35/2016/TT-NHNN

Thông tư 35/2016/TT-NHNN quy định về an toàn, bảo mật cho việc cung cấp dịch vụ ngân hàng trên Internet do Thống đốc Ngân hàng Nhà nước Việt Nam ban hành NGÂN HÀNG NHÀ NƯỚC VIỆT NAM -------- CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc --------------- Số: 35/2016/TT-NHNN Hà Nội, ngày 29 tháng 12 năm 2016 THÔNG TƯ QUY ĐỊNH VỀ AN TOÀN, BẢO MẬT CHO VIỆC CUNG CẤP DỊCH VỤ NGÂN HÀNG TRÊN INTERNET Căn cứ Luật Ngân hàng Nhà nước Việt Nam số 46/2010/QH12 ngày 16 tháng 6 năm 2010; Căn cứ Luật các tổ chức tín dụng số 47/2010/QH12 ngày 16 tháng 6 năm 2010; Căn cứ Luật Giao dịch điện tử số 51/2005/QH11 ngày 29 tháng 11 năm 2005; Căn cứ Luật an toàn thông tin mạng số 86/2015/QH13 ngày 19 tháng 11 năm 2015; Căn cứ Nghị định số 35/2007/NĐ-CP ngày 08 tháng 3 năm 2007 của Chính phủ về giao dịch điện tử trong hoạt động ngân hàng; Căn cứ Nghị định số 156/2013/NĐ-CP ngày 11 tháng 11 năm 2013 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Ngân hàng Nhà nước Việt Nam; Theo đề nghị của Cục trưởng Cục Công nghệ tin học, Thống đốc Ngân hàng Nhà nước Việt Nam ban hành Thông tư quy định về an toàn, bảo mật cho việc cung cấp dịch vụ ngân hàng trên Internet. Chương I QUY ĐỊNH CHUNG Điều 1. Phạm vi điều chỉnh và đối tượng áp dụng 1. Thông tư này quy đ ịnh c ác yêu c ầu đảm bảo an to àn, b ảo mật cho việc cung cấp dịch vụ ng ân hàng trên Internet. 2. Thông tư này áp d ụng đối với c ác t ổ chức t ín d ụng, chi nh ánh ngân hàng nư ớc ngo ài, t ổ chức cung ứng dịch vụ trung gian thanh to án t ại Việt Nam (sau đ ây g ọi chung l à đơn v ị). Điều 2. Giải thích từ ngữ và thuật ngữ Trong Thông tư này, các t ừ ngữ dưới đ ây đư ợc hiểu như sau: 1. D ịch vụ ng ân hàng trên Internet (Internet Banking) là các d ịch vụ ng ân hàng và d ịch vụ trung gian thanh to án đư ợc c ác đơn v ị cung cấp th ông qua m ạng Internet. 2. H ệ thống Internet Banking l à m ột tập hợp c ó c ấu tr úc các trang thi ết bị phần cứng, phần mềm, cơ sở dữ liệu, hệ thống mạng truyền th ông và an ninh b ảo mật để sản xuất, truyền nhận, thu thập, xử l ý, lưu tr ữ v à trao đ ổi th ông tin s ố phục vụ cho việc quản l ý và cung c ấp dịch vụ Internet Banking. 3. Khách hàng là các t ổ chức, c á nhân s ử dụng dịch vụ Internet Banking. 4. Mã khóa bí m ật d ùng m ột lần (One Time Password - OTP) l à mã khóa bí m ật c ó giá tr ị sử dụng một lần v à có hi ệu lực trong một khoảng thời gian nhất định, thường được sử dụng như một yếu tố thứ 2 để x ác th ực người d ùng truy c ập ứng dụng hoặc thực hiện giao dịch Internet Banking. 5. Xác th ực hai yếu tố l à phương pháp xác th ực y êu c ầu hai yếu tố để chứng minh t ính đúng đ ắn của một danh t ính. Xác th ực hai yếu tố dựa tr ên nh ững th ông tin mà ngư ời d ùng bi ết (số PIN, m ã khoá bí m ật, …) c ùng v ới những g ì mà ngư ời d ùng có (th ẻ th ông minh, thi ết bị token, điện thoại di động …) hoặc những dấu hiệu sinh trắc học của người d ùng đ ể x ác minh danh tính. 6. Mã hóa điểm đầu đến điểm cuối (end to end encryption) l à cơ ch ế m ã hoá thông tin ở điểm đầu trước khi gửi đi v à ch ỉ được giải m ã sau khi nh ận được tại điểm cuối trong qu á trình trao đ ổi th ông tin gi ữa c ác ứng dụng, c ác thi ết bị trong hệ thống nhằm hạn chế rủi ro bị lộ, lọt th ông tin trên đư ờng truyền. Điều 3. Nguyên tắc chung về đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin cho việc cung cấp dịch vụ Internet Banking 1. H ệ thống Internet Banking được xếp hạng l à h ệ thống c ông ngh ệ th ông tin quan tr ọng v à tuân th ủ theo quy định của Ng ân hàng Nhà nư ớc về đảm bảo an to àn, b ảo mật hệ thống c ông ngh ệ th ông tin trong ho ạt động ng ân hàng. 2. Đ ảm bảo b í m ật th ông tin khách hàng; tính toàn v ẹn dữ liệu giao dịch kh ách hàng và mọi giao dịch tài chính của khách hàng phải được xác thực tối thiểu hai yếu tố . 