Document: Điều 1 Quyết định 2345/QĐ-NHNN 2023 giải pháp bảo mật thanh toán trực tuyến và thẻ ngân hàng

Type: {"issuing_agency": "Ngân hàng Nhà nước Việt Nam", "promulgation_date": "18/12/2023", "sign_number": "2345/QĐ-NHNN", "signer": "Phạm Tiến Dũng", "type": "Quyết định"}
Issuing Agency: {"issuing_agency": "Ngân hàng Nhà nước Việt Nam", "promulgation_date": "18/12/2023", "sign_number": "2345/QĐ-NHNN", "signer": "Phạm Tiến Dũng", "type": "Quyết định"}
Promulgation Date: {"issuing_agency": "Ngân hàng Nhà nước Việt Nam", "promulgation_date": "18/12/2023", "sign_number": "2345/QĐ-NHNN", "signer": "Phạm Tiến Dũng", "type": "Quyết định"}
Sign Number: {"issuing_agency": "Ngân hàng Nhà nước Việt Nam", "promulgation_date": "18/12/2023", "sign_number": "2345/QĐ-NHNN", "signer": "Phạm Tiến Dũng", "type": "Quyết định"}
Signer: {"issuing_agency": "Ngân hàng Nhà nước Việt Nam", "promulgation_date": "18/12/2023", "sign_number": "2345/QĐ-NHNN", "signer": "Phạm Tiến Dũng", "type": "Quyết định"}

Full Text:
Điều 1 Quyết định 2345/QĐ-NHNN 2023 giải pháp bảo mật thanh toán trực tuyến và thẻ ngân hàng có nội dung như sau:

Điều 1. Các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán căn cứ phân loại giao dịch tại Phụ lục 01 đính kèm, triển khai áp dụng các biện pháp xác thực trong thanh toán trực tuyến trên Internet (Internet Banking, Mobile Banking) như sau:

STT

Giao dịch1

Biện pháp xác thực2 tối thiểu

Khách hàng cá nhân

Khách hàng tổ chức

1

Giao dịch loại A

- Tên đăng nhập, mật khẩu hoặc mã PIN (trường hợp đã xác thực tại bước đăng nhập thì không bắt buộc phải xác thực tại bước thực hiện giao dịch).

- Tên đăng nhập, mật khẩu hoặc mã PIN (trường hợp đã xác thực tại bước đăng nhập thì không bắt buộc phải xác thực tại bước thực hiện giao dịch).

2

Giao dịch loại B

- OTP gửi qua phương thức SMS hoặc Voice hoặc Email.
- Hoặc Thẻ ma trận OTP.
- Hoặc Soft OTP/ Token OTP loại cơ bản.
- Hoặc biện pháp xác thực qua hai kênh.
- Hoặc bằng dấu hiệu nhận dạng sinh trắc học của khách hàng gắn liền với thiết bị cầm tay thông minh3.
- Hoặc Soft OTP/Token OTP loại nâng cao.
- Hoặc theo chuẩn FIDO.
- Hoặc bằng chữ ký điện tử an toàn.

- OTP gửi qua phương thức SMS hoặc Voice hoặc Email.
- Hoặc Thẻ ma trận OTP.
- Hoặc Token OTP loại cơ bản, không có chức năng xác thực người dùng sử dụng Token.
- Hoặc bằng dấu hiệu nhận dạng sinh trắc học của người đại diện hợp pháp, người phụ trách kế toán (nếu có) của khách hàng gắn liền với thiết bị cầm tay thông minh3.

3

Giao dịch loại C

- Bằng dấu hiệu nhận dạng sinh trắc học của khách hàng: (i) khớp đúng với dữ liệu sinh trắc học được lưu trong chip của thẻ căn cước công dân (CCCD) của khách hàng do cơ quan Công an cấp4; (ii) hoặc thông qua xác thực tài khoản định danh điện tử của khách hàng do hệ thống định danh và xác thực điện tử tạo lập5.
- Hoặc bằng dấu hiệu nhận dạng sinh trắc học của khách hàng khớp đúng với dữ liệu sinh trắc học được lưu trong cơ sở dữ liệu (CSDL) sinh trắc học về khách hàng đã thu thập và kiểm tra6, khuyến khích kết hợp với phương thức xác thực OTP gửi qua SMS/Voice hoặc Soft OTP/Token OTP.

- Soft OTP/Token OTP loại cơ bản, có chức năng xác thực người dùng sử dụng phần mềm, Token.
- Hoặc biện pháp xác thực qua hai kênh.

4

Giao dịch loại D

Bằng dấu hiệu nhận dạng sinh trắc học của khách hàng: (i) khớp đúng với dữ liệu sinh trắc học được lưu trong chíp của thẻ CCCD của khách hàng do cơ quan Công an cấp4; (ii) hoặc thông qua xác thực tài khoản định danh điện tử của khách hàng do hệ thống định danh và xác thực điện tử tạo lập; (iii) hoặc khớp đúng với dữ liệu sinh trắc học được lưu trong CSDL sinh trắc học về khách hàng đã thu thập và kiểm tra6, kết hợp một trong các biện pháp xác thực sau:
- Soft OTP/Token OTP loại nâng cao.
- Hoặc theo chuẩn FIDO.
- Hoặc bằng chữ ký điện tử an toàn.

- Soft OTP/Token OTP loại nâng cao.
- Hoặc theo chuẩn FIDO.
- Hoặc bằng chữ ký điện tử an toàