối đa 80% công suất thiết kế. b) Có tính năng sẵn sàng cao: mỗi hệ thống máy chủ ứng dụng, cơ sở dữ liệu phải có tối thiểu một máy chủ dự phòng tại chỗ. c) Lắp đặt tại địa điểm được bảo vệ an toàn, phải có người trực bảo vệ 24/7. d) Tách biệt lô-gíc hoặc vật lý với các máy chủ hoạt động nghiệp vụ khác và máy chủ cơ sở dữ liệu phải đặt trong phân vùng máy chủ của hệ thống mạng. · Yêu cầu đối với phần mềm hệ thống a) Kiểm tra, cập nhật các phiên bản vá lỗi kịp thời theo khuyến cáo của nhà sản xuất và tối thiểu sáu tháng một lần. b) Lập danh mục các phần mềm được phép cài đặt trên máy chủ và định kỳ tối thiểu ba tháng một lần cập nhật, kiểm tra, đảm bảo tuân thủ danh mục này. · Hệ quản trị cơ sở dữ liệu · Hệ quản trị cơ sở dữ liệu phải đáp ứng được yêu cầu hoạt động ổn định; xử lý, lưu trữ được khối lượng dữ liệu lớn theo yêu cầu nghiệp vụ; có cơ chế bảo vệ và phân quyền truy cập đối với các tài nguyên cơ sở dữ liệu. · Rà soát, cập nhật các bản vá, các bản sửa lỗi hệ quản trị cơ sở dữ liệu tối thiểu sáu tháng một lần hoặc ngay sau khi có khuyến cáo của nhà cung cấp. · Sao lưu dự phòng đối với cơ sở dữ liệu, bản dữ liệu sao lưu phải được cập nhật không quá một giờ so với dữ liệu chính thức và phải cất trữ, quản lý an toàn. · Có biện pháp giám sát, ghi nhật ký truy cập cơ sở dữ liệu và các thao tác khi truy cập cơ sở dữ liệu. · Ph ần mềm ứng dụng · Các yêu cầu an toàn, bảo mật của nghiệp vụ phải được xác định trước và tổ chức, triển khai trong quá trình phát triển phần mềm: phân tích, thiết kế, kiểm thử, vận hành chính thức và bảo trì. Các tài liệu về an toàn, bảo mật của phần mềm phải được hệ thống hóa và lưu trữ, sử dụng theo chế độ “Mật”. · Ki ểm so át chương trình ngu ồn a) Kiểm tra mã nguồn, nhằm loại trừ các đoạn mã độc hại, các lỗ hổng bảo mật (back-door). b) Chỉ định cụ thể các cá nhân quản lý chương trình nguồn của hệ thống ứng dụng ngân hàng trực tuyến. c) Việc truy cập tới chương trình nguồn phải được sự phê chuẩn của cấp có thẩm quyền và được theo dõi, ghi nhật ký. d) Chương trình nguồn phải được lưu trữ an toàn tại ít nhất hai địa điểm tách biệt. đ) Đơn vị phải yêu cầu bên cung cấp ký cam kết không có các đoạn mã độc hại trong phần mềm ứng dụng mua ngoài đối với trường hợp không được bàn giao chương trình nguồn. · Kiểm tra thử nghiệm phần mềm ứng dụng a) Lập và phê duyệt kế hoạch, kịch bản thử nghiệm cho các ứng dụng ngân hàng trực tuyến, trong đó nêu rõ các điều kiện về tính an toàn, bảo mật phải được đáp ứng. b) Phát hiện và loại trừ các lỗi, các gian lận có thể xảy ra khi nhập số liệu đầu vào. c) Đánh giá, rò quét phát hiện lỗ hổng, điểm yếu về mặt kỹ thuật. Đánh giá khả năng phòng chống các kiểu tấn công: Injection (SQL, Xpath, LDAP…), Cross-site Scripting (XSS), Cross-site Request Forgery (XSRF), Brute-Force. d) Ghi lại các lỗi và quá trình xử lý lỗi, đặc biệt là các lỗi về an toàn, bảo mật trong các báo cáo về kiểm tra thử nghiệm. đ) Kiểm tra thử nghiệm các tính năng an toàn, bảo mật phải được thực hiện trên các trình duyệt (ứng dụng web) và phiên bản phần mềm hệ thống của thiết bị di động (ứng dụng mobile); có cơ chế kiểm tra, thông báo cho người dùng chạy ứng dụng trên các trình duyệt, phiên bản phần mềm hệ thống đã được kiểm tra và thử nghiệm an toàn. e) Việc sử dụng dữ liệu cho quá trình thử nghiệm phải có biện pháp phòng ngừa tránh bị lợi dụng hoặc gây nhầm lẫn. · Trước khi triển khai phần mềm ứng dụng mới, phải đánh giá những rủi ro của quá trình triển khai đối với hoạt động nghiệp vụ, các hệ thống công nghệ thông tin liên quan và lập, triển khai các phương án hạn chế, khắc phục rủi ro. · Quản lý và nâng cấp phiên bản phần mềm ứng dụng a) Phân tích đánh giá ảnh hưởng của việc thay đổi đối với hệ thống hiện tại và các hệ thống có liên quan khác của đơn vị cho mỗi yêu cầu thay đổi phần mềm. b) Các phiên bản phần mềm bao gồm cả chương trình nguồn cần được quản lý tập trung, lưu trữ, bảo mật và có cơ chế phân quyền cho từng thành viên trong việc thao tác với các tập tin. c) Thông tin về các phiên bản, thời gian cập nhật, người cập nhật các phiên bản phải được lưu lại. d) Mỗi phiên bản được nâng cấp phải được kiểm tra thử nghiệm các tính năng an toàn, bảo mật, mức độ rủi ro và tính ổn định trước khi triển khai chính thức. đ) Việc nâng cấp phiên bản phải căn cứ trên kết quả thử nghiệm và được cấp có thẩm quyền phê duyệt. e) Các phiên bản phần mềm sau khi thử nghiệm thành công phải được quản lý chặt chẽ; tránh bị sửa đổi bất hợp pháp và sẵn sàng cho việc triển khai. g) Có các chỉ dẫn rõ ràng về nội dung thay đổi, hướng dẫn cập nhật phần mềm, các thông tin liên quan khác và phải được thông qua cấp có thẩm quyền phê duyệt trước khi triển khai phiên bản mới cho khách hàng. · Các tín năng bắt buộc của phần mềm ứng dụng a) Dữ liệu nhạy cảm khi truyền trên môi trường mạng Internet được áp dụng cơ chế mã hóa điểm đầu đến điểm cuối. b) Đảm bảo tính toàn vẹn của dữ liệu giao dịch, mọi sửa đổi bất hợp pháp phải được phát hiện trong quá trình xử lý giao dịch, lưu trữ dữ liệu. c) Có cơ chế kiểm soát phiên giao dịch và thời gian truy cập website, ứng dụng. Trường hợp người sử dụng không thao tác trong một khoảng thời gian do đơn vị quy định nhưng không quá năm phút, hệ thống tự động ngắt phiên giao dịch hoặc áp dụng các biện pháp bảo vệ khác. d) Có chức năng che giấu (mask) đối với việc hiển thị các mã khóa bí mật. · Phần mềm trên thiết bị di động Phần mềm ngân hàng trực tuyến trên thiết bị di động phải đảm bảo tuân thủ các quy định tại Điều 7 Thông tư này và các yêu cầu sau: · Chương trình nguồn phải được mã hóa và không có khả năng dịch ngược. · Phần mềm phải sử dụng mã khóa do đơn vị cung cấp để kích hoạt trước khi sử dụng. Một mã khóa kích hoạt chỉ được sử dụng cho một thiết bị di động. · Khi truy c ập phần mềm phải được x ác th ực. Trường hợp x ác th ực sai năm lần li ên ti ếp, phần mềm phải tự động kho á không cho khách hàng ti ếp tục sử dụng. · Ph ần mềm phải m ã hóa toàn b ộ dữ liệu truyền nhận với m áy ch ủ ứng dụng ng ân hàng tr ực tuyến theo phương thức m ã hóa d ữ liệu điểm đầu đến điểm cuối. · Có bi ện ph áp ngăn ch ặn phần mềm ứng dụng kh ác xâm nh ập tới v ùng b ộ nhớ đệm được hệ điều h ành thi ết bị di động cấp cho phần mềm ứng dụng ng ân hàng tr ực tuyến. · H ệ thống quản trị, gi ám sát, theo dõi ho ạt động của hệ thống · Có h ệ thống gi ám sát, theo dõi ho ạt động của hệ thống c ông ngh ệ th ông tin ngân hàng tr ực tuyến. · Có ph ần mềm theo d õi, c ảnh b áo các giao d ịch đ áng ng ờ, bất thường. · Có phòng đi ều khiển để thực hiện việc quản trị, gi ám sát, theo dõi ho ạt động của hệ thống c ông ngh ệ th ông tin ngân hàng tr ực tuyến đ áp ứng y êu c ầu sau: a) Ph ải độc lập với m ôi trư ờng lắp đặt hệ thống, c ó thi ết bị kiểm so át vào/ra. b) Nhân s ự v ào/ra, làm vi ệc trong ph òng ph ải được sự chấp thuận của người c ó th ẩm quyền. c) Truy c ập hệ thống để thực hiện c ông tác qu ản trị, vận h ành và b ảo tr ì ph ải được thực hiện th ông qua các thi ết bị trong ph òng đi ều khiển. Trường hợp cần truy cập từ xa hoặc trực tiếp tr ên thi ết bị phải c ó s ự ph ê duy ệt của người c ó th ẩm quyền. d) Truy c ập từ b ên ngoài vào các thi ết bị b ên trong phòng đi ều khiển phải áp d ụng c ác bi ện ph áp xác th ực hai yếu tố. M ục 2 . XÁC TH ỰC GIAO DỊCH TRONG DỊCH VỤ NG ÂN HÀNG TR ỰC TUYẾN · Xác th ực kh ách hàng truy c ập dịch vụ ng ân hàng tr ực tuyến · Vi ệc truy cập v ào tài kho ản người d ùng ph ải được x ác th ực tối thiểu bằng t ên đăng nh ập v à mã khóa bí m ật đ áp ứng c ác yêu c ầu sau: a) Tên đăng nh ập phải c ó đ ộ d ài t ối thiểu s áu ký t ự; kh ông đư ợc sử dụng to àn b ộ k ý t ự tr ùng nhau ho ặc li ên t ục theo thứ tự trong bảng chữ c ái, ch ữ số; kh ông đư ợc tr ùng v ới số chứng minh nh ân dân, s ố căn cước c ông dân, s ố hộ chiếu, số điện thoại di động, địa chỉ email, số t ài kho ản thanh to án và s ố thẻ t ín d ụng. b) Mã khóa bí m ật phải c ó đ ộ d ài t ối thiểu s áu ký t ự, bao gồm c ác ký t ự chữ v à s ố, c ó ch ứa chữ hoa v à ch ữ thường hoặc c ác ký t ự đặc biệt; kh ông đư ợc tr ùng v ới t ên đăng nh ập; kh ông đư ợc tạo th ành t ừ chuỗi k ý t ự tr ùng nhau ho ặc li ên t ục theo thứ tự trong bảng chữ c ái, ch ữ số; kh ông đư ợc tr ùng v ới ba lần thay đổi gần nhất trước đ ó. Th ời gian hiệu lực của m ã khóa bí m ật tối đa s áu tháng. · B ắt buộc kh ách hàng ph ải thay đổi m ã khóa bí m ật ngay lần đăng nhập