3. Đ ảm bảo t ính s ẵn s àng c ủa hệ thống Internet Banking để cung cấp dịch vụ một c ách liên t ục. 4. Th ực hiện kiểm tra, đ ánh giá an ninh, b ảo mật hệ thống Internet Banking theo định kỳ h àng năm. 5. Xác đ ịnh rủi ro, c ó bi ện ph áp phòng ng ừa, xử l ý r ủi ro trong cung cấp dịch vụ Internet Banking. 6. Các trang thi ết bị hạ tầng kỹ thuật c ông ngh ệ th ông tin cung c ấp dịch vụ Internet Banking phải c ó b ản quyền, nguồn gốc, xuất xứ r õ ràng; trư ờng hợp kh ông còn h ỗ trợ của nh à s ản xuất, kh ông có kh ả năng n âng c ấp để c ài đ ặt phần mềm phi ên b ản mới đơn vị phải c ó k ế hoạch n âng c ấp, thay thế theo th ông báo c ủa nh à s ản xuất. Chương II CÁC QUY ĐỊNH CỤ THỂ Mục 1. HẠ TẦNG KỸ THUẬT CỦA HỆ THỐNG INTERNET BANKING Điều 4. Hệ thống mạng, truyền thông và an ninh bảo mật Đơn v ị phải thiết lập hệ thống mạng, truyền th ông và an ninh b ảo mật đạt y êu c ầu tối thiểu sau: 1. H ệ thống mạng được chia t ách thành các phân vùng, t ối thiểu gồm: ph ân vùng k ết nối Internet, ph ân vùng trung gian gi ữa mạng nội bộ v à m ạng Internet (ph ân vùng DMZ), phân vùng ngư ời d ùng, phân vùng qu ản trị, ph ân vùng máy ch ủ. C ác máy tính ph ục vụ cho việc cung cấp th ông tin trên Internet ph ải được đặt trong ph ân vùng DMZ. Các máy ch ủ lưu trữ, xử l ý d ữ liệu phải được đặt trong ph ân vùng máy ch ủ. 2. Trang b ị c ác gi ải ph áp an ninh b ảo mật cho hệ thống Internet Banking, tối thiểu gồm: thiết bị tường lửa; ph òng ch ống vi r út; phòng ch ống tấn c ông t ừ chối dịch vụ; tường lửa bảo vệ lớp ứng dụng v à phòng ch ống tấn c ông xâm nh ập. 3. D ữ liệu nhạy cảm kh ông đư ợc lưu trữ tại ph ân vùng k ết nối Internet v à phân vùng DMZ. 4. K ết nối từ b ên ngoài vào h ệ thống Internet Banking phải th ông qua phân vùng DMZ đ ể kiểm so át an ninh, b ảo mật. 5. Thi ết lập ch ính sách h ạn chế tối đa c ác d ịch vụ, cổng kết nối v ào h ệ thống Internet Banking. 6. Ki ểm tra ch ính sách an ninh b ảo mật; quyền truy cập; c ác k ết nối, trang thiết bị, phần mềm c ài đ ặt bất hợp ph áp vào h ệ thống mạng tối thiểu ba th áng m ột lần. 7. Không thi ết lập kết nối từ mạng kh ông dây đ ến m ôi trư ờng vận h ành h ệ thống Internet Banking. 8. H ạn chế kết nối từ xa để thực hiện c ông tác qu ản trị hệ thống. Trường hợp bắt buộc phải kết nối từ xa v ào vùng máy ch ủ, đơn vị phải sử dụng giao thức truyền th ông đư ợc m ã hóa và không lưu mã khóa bí m ật tại c ác ph ần mềm tiện ích. 9. K ết nối từ Internet v ào h ệ thống mạng nội bộ để thực hiện c ông tác qu ản trị hệ thống phải được tu ân th ủ c ác quy t ắc sau: a) Ph ải được người c ó th ẩm quyền ph ê duy ệt sau khi xem x ét mục đ ích, cách th ức kết nối; b) Ph ải sử dụng giao thức truyền th ông đư ợc m ã hóa; c) Thi ết bị kết nối phải được c ài đ ặt c ác ph ần mềm đảm bảo an ninh bảo mật; d) Ph ải sử dụng biện ph áp xác th ực hai yếu tố khi đăng nhập hệ thống. 10. Đư ờng truyền kết nối Internet phải đảm bảo t ính s ẵn s àng và t ối thiểu phải kết nối từ hai nh à cung c ấp dịch vụ kh ác nhau. 11. Trang b ị giải ph áp đ ảm bảo an to àn b ảo mật giữa c ác phân vùng m ạng: giữa c ác phân vùng m ạng kh ác nhau ph ải c ó thi ết bị tường lửa hoặc thiết bị ph òng ch ống x âm nh ập. Điều 5. Hệ thống máy chủ và phần mềm hệ thống 1. Yêu c ầu đối với m áy ch ủ a) Hi ệu năng sử dụng trung b ình hàng tháng t ối đa 80% c ông su ất thiết kế; b) Có tính năng s ẵn s àng cao: H ệ thống Internet Banking phải c ó máy ch ủ dự ph òng t ại chỗ; c) Tách bi ệt về l ô-gíc ho ặc vật l ý v ới c ác máy ch ủ hoạt động nghiệp vụ kh ác. 2. Đơn v ị phải lập danh mục c ác ph ần mềm được ph ép cài đ ặt tr