đầu ti ên; khóa tài kho ản truy cập trong trường hợp kh ách hàng nh ập sai m ã khóa bí m ật li ên ti ếp qu á s ố lần do đơn vị quy định, nhưng kh ông đư ợc qu á năm l ần. · Phân lo ại giao dịch theo hạn mức thanh to án · Giao d ịch loại A: c ác giao d ịch thanh to án có s ố tiền dưới 5.000.000 (năm triệu) đồng v à t ổng số tiền thanh to án trong ngày dư ới 20.000.000 (hai mươi triệu) đồng. · Giao d ịch loại B: c ác giao d ịch thanh to án có s ố tiền từ 5.000.000 (năm triệu) đồng đến dưới 50.000.000 (năm mươi triệu) đồng v à t ổng số tiền thanh to án trong ngày dư ới 200.000.000 (hai trăm triệu) đồng. · Giao d ịch loại C: c ác giao d ịch thanh to án có s ố tiền từ 50.000.000 (năm mươi triệu) đồng đến dưới 200.000.000 (hai trăm triệu) đồng v à t ổng số tiền thanh to án trong ngày dư ới 500.000.000 (năm trăm triệu) đồng. · Giao d ịch loại D: a) Các giao d ịch thanh to án có s ố tiền từ 200.000.000 (hai trăm triệu) đồng trở l ên. b) Các giao d ịch kh ác không đư ợc n êu trong Đi ều n ày. · Yêu c ầu x ác th ực theo loại giao dịch · Giao d ịch loại A: tối thiểu áp d ụng một trong c ác gi ải ph áp xác th ực sau: a) S ử dụng OTP được tạo từ ma trận lưới ngẫu nhi ên. b) S ử dụng SMS OTP. · Giao d ịch loại B: tối thiểu áp d ụng một trong c ác gi ải ph áp xác th ực sau: a) S ử dụng OTP được tạo từ thiết bị (token). b) S ử dụng OTP được tạo từ phần mềm c ài trên thi ết bị di động. · Giao d ịch loại C: tối thiểu áp d ụng một trong c ác gi ải ph áp xác th ực sau: a) S ử dụng OTP c ó ch ức năng k ý giao d ịch được tạo bởi thiết bị (token) hoặc phần mềm (c ài trên thi ết bị di động) từ m ã giao d ịch do hệ thống ứng dụng ng ân hàng tr ực tuyến th ông báo. b) S ử dụng giải ph áp xác th ực hai chiều: hệ thống gửi th ông tin v ề giao dịch đến thiết bị di động của kh ách hàng đ ể kh ách hàng xác nh ận thực hiện hoặc kh ông th ực hiện giao dịch. · Giao d ịch loại D: tối thiểu áp d ụng một trong c ác gi ải ph áp sau: a) Ch ữ k ý s ố. b) D ấu hiệu nhận dạng sinh trắc học của kh ách hàng: khuôn m ặt, ánh m ắt, giọng n ói, m ạch m áu. c) Các gi ải ph áp xác th ực kh ác có tiêu chu ẩn, t ính năng b ảo mật tương đương hoặc cao hơn v à ph ải được sự chấp thuận của Ng ân hàng Nhà nư ớc. · Yêu c ầu đối với c ác bi ện ph áp xác th ực giao dịch · Xác th ực bằng OTP gửi qua tin nhắn SMS hoặc thư điện tử a) OTP g ửi tới kh ách hàng ph ải k èm thông tin c ảnh b áo đ ể kh ách hàng b ảo mật. b) Th ời gian c ó hi ệu lực tối đa của một OTP kh ông quá 3 phút. · Xác th ực bằng OTP tạo ra bởi phần mềm tr ên thi ết bị di động a) Ch ỉ r õ đư ờng dẫn tr ên website c ủa đơn vị để kh ách hàng t ải (download) phần mềm. Trường hợp đường dẫn tr ên website, kho ứng dụng của b ên th ứ ba th ì đơn v ị phải y êu c ầu b ên th ứ ba k ý cam k ết bảo mật, c ó bi ện ph áp ch