ên máy ch ủ. Định kỳ tối thiểu s áu tháng m ột lần cập nhật, kiểm tra, đảm bảo tu ân th ủ danh mục n ày. Điều 6. Hệ quản trị cơ sở dữ liệu 1. H ệ quản trị cơ sở dữ liệu phải c ó cơ ch ế bảo vệ v à phân quy ền truy cập đối với c ác tài nguyên cơ s ở dữ liệu. 2. H ệ thống Internet Banking phải c ó cơ s ở dữ liệu dự ph òng t ại Trung t âm d ự ph òng th ảm họa. Cơ sở dữ liệu dự ph òng ph ải được cập nhật kh ông quá m ột giờ so với cơ sở dữ liệu ch ính th ức. Cơ sở dữ liệu phải được sao lưu định kỳ h àng ngày. Các b ản sao lưu phải được quản l ý, c ất giữ an to àn. 3. Đơn v ị phải c ó bi ện ph áp giám sát, ghi nh ật k ý truy c ập cơ sở dữ liệu v à các thao tác khi truy c ập cơ sở dữ liệu. Điều 7. Phần mềm ứng dụng Internet Banking 1. Các yêu c ầu an to àn, b ảo mật phải được x ác đ ịnh trước v à t ổ chức, triển khai trong qu á trình phát tri ển phần mềm ứng dụng: ph ân tích, thi ết kế, kiểm thử, vận h ành chính th ức v à b ảo tr ì. Các tài li ệu về an to àn, b ảo mật của phần mềm phải được hệ thống h óa và lưu tr ữ, sử dụng theo chế độ “Mật”. 2. Đơn v ị phải kiểm so át mã ngu ồn phần mềm với c ác yêu c ầu tối thiểu: a) Ki ểm tra m ã ngu ồn, nhằm loại trừ c ác đo ạn m ã đ ộc hại, c ác l ỗ hổng bảo mật; b) Ch ỉ định cụ thể c ác cá nhân qu ản l ý mã ngu ồn của phần mềm ứng dụng Internet Banking; c) Vi ệc truy cập tới m ã ngu ồn phải được người c ó th ẩm quyền ph ê duy ệt v à đư ợc theo d õi, ghi nh ật k ý; d) Mã ngu ồn phải được lưu trữ an to àn t ại ít nh ất hai địa điểm t ách bi ệt; đ) Trư ờng hợp kh ông đư ợc b àn giao mã ngu ồn, khi k ý h ợp đồng hoặc nghiệm thu hợp đồng, đơn vị phải y êu c ầu b ên cung c ấp k ý cam k ết kh ông có các đo ạn m ã đ ộc hại trong phần mềm ứng dụng mua ngo ài. 3. Đơn v ị phải kiểm tra thử nghiệm phần mềm ứng dụng Internet Banking đ áp ứng c ác yêu c ầu tối thiểu sau: a) L ập v à phê duy ệt kế hoạch, kịch bản thử nghiệm phần mềm ứng dụng Internet Banking, trong đ ó nêu rõ các điều kiện về t ính an toàn, b ảo mật phải được đ áp ứng; b) Phát hi ện v à lo ại trừ c ác l ỗi, c ác gian l ận c ó th ể xảy ra khi nhập số liệu đầu v ào; c) Đánh giá, dò quét phát hi ện lỗ hổng, điểm yếu về mặt kỹ thuật. Đ ánh giá kh ả năng ph òng ch ống c ác ki ểu tấn c ông: Injection (SQL, Xpath, LDAP…), Cross-site Scripting (XSS), Cross-site Request Forgery (XSRF), Brute-Force; d) Ghi l ại c ác l ỗi v à quá trình x ử l ý l ỗi, đặc biệt l à các l ỗi về an to àn, b ảo mật trong c ác báo cáo v ề kiểm tra thử nghiệm; đ) Ki ểm tra thử nghiệm c ác tính năng an toàn, b ảo mật phải được thực hiện tr ên các trình duy ệt (ứng dụng web) v à phiên b ản phần mềm hệ thống của thiết bị di động (ứng dụng mobile); c ó cơ ch ế kiểm tra, th ông báo cho ngư ời d ùng ch ạy ứng dụng tr ên các trình duy ệt, phi ên b ản phần mềm hệ thống đ ã đư ợc kiểm tra v à th ử nghiệm an to àn; e) Vi ệc sử dụng dữ liệu trong qu á trình th ử nghiệm phải c ó bi ện ph áp phòng ng ừa tr ánh b ị lợi dụng hoặc g ây nh ầm lẫn. 4. Trư ớc khi triển khai phần mềm ứng dụng mới, đơn vị phải đ ánh giá nh ững rủi ro của qu á trình tri ển khai đối với hoạt động nghiệp vụ, c ác h ệ thống c ông ngh ệ th ông tin liên quan và l ập, triển khai c ác phương án h ạn chế, khắc phục rủi ro. 5. Đơn v ị thực hiện quản l ý, thay đ ổi v à nâng c ấp phi ên b ản phần mềm ứng dụng đ áp ứng c ác yêu c ầu sau: a) Phân tích đánh giá ảnh hưởng của việc thay đổi đối với hệ thống hiện tại v à các h ệ thống c ó liên quan khác c ủa đơn vị cho mỗi y êu c ầu thay đổi phần mềm ứng dụng; b) Các phiên b ản phần mềm bao gồm cả m ã ngu ồn cần được quản l ý t ập trung, lưu trữ, bảo mật v à có cơ ch ế ph ân quy ền cho từng th ành viên trong vi ệc thao t ác v ới c ác t ập tin; c) Thông tin v ề c ác phiên b ản, thời gian cập nhật, người cập nhật c ác phiên b ản phải được lưu lại; d) M ỗi phi ên b ản được n âng c ấp phải được kiểm tra thử nghiệm c ác tính năng an toàn, b ảo mật, mức độ rủi ro v à tính ổn định trước khi triển khai ch ính th ức; đ) Vi ệc n âng c ấp phi ên b ản phải căn cứ tr ên k ết quả thử nghiệm v à đư ợc người c ó th ẩm quyền ph ê duy ệt; e) Các phiên b ản phần mềm ứng dụng sau khi thử nghiệm th ành công ph ải được quản l ý ch ặt chẽ; tr ánh b ị sửa đổi tr ái phép và s ẵn s àng cho vi ệc triển khai; g) Có các ch ỉ dẫn r õ ràng v ề nội dung thay đổi, hướng dẫn cập nhật phần mềm ứng dụng, c ác thông tin liên quan khác và ph ải được người c ó th ẩm quyền ph ê duy ệt trước khi triển khai phi ên b ản mới cho kh ách hàng. 6. Các tính năng b ắt buộc của phần mềm ứng dụng: a) Toàn b ộ dữ liệu khi truyền tr ên môi trư ờng mạng Internet được áp d ụng cơ chế m ã hóa điểm đầu đến điểm cuối; b) Đ ảm bảo t ính toàn v ẹn của dữ liệu giao dịch, mọi sửa đổi bất hợp ph áp ph ải được ph át hi ện trong qu á trình x ử l ý giao d ịch, lưu trữ dữ liệu; c) Có cơ ch ế kiểm so át phiên giao d ịch v à th ời gian truy cập website, ứng dụng. Trường hợp người sử dụng kh ông thao tác trong m ột khoảng thời gian do đơn vị quy định nhưng kh ông quá năm phút, h ệ thống tự động ngắt phi ên giao d ịch hoặc áp d ụng c ác bi ện ph áp b ảo vệ kh ác; d) Có ch ức năng che giấu đối với việc hiển thị c ác mã khóa bí m ật d ùng đ ể đăng nhập v ào h ệ thống; đ) Đ ối với kh ách hàng là t ổ chức, phần mềm ứng dụng được thiết kế để đảm bảo việc thực hiện giao dịch bao gồm tối thiểu hai bước: tạo, ph ê duy ệt giao dịch v à đư ợc thực hiện bởi tối thiểu hai người kh ác nhau. Điều 8. Phần mềm ứng dụng trên thiết bị di động Ph ần mềm ứng dụng Internet Banking tr ên thi ết bị di động do đơn vị cung cấp phải đảm bảo tu ân th ủ c ác quy đ ịnh tại Điều 7 Th ông tư này và các yêu c ầu sau: 1. Đơn v ị phải chỉ r õ đư ờng dẫn tr ên website ho ặc kho ứng dụng để kh ách hàng t ải v à cài đ ặt phần mềm ứng dụng Internet Banking tr ên thi ết bị di động. 2. Ph ần mềm ứng dụng phải được áp d ụng c ác bi ện ph áp b ảo vệ để hạn chế dịch ngược. 3. Ph ần mềm ứng dụng phải x ác th ực người d ùng khi truy c ập. Trường hợp x ác th ực sai li ên ti ếp qu á s ố lần do đơn vị quy định, nhưng kh ông đư ợc qu á năm l ần, phần mềm ứng dụng phải tự động kho á t ạm thời kh ông cho khách hàng ti ếp tục sử dụng. Mục 2. XÁC THỰC GIAO DỊCH INTERNET BANKING Điều 9. Xác thực khách hàng truy cập dịch vụ Internet Banking 1. Khách hàng truy c ập sử dụng dịch vụ Internet Banking phải được x ác th ực tối thiểu bằng t ên đăng nh ập v à mã khóa bí m ật đ áp ứng c ác yêu c ầu sau: a) Tên đăng nh ập phải c ó đ ộ d ài t ối thiểu s áu ký t ự; kh ông đư ợc sử dụng to àn b ộ k ý t ự tr ùng nhau ho ặc li ên t ục theo thứ tự trong bảng chữ c ái, ch ữ số; b) Mã khóa bí m ật phải c ó đ ộ d ài t ối thiểu s áu ký t ự, bao gồm c ác ký t ự chữ v à s ố, c ó ch ứa chữ hoa v à ch ữ thường hoặc c ác ký t ự đặc biệt. Thời gian hiệu lực của m ã khóa bí m ật tối đa 12 th áng. 2. Ph ần mềm ứng dụng Internet Banking phải c ó tính năng b ắt buộc kh ách hàng thay đ ổi m ã khóa bí m ật ngay lần đăng nhập đầu ti ên; khóa tài khoản truy cập trong trường hợp kh ách hàng nh ập sai m ã khóa bí m ật li ên ti ếp qu á s ố lần do đơn vị quy định, nhưng kh ông đư ợc qu á năm l ần. Chỉ mở kh óa tài khoản khi kh ách hàng yêu c ầu mở tại quầy giao dịch. Điều 10. Yêu cầu đối với các giải pháp xác thực giao dịch 1. Đơn v ị phải đ ánh giá m ức độ rủi ro của giao dịch theo từng loại kh ách hàng, lo ại giao dịch, hạn mức giao dịch để cung cấp giải ph áp xác th ực giao dịch ph ù h ợp cho kh ách hàng l ựa chọn. Hạn