ống giả mạo ứng dụng của đơn vị. b) Tr ực tiếp cung cấp m ã khóa bí m ật để k ích ho ạt phần mềm tạo OTP cho kh ách hàng t ại quầy giao dịch v à có gi ải ph áp đ ảm bảo phần mềm chỉ c ó th ể được sử dụng tr ên thi ết bị của kh ách hàng đã đăng ký v ới đơn vị. c) Ph ần mềm tạo OTP phải được kiểm so át truy c ập. Trường hợp x ác th ực truy cập sai ba lần li ên ti ếp, phần mềm phải tự động kho á không cho khách hàng ti ếp tục sử dụng. d) Th ời gian c ó hi ệu lực tối đa của một OTP được tạo bởi phần mềm kh ông quá 2 phút. · Xác th ực bằng OTP tr ên thi ết bị tạo kh óa (OTP token) a) Th ời gian c ó hi ệu lực tối đa của một OTP kh ông quá 2 phút. b) Thi ết bị tạo OTP phải được kiểm so át truy c ập. · Xác th ực bằng chữ k ý s ố: giải ph áp s ử dụng chữ k ý s ố để x ác th ực kh ách hàng ph ải l à gi ải ph áp đư ợc Cơ quan c ó th ẩm quyền tại Việt Nam cấp ph ép ho ặc chấp thuận. · Xác th ực bằng dấu hiệu nhận dạng sinh trắc học: dấu hiệu nhận dạng sinh trắc học phải l à d ấu hiệu duy nhất gắn với mỗi kh ách hàng và không th ể giả mạo. M ục 3 . QU ẢN L Ý V ẬN H ÀNH · Qu ản l ý nhân s ự quản trị, vận h ành h ệ thống ng ân hàng tr ực tuyến · Có nhân s ự gi ám sát, theo dõi ho ạt động của hệ thống, ph át hi ện v à x ử l ý các s ự cố kỹ thuật, c ác cu ộc tấn c ông m ạng v à nhân s ự tiếp nhận th ông tin, h ỗ trợ kh ách hàng, k ịp thời li ên l ạc với kh ách hàng khi phát hi ện c ác giao d ịch đ áng ng ờ, bất thường. · Rà soát, ki ểm tra c ác tài kho ản truy cập, quyền truy cập c ủa nh ân s ự vận h ành t ối thiểu mỗi th áng m ột lần v à lo ại bỏ ngay c ác quy ền truy cập kh ông phù h ợp với nhiệm vụ đư ợc ph ân công. · Nhân s ự quản trị, gi ám sát và v ận h ành h ệ thống c ông ngh ệ th ông tin ngân hàng tr ực tuyến phải tham gia c ác khóa đào t ạo cập nhật kiến thức an ninh, bảo mật hằng năm. · Qu ản l ý ho ạt động của m ôi trư ờng vận h ành ngân hàng tr ực tuyến · Không cài đ ặt, lưu trữ phần mềm ph át tri ển ứng dụng, m ã ngu ồn ứng dụng tr ên môi trư ờng vận h ành. · Các máy tính c ủa nh ân s ự hỗ trợ vận h ành ph ải được đặt trong v ùng m ạng kết nối nội bộ, được c ài đ ặt phần mềm ph òng ch ống vi r út và ph ải thiết lập ch ính sách t ự động kh óa màn hình sau m ột khoảng thời gian kh ông s ử dụng do đơn vị quy định, nhưng kh ông quá 5 phút. · Thi ết lập ch ính sách c ấm truy cập Internet đối với c ác máy tính n ội bộ trong m ôi trư ờng vận h ành. · Qu ản l ý l ỗ hổng, điểm yếu về mặt kỹ thuật · Có bi ện ph áp phòng ch ống, tự động d ò tìm, phát hi ện c ác thay đ ổi của website, ứng dụng ng ân hàng tr ực tuyến. · Thi ết lập cơ chế ph át hi ện, ph òng ch ống x âm nh ập, tấn c ông m ạng v ào h ệ thống c ông ngh ệ th ông tin ngân hàng tr ực tuyến. · Ph ối hợp với c ác đơn v ị quản l ý nhà nư ớc, c ác đ ối t ác công ngh ệ th ông tin