mức giao dịch kh ông vư ợt qu á h ạn mức quy định của Thống đốc Ng ân hàng Nhà nư ớc trong từng thời kỳ. 2. Yêu c ầu đối với giải ph áp xác th ực bằng OTP gửi qua tin nhắn SMS hoặc thư điện tử: a) OTP g ửi tới kh ách hàng ph ải k èm thông tin c ảnh b áo đ ể kh ách hàng nh ận biết được mục đ ích c ủa OTP; b) OTP có hi ệu lực tối đa kh ông quá 05 phút. 3. Yêu c ầu đối với giải ph áp xác th ực bằng thẻ ma trận OTP: a) Th ẻ ma trận OTP c ó th ời hạn sử dụng tối đa 01 năm kể từ ng ày đăng ký th ẻ; b) OTP có hi ệu lực tối đa kh ông quá 02 phút. 4. Yêu c ầu đối với giải ph áp xác th ực bằng OTP được tạo từ phần mềm c ài đ ặt tr ên thi ết bị di động: a) Đơn v ị phải chỉ r õ đư ờng dẫn tr ên website ho ặc kho ứng dụng để kh ách hàng t ải v à cài đ ặt phần mềm tạo OTP; b) Ph ần mềm tạo OTP phải sử dụng m ã khóa do đơn v ị cung cấp để k ích ho ạt trước khi sử dụng. Một m ã khóa kích ho ạt chỉ được sử dụng cho một thiết bị di động; c) Ph ần mềm tạo OTP phải được kiểm so át truy c ập. Trường hợp x ác th ực truy cập sai năm lần li ên ti ếp, phần mềm phải tự động kho á không cho khách hàng s ử dụng tiếp; d) OTP có hi ệu lực tối đa kh ông quá 02 phút. 5. Yêu c ầu đối với giải ph áp xác th ực bằng OTP được tạo từ thiết bị (OTP token): OTP c ó hi ệu lực tối đa kh ông quá 02 phút. 6. Yêu c ầu đối với giải ph áp xác th ực bằng chữ k ý s ố: Đơn vị phải sử dụng chữ k ý s ố v à d ịch vụ chứng thực chữ k ý s ố của tổ chức cung cấp dịch vụ chứng thực chữ k ý s ố hoạt động theo quy định của ph áp luật về chữ k ý s ố v à d ịch vụ chứng thực chữ k ý s ố. 7. Yêu c ầu đối với giải ph áp xác th ực bằng dấu hiệu nhận dạng sinh trắc học: dấu hiệu nhận dạng sinh trắc học phải l à d ấu hiệu duy nhất gắn với mỗi kh ách hàng và không th ể giả mạo. Mục 3. QUẢN LÝ VẬN HÀNH Điều 11. Quản lý nhân sự quản trị, vận hành hệ thống Internet Banking 1. Đơn v ị phải ph ân công nhân s ự gi ám sát, theo dõi ho ạt động của hệ thống, ph át hi ện v à x ử l ý các s ự cố kỹ thuật, c ác cu ộc tấn c ông m ạng. 2. Đơn v ị phải ph ân công nhân s ự tiếp nhận th ông tin, h ỗ trợ kh ách hàng, k ịp thời li ên l ạc với kh ách hàng khi phát hi ện c ác giao d ịch bất thường. 3. Nhân s ự quản trị, gi ám sát và v ận h ành h ệ thống Internet Banking phải tham gia c ác khóa đào t ạo cập nhật kiến thức an ninh, bảo mật hằng năm. 4. Vi ệc cấp ph át, phân quy ền t ài khoản quản trị hệ thống Internet Banking phải được theo d õi, giám sát b ởi bộ phận độc lập với bộ phận cấp ph át tài khoản . Điều 12. Quản lý hoạt động của môi trường vận hành hệ thống Internet Banking 1. Đơn v ị kh ông cài đ ặt, lưu trữ phần mềm ph át tri ển ứng dụng, m ã ngu ồn tr ên môi trư ờng vận h ành. 2. Các máy tính c ủa nh ân s ự quản trị, gi ám sát và v ận h ành ph ải được đặt trong ph ân vùng m ạng quản trị, được c ài đ ặt phần mềm ph òng ch ống vi r út và ph ải thiết lập ch ính sách t ự động kh óa màn hình sau m ột khoảng thời gian kh ông s ử dụng do đơn vị quy định, nhưng kh ông quá 05 phút. 3. Đơn v ị phải thiết lập ch ính sách c ấm truy cập Internet đối với c ác máy tính c ủa nh ân s ự quản trị, gi ám sát và v ận h ành. Điều 13. Quản lý lỗ hổng, điểm yếu về mặt kỹ thuật Đơn v ị phải thực hiện quản l ý các l ỗ hổng, điểm yếu của hệ thống Internet Banking với c ác n ội dung cơ bản sau: 1. Có bi ện ph áp phòng, ch ống, d ò tìm phát hi ện c ác thay đ ổi của website, ứng dụng Internet Banking. 2. Thi ết lập cơ chế ph át hi ện, ph òng ch ống x âm nh ập, tấn c ông m ạng v ào h ệ thống Internet Banking. 