k ịp thời nắm bắt c ác s ự cố, t ình hu ống mất an to àn, b ảo mật th ông tin đ ể c ó bi ện ph áp ngăn ch ặn kịp thời. · Th ực hiện d ò quét l ỗ hổng, điểm yếu về mặt kỹ thuật; đ ánh giá r ủi ro v à áp d ụng biện ph áp x ử l ý; l ập b áo cáo k ết quả đ ánh giá, x ử l ý. · Rà soát, ki ểm tra việc cập nhật c ác b ản v á l ỗi của phần mềm hệ thống, hệ quản trị cơ sở dữ liệu v à ph ần mềm ứng dụng tối thiểu s áu tháng m ột lần. · Đánh giá an ninh b ảo mật đối với hệ thống c ông ngh ệ c ông ngh ệ th ông tin ngân hàng tr ực tuyến tối thiểu mỗi năm một lần. · Qu ản l ý s ự cố bảo mật th ông tin · Có gi ải ph áp qu ản l ý, phân tích nh ật k ý h ệ thống để ph át hi ện c ác truy c ập bất hợp ph áp. · Có bi ện ph áp ghi nh ận, theo d õi và x ử l ý các s ự cố an ninh th ông tin. Đ ịnh kỳ h àng tháng ph ải đ ánh giá, tìm nguyên nhân và ch ủ động thực hiện c ác bi ện ph áp phòng tránh tái di ễn. · Ph ải c ó bi ện ph áp b ảo vệ nhật k ý giao d ịch, nhật k ý h ệ thống, nhật k ý s ự cố, kết quả xử l ý và các tài li ệu, bằng chứng li ên quan. · Đ ảm bảo hoạt động li ên t ục · Xây d ựng hệ thống dự ph òng th ảm họa cho hệ thống ch ính th ức, đảm bảo c ó th ể thay thế hệ thống ch ính trong th ời gian tối đa hai giờ kể từ khi hệ thống ch ính th ức ngừng hoạt động. · Phân tích, xác đ ịnh c ác tình hu ống c ó th ể g ây m ất an ninh th ông tin và gián đo ạn hoạt động của hệ thống c ông ngh ệ th ông tin ngân hàng tr ực tuyến. X ác đ ịnh, đ ánh giá m ức độ rủi ro, khả năng c ó th ể xảy ra đối với từng t ình hu ống tối thiểu ba th áng m ột lần. Lập danh s ách các tình hu ống c ó m ức độ rủi ro, khả năng c ó th ể xảy ra theo c ác c ấp độ cao, trung b ình, ch ấp nhận được v à th ấp. · Xây d ựng phương án (quy trình, k ịch bản) xử l ý kh ắc phục c ác tình hu ống c ó m ức độ rủi ro, khả năng c ó th ể xảy ra ở cấp độ cao v à trung bình theo Kho ản 2 Điều n ày. Xác đ ịnh thời gian dừng hoạt động tối đa để phục hồi hệ thống, phục hồi dữ liệu cho phương án x ử l ý đ ối với từng t ình hu ống. Tổ chức phổ biến phương án x ử l ý đ ến c ác nhân s ự c ó liên quan đ ể hiểu r õ nhi ệm vụ, c ông vi ệc cần phải thực hiện khi xử l ý. · B ố tr í ngu ồn nh ân l ực, t ài chính và các phương ti ện kỹ thuật để tổ chức diễn tập theo định kỳ tối thiểu s áu tháng m ột lần phương án x ử l ý v ới c ác tình hu ống c ó m ức độ rủi ro, khả năng xảy ra cao. Tổ chức thực hiện diễn tập tấn c ông th ử nghiệm để kiểm tra, đ ánh giá m ức độ đảm bảo an ninh của hệ thống. · Ki ểm tra hoạt động của hệ thống dự ph òng theo đ ịnh kỳ tối thiểu mỗi th áng m ột lần đảm bảo sự sẵn s àng cho ho ạt động li ên t ục. · L ập kế hoạch v à ti ến h ành di ễn tập c ác bi ện ph áp đ ảm bảo hoạt động kinh doanh li ên t ục, lưu giữ c ác h ồ sơ c ó liên quan và t ổ chức đ ánh giá k ết quả diễn tập. M ục 4 . B ẢO VỆ KH ÁCH HÀNG · Thông tin v ề dịch vụ ng ân hàng tr ực tuyến · Thông tin v ề dịch vụ ng ân hàng tr ực tuyến cho kh ách hàng trư ớc khi đăng k ý s ử dụng dịch vụ, tối thiểu gồm: a) Cách th ức cung cấp dịch vụ: phần mềm tr ên website, ph ần mềm tr ên thi ết bị di động. b) H ạn mức giao dịch v à các bi ện ph áp xác th ực giao dịch. c) Đi ều kiện về trang thiết bị khi sử dụng dịch vụ: thiết bị tạo OTP; số điện thoại di động/thư điện tử; chữ k ý s ố; thiết bị di động để c ài đ ặt phần mềm. d) Các r ủi ro li ên quan đ ến việc sử dụng dịch vụ ng ân hàng tr ực tuyến. · Thông tin cho khách hàng v ề hợp đồng cung cấp, sử dụng dịch vụ ng ân hàng tr ực tuyến, tối thiểu gồm: a) Quy ền lợi v à nghĩa v ụ của kh ách hàng s ử dụng dịch vụ ng ân hàng tr ực tuyến. b) Trách nhi ệm của đơn vị trong bảo mật c ác thông tin cá nhân c ủa kh ách hàng; cách th ức đơn vị thu thập, sử dụng th ông tin khách hàng; cam k ết kh ông bán, ti ết lộ, r ò r ỉ c ác thông tin khách hàng. c) Các trư ờng hợp đơn vị phải bồi thường thiệt hại cho kh ách hàng. d) Cam k ết khả năng đảm bảo hoạt động li ên t ục của hệ thống c ông ngh ệ th ông tin ngân hàng tr ực tuyến. · Hư ớng dẫn kh ách hàng s ử dụng dịch vụ ng ân hàng tr ực tuyến · Xây d ựng quy tr ình, tài li ệu hướng dẫn c ài đ ặt, sử dụng c ác ph ần mềm, ứng dụng, thiết bị trong thực hiện c ác giao d ịch ng ân hàng tr ực tuyến. Cung cấp v à hư ớng dẫn sử dụng c ác quy trình, tài li ệu n ày cho khách hàng. · Hư ớng dẫn kh ách hàng th ực hiện c ác bi ện ph áp đ ảm bảo an to àn, b ảo mật khi sử dụng dịch vụ ng ân hàng tr ực tuyến, tối thiểu gồm c ác n ội dung sau: a) B ảo vệ b í m ật m ã khóa bí m ật, m ã OTP và không chia s ẻ c ác thi ết bị lưu trữ c ác mã này. b) Cách thi ết lập m ã khóa bí m ật v à thay đ ổi m ã khóa bí m ật t ài kho ản truy cập theo định kỳ tối thiểu s áu tháng m ột lần hoặc khi bị lộ, nghi bị lộ. c) Không dùng máy tính công c ộng để truy cập, thực hiện giao dịch ng ân hàng tr ực tuyến. d) Không lưu l ại t ên đăng nh ập v à mã khóa bí m ật tr ên các trình duy ệt web. đ) Thoát kh ỏi hệ thống ứng dụng ng ân hàng tr ực tuyến khi kh ông s ử dụng. e) Nh ận dạng v à hành đ ộng xử l ý m ột số t ình hu ống lừa đảo, giả mạo website. g) Cài đ ặt, sử dụng phần mềm diệt vi r út trên thi ết bị c á nhân s ử dụng để giao dịch ng ân hàng tr ực tuyến. h) L ựa chọn c ác gi ải ph áp xác th ực c ó m ức độ an to àn, b ảo mật ph ù h ợp với nhu cầu của kh ách hàng v ề gi á tr ị giao dịch thanh to án. i) C ảnh b áo các r ủi ro li ên quan đ ến việc sử dụng dịch vụ ng ân hàng tr ực tuyến. · Cung c ấp cho kh ách hàng đ ầu mối tiếp nhận th ông tin, s ố điện thoại đường d ây nóng. Ch ỉ dẫn kh ách hàng ph ối hợp, trao đổi th ông tin hai chi ều: a) Thông báo cho đơn v ị phối hợp xử l ý các l ỗi v à s ự cố