3. Ph ối hợp với c ác đơn v ị quản l ý nhà nư ớc, c ác đ ối t ác công ngh ệ th ông tin k ịp thời nắm bắt c ác s ự cố, t ình hu ống mất an to àn, b ảo mật th ông tin đ ể c ó bi ện ph áp ngăn ch ặn kịp thời. 4. Rà soát, ki ểm tra việc cập nhật c ác b ản v á l ỗi của phần mềm hệ thống, hệ quản trị cơ sở dữ liệu v à ph ần mềm ứng dụng tối thiểu ba th áng m ột lần. 5. Đánh giá an ninh b ảo mật đối với hệ thống Internet Banking tối thiểu mỗi năm một lần. Tổ chức thực hiện diễn tập tấn c ông th ử nghiệm để kiểm tra, đ ánh giá m ức độ đảm bảo an ninh của hệ thống. Điều 14. Hệ thống quản trị, giám sát hoạt động của hệ thống Internet Banking 1. Đơn v ị phải thiết lập hệ thống gi ám sát, theo dõi ho ạt động của hệ thống Internet Banking. 2. Đơn v ị phải x ây d ựng c ác tiêu chí và ph ần mềm để x ác đ ịnh c ác giao d ịch bất thường dựa v ào th ời gian, vị tr í đ ịa l ý, t ần suất giao dịch, số tiền giao dịch, số lần đăng nhập sai qu á quy đ ịnh v à các d ấu hiệu bất thường kh ác. 3. Đơn v ị phải bố tr í phòng điều khiển t ách bi ệt với khu vực l àm vi ệc chung để thực hiện việc quản trị, gi ám sát, theo dõi ho ạt động của hệ thống Internet Banking đ áp ứng y êu c ầu sau: a) Nhân s ự ra v ào phòng điều khiển phải được người c ó th ẩm quyền ph ê duy ệt; b) Truy c ập hệ thống để thực hiện c ông tác qu ản trị, vận h ành và b ảo tr ì ph ải được thực hiện th ông qua các thi ết bị đặt tại ph òng điều khiển. Trường hợp cần truy cập từ xa hoặc trực tiếp tr ên thi ết bị phải được người c ó th ẩm quyền ph ê duy ệt; c) Truy c ập từ b ên ngoài vào các thi ết bị đặt tại ph òng điều khiển phải áp d ụng c ác bi ện ph áp xác th ực hai yếu tố. Điều 15. Quản lý sự cố bảo mật thông tin Đơn v ị phải thiết lập biện ph áp ghi nh ận, theo d õi và x ử l ý các s ự cố an ninh th ông tin. Đ ịnh kỳ ba th áng m ột lần đơn vị thực hiện đ ánh giá, tìm nguyên nhân và ch ủ động thực hiện c ác bi ện ph áp phòng tránh tái di ễn. Điều 16. Đảm bảo hoạt động liên tục Đơn v ị phải x ây d ựng hệ thống dự ph òng th ảm hoạ, quy tr ình, k ịch bản đảm bảo hoạt động li ên t ục cho hệ thống Internet Banking theo quy định của Ng ân hàng Nhà nư ớc về đảm bảo an to àn, b ảo mật hệ thống c ông ngh ệ th ông tin trong ho ạt động ng ân hàng. Ngoài ra, đơn v ị phải thực hiện: 1. Phân tích, xác đ ịnh c ác tình hu ống c ó th ể g ây m ất an ninh th ông tin và gián đo ạn hoạt động của hệ thống Internet Banking. X ác đ ịnh, đ ánh giá m ức độ rủi ro, khả năng c ó th ể xảy ra đối với từng t ình hu ống tối thiểu s áu tháng m ột lần. Lập danh s ách các tình hu ống c ó m ức độ rủi ro, khả năng c ó th ể xảy ra theo c ác c ấp độ cao, trung b ình, ch ấp nhận được v à th ấp. 2. Xây d ựng phương án (quy trình, k ịch bản) xử l ý kh ắc phục c ác tình hu ống c ó m ức độ rủi ro, khả năng c ó th ể xảy ra ở cấp độ cao v à trung bình theo Khoản 1 Điều n ày. Xác đ ịnh thời gian dừng hoạt động tối đa để phục hồi hệ thống, phục hồi dữ liệu cho phương án x ử l ý đ ối với từng t ình hu ống. Tổ chức phổ biến phương án x ử l ý đ ến c ác nhân s ự c ó liên quan đ ể hiểu r õ nhi ệm vụ, c ông vi ệc cần phải thực hiện khi xử l ý. 3. B ố tr í ngu ồn nh ân l ực, t ài chính và các phương ti ện kỹ thuật để tổ chức diễn tập phương án x ử l ý v ới c ác tình hu ống c ó m ức độ rủi ro, khả năng xảy ra cao theo định kỳ tối thiểu s áu tháng m ột lần. 4. L ập kế hoạch v à ti ến h ành di ễn tập c ác bi ện ph áp đ ảm bảo hoạt động kinh doanh li ên t ục, lưu giữ c ác h ồ sơ c ó liên quan và t ổ chức đ ánh giá k ết quả diễn tập. Mục 4. BẢO VỆ QUYỀN LỢI CỦA KHÁCH HÀNG Điều 17. Thông tin về dịch vụ Internet Banking 1. Đơn v ị phải cung cấp th ông tin v ề dịch vụ Internet Banking cho kh ách hàng trư ớc khi đăng k ý s ử dụng dịch vụ, tối thiểu gồm: a) Cách th ức cung cấp dịch vụ: tr ên Internet, thi ết bị di động, viễn th ông. Cách th ức truy cập dịch vụ Internet Banking ứng với từng phương tiện truy cập dịch vụ tr ên Internet, thi ết bị di động, viễn th ông; b) H ạn mức giao dịch v à các bi ện ph áp xác th ực giao dịch; c) Điều kiện cần thiết về trang thiết bị khi sử dụng dịch vụ: thiết bị tạo OTP, số điện thoại di động, thư điện tử, chứng thư số, thiết bị di động để c ài đ ặt phần mềm; d) Các r ủi ro li ên quan đ ến việc sử dụng dịch vụ Internet Banking. 