trong qu á trình s ử dụng dịch vụ. b) Thông báo k ịp thời cho đơn vị khi ph át hi ện c ác giao d ịch bất thường, đ áng ng ờ. c) Thông báo ngay cho đơn v ị c ác trư ờng hợp: mất, thất lạc, hư hỏng thiết bị tạo m ã OTP, s ố điện thoại nhận tin nhắn SMS, thiết bị lưu trữ kho á b ảo mật tạo chữ k ý s ố; bị lừa đảo hoặc nghi ngờ bị lừa đảo; bị tin tặc hoặc nghi ngờ bị tin tặc tấn c ông. · B ảo mật th ông tin khách hàng · Áp d ụng c ác bi ện ph áp đ ảm bảo an to àn, b ảo mật cơ sở dữ liệu kh ách hàng. D ữ liệu nhạy cảm của kh ách hàng khi lưu tr ữ, truyền tr ên m ạng Internet phải được m ã hóa ho ặc che dấu (mask). · Thi ết lập quyền truy cập vừa đủ cho nh ân s ự thực hiện nhiệm vụ khi truy cập dữ liệu kh ách hàng; có bi ện ph áp giám sát m ỗi lần truy cập. · Có bi ện ph áp qu ản l ý truy c ập, tiếp cận c ác thi ết bị, phương tiện lưu trữ dữ liệu về th ông tin khách hàng; ngăn ch ặn r ò r ỉ, lộ lọt dữ liệu. Chương III. ĐIỀU KHOẢN THI HÀNH · Hi ệu lực thi h ành · Thông tư này có hi ệu lực thi h ành k ể từ ng ày 01/3/2017 và thay th ế Th ông tư 29/2011/TT-NHNN ngày 21/9/2011 c ủa Thống đốc Ng ân hàng Nhà nư ớc Việt Nam về việc ban h ành Quy đ ịnh việc đảm bảo an to àn, b ảo mật cho việc cung cấp dịch vụ ng ân hàng trên Internet. · Trong quá trình th ực hiện nếu c ó v ấn đề ph át sinh, vư ớng mắc, c ác đơn v ị phản ánh k ịp thời về Ng ân hàng Nhà nư ớc để xem x ét, b ổ sung, sửa đổi. · Trách nhi ệm thi h ành · C ục C ông ngh ệ tin học c ó trách nhi ệm: a) Theo dõi, t ổng hợp b áo cáo Th ống đốc t ình hình th ực hiện việc đảm bảo an to àn, b ảo mật hệ thống c ông ngh ệ th ông tin cho vi ệc cung cấp dị ch vụ ng ân hàng tr ự c tuyến của c ác đơn v ị theo quy định tại Th ông tư này. b) Hàng năm l ập kế hoạch v à ki ểm tra việc thực hiện Th ông tư này t ại c ác đơn v ị. c) Chủ trì, phối hợp với các đơn vị liên quan thuộc Ngân hàng Nhà nước xử lý các vướng mắc phát sinh trong quá trình triển khai thực hiện Thông tư này. · Cơ quan Thanh tra, giám sát ngân hàng có trách nhiệm phối hợp với Cục Công nghệ tin học kiểm tra, giám sát việc thi hành Thông tư này và xử lý vi phạm hành chính đối với hành vi vi phạm theo quy định của pháp luật. · Chánh Văn phòng, Cục trưởng Cục Công nghệ tin học và Thủ trưởng các đơn vị thuộc Ngân hàng Nhà nước Việt Nam, Giám đốc Ngân hàng Nhà nước chi nhánh các tỉnh, thành phố trực thuộc Trung ương; Chủ tịch Hội đồng quản trị, Chủ tịch Hội đồng thành viên, Tổng giám đốc (Giám đốc) các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, các tổ chức cung ứng dịch vụ trung gian thanh toán cung cấp dịch vụ ngân hàng trực tuyến chịu trách nhiệm thi hành Thông tư này./. Nơi nhận: - Như Khoản 3 Điều 23; - Ban lãnh đạo NHNN; - Văn phòng Chính phủ; - Bộ Tư pháp (để kiểm tra); - Công báo; - Lưu: VP, CNTH, PC. TH ỐNG ĐỐC