2. Đơn v ị phải th ông tin cho khách hàng v ề hợp đồng cung cấp, sử dụng dịch vụ Internet Banking, tối thiểu gồm: a) Quy ền lợi v à nghĩa v ụ của kh ách hàng s ử dụng dịch vụ Internet Banking; b) Trách nhi ệm của đơn vị trong bảo mật c ác thông tin cá nhân c ủa kh ách hàng; cách th ức đơn vị thu thập, sử dụng th ông tin khách hàng; cam k ết kh ông bán, ti ết lộ, r ò r ỉ c ác thông tin khách hàng; c) Cam k ết khả năng đảm bảo hoạt động li ên t ục của hệ thống Internet Banking; d) Các n ội dung kh ác c ủa đơn vị đối với dịch vụ Internet Banking (nếu c ó). Điều 18. Hướng dẫn khách hàng sử dụng dịch vụ Internet Banking 1. Đơn v ị phải x ây d ựng quy tr ình, tài li ệu hướng dẫn c ài đ ặt, sử dụng c ác ph ần mềm, ứng dụng, thiết bị thực hiện c ác giao d ịch Internet Banking v à cung c ấp, hướng dẫn kh ách hàng s ử dụng c ác quy trình, tài li ệu n ày. 2. Đơn v ị phải hướng dẫn kh ách hàng th ực hiện c ác bi ện ph áp đ ảm bảo an to àn, b ảo mật khi sử dụng dịch vụ Internet Banking, tối thiểu gồm c ác n ội dung sau: a) B ảo vệ b í m ật m ã khóa bí m ật, OTP v à không chia s ẻ c ác thi ết bị lưu trữ c ác thông tin này; b) Cách thi ết lập m ã khóa bí m ật v à thay đ ổi m ã khóa bí m ật t ài khoản truy cập theo định kỳ tối thiểu một năm một lần hoặc khi bị lộ, nghi bị lộ; c) Không dùng máy tính công c ộng để truy cập, thực hiện giao dịch Internet Banking; d) Không lưu l ại t ên đăng nh ập v à mã khóa bí m ật tr ên các trình duy ệt web; đ) Thoát kh ỏi ứng dụng Internet Banking khi kh ông s ử dụng; e) Nh ận dạng v à hành đ ộng xử l ý m ột số t ình hu ống lừa đảo, giả mạo website; g) Yêu c ầu c ài đ ặt, sử dụng phần mềm diệt vi r út trên thi ết bị c á nhân s ử dụng để giao dịch Internet Banking; h) L ựa chọn c ác gi ải ph áp xác th ực c ó m ức độ an to àn, b ảo mật ph ù h ợp với nhu cầu của kh ách hàng v ề hạn mức giao dịch; i) C ảnh b áo các r ủi ro li ên quan đ ến việc sử dụng dịch vụ Internet Banking; k) Không s ử dụng c ác thi ết bị di động đ ã b ị ph á khóa đ ể tải v à s ử dụng phần mềm ứng dụng Internet Banking, phần mềm tạo OTP. l) Thông báo k ịp thời cho đơn vị khi ph át hi ện c ác giao d ịch bất thường; m) Thông báo ngay cho đơn v ị c ác trư ờng hợp: mất, thất lạc, hư hỏng thiết bị tạo OTP, số điện thoại nhận tin nhắn SMS, thiết bị lưu trữ kho á b ảo mật tạo chữ k ý s ố; bị lừa đảo hoặc nghi ngờ bị lừa đảo; bị tin tặc hoặc nghi ngờ bị tin tặc tấn c ông. 3. Đơn v ị phải cung cấp cho kh ách hàng thông tin v ề đầu mối tiếp nhận th ông tin, s ố điện thoại đường d ây nóng và ch ỉ dẫn cho kh ách hàng quy trình, cách th ức phối hợp xử l ý các l ỗi v à s ự cố trong qu á trình s ử dụng dịch vụ. Điều 19. Bảo mật thông tin khách hàng Đơn v ị phải áp d ụng c ác bi ện ph áp đ ảm bảo an to àn, b ảo mật cơ sở dữ liệu kh ách hàng, t ối thiểu bao gồm: 1. D ữ liệu nhạy cảm của kh ách hàng khi lưu tr ữ, truyền tr ên m ạng Internet phải được m ã hóa ho ặc che dấu. 2. Thi ết lập quyền truy cập đ úng ch ức năng, nhiệm vụ cho nh ân s ự thực hiện nhiệm vụ truy cập dữ liệu kh ách hàng; có bi ện ph áp giám sát m ỗi lần truy cập. 3. Có bi ện ph áp qu ản l ý truy c ập, tiếp cận c ác thi ết bị, phương tiện lưu trữ dữ liệu về th ông tin khách hàng đ ể ph òng ch ống nguy cơ lộ, lọt th ông tin khách hàng. Chương III ĐIỀU KHOẢN THI HÀNH Điều 20. Chế độ báo cáo Các đơn v ị cung cấp dịch vụ Internet Banking c ó trách nhi ệm gửi b áo cáo b ằng văn bản về Ng ân hàng Nhà nư ớc Việt Nam (Cục C ông ngh ệ tin học) như sau: 1. Báo cáo cung c ấp dịch vụ Internet Banking: a) Th ời hạn gửi b áo cáo: T ối thiểu 10 ng ày làm vi ệc trước khi cung cấp ch ính th ức dịch vụ Internet Banking; b) N ội dung b áo cáo: (i) Đ ịa chỉ website hoặc hoặc kho ứng dụng cung cấp dịch vụ; (ii) Các s ản phẩm, dịch vụ hiện đang cung cấp; (iii) Ngày cung c ấp ch ính th ức; (iv) Đơn v ị cung cấp sản phẩm hệ thống Internet Banking; (v) Bên th ứ ba được thu ê ho ặc c ùng h ợp t ác xây d ựng, vận h ành h ệ thống Internet Banking; c ác ho ạt động li ên quan đ ến hệ thống Internet Banking c ó s ự tham gia của b ên th ứ ba v à hình th ức tham gia của c ác bên th ứ ba n ày; (vi) Các gi ải ph áp xác th ực áp d ụng với từng loại kh ách hàng, lo ại giao dịch v à h ạn mức giao dịch; (vii) Các tài li ệu kh ác v ề hạ tầng c ông ngh ệ th ông tin và truy ền th ông, nhân l ực, quy tr ình k ỹ thuật nghiệp vụ, c ác phương án x ử l ý r ủi ro v à các n ội dung li ên quan khác theo quy đ ịnh tại Chương II của Th ông tư này. 2. Báo cáo đ ột xuất: a) Khi x ảy ra c ác s ự cố mất an to àn ho ặc ảnh hưởng đến hoạt động của hệ thống Internet Banking trong v òng 05 ngày k ể từ thời điểm ph át sinh s ự cố hoặc ph át hi ện sự cố, đơn vị phải gửi b áo cáo theo n ội dung sau: (i) Th ời gian, địa điểm ph át sinh s ự cố; (ii) Mô t ả sơ bộ về sự cố, t ình tr ạng khi xảy ra sự cố; (iii) Nguyên nhân s ự cố; (iv) Đánh giá r ủi ro, ảnh hưởng đối với hệ thống Internet Banking v à các h ệ thống kh ác có liên quan; (v) Tình hình thi ệt hại; (vi) Các bi ện ph áp đã th ực hiện để khắc phục sự cố, ngăn chặn v à phòng ng ừa rủi ro; (vii) Ki ến nghị, đề xuất. b) Các trư ờng hợp b áo cáo đ ột xuất kh ác theo yêu c ầu của Ng ân hàng Nhà nư ớc. 3. Báo cáo năm: Th ời hạn v à n ội dung b áo cáo theo quy đ ịnh của Ng ân hàng Nhà nư ớc về chế độ b áo cáo th ống k ê áp d ụng đối với c ác t ổ chức t ín d ụng, chi nh ánh ngân hàng nư ớc ngo ài. Điều 21. Trách nhiệm của các đơn vị thuộc Ngân hàng Nhà nước 1. C ục C ông ngh ệ tin học c ó trách nhi ệm: a) Theo dõi, t ổng hợp b áo cáo Th ống đốc Ng ân hàng Nhà nư ớc t ình hình th ực hiện việc đảm bảo an to àn, b ảo mật hệ thống c ông ngh ệ th ông tin cung c ấp dịch vụ Internet Banking của c ác đơn v ị theo quy định tại Điều 20 Th ông tư này; b) Ch ủ tr ì, ph ối hợp với c ác đơn v ị li ên quan thu ộc Ng ân hàng Nhà nư ớc xử l ý các vư ớng mắc ph át sinh trong quá trình tri ển khai thực hiện Th ông tư này. 2. Cơ quan Thanh tra, giám sát ngân hàng có trách nhi ệm phối hợp với Cục C ông ngh ệ tin học kiểm tra, gi ám sát vi ệc thi h ành Thông tư này và x ử l ý vi ph ạm h ành chính đ ối với h ành vi vi ph ạm theo quy định của ph áp luật . Điều 22. Hiệu lực thi hành Thông tư này có hi ệu lực thi h ành k ể từ ng ày 01/07/2017 và thay th ế Th ông tư 29/2011/TT-NHNN ngày 21/9/2011 c ủa Ng ân hàng Nhà nư ớc Việt Nam quy định về đảm bảo an to àn, b ảo mật cho việc cung cấp dịch vụ ng ân hàng trên Internet. Điều 23. Tổ chức thực hiện Chánh Văn phòng, C ục trưởng Cục C ông ngh ệ tin học v à Th ủ trưởng c ác đơn v ị thuộc Ng ân hàng Nhà nư ớc Việt Nam, Gi ám đ ốc Ng ân hàng Nhà nư ớc chi nh ánh t ỉnh, th ành ph ố trực thuộc Trung ương; Chủ tịch Hội đồng quản trị, Chủ tịch Hội đồng th ành viên, T ổng gi ám đ ốc (Gi ám đ ốc) c ác t ổ chức t ín d ụng, chi nh ánh ngân hàng nư ớc ngo ài, các t ổ chức cung ứng dịch vụ trung gian thanh to án ch ịu tr ách nhi ệm tổ chức thực hiện Th ông tư này./. Nơi nh ận: - Như Điều 23; - Ban L ãnh đ ạo NHNN; - Văn ph òng Chính ph ủ; - Bộ Tư ph áp (đ ể kiểm tra); - C ông báo; - Lưu: VP, CNTH, PC. KT. TH ỐNG ĐỐC PH Ó TH ỐNG ĐỐC Nguy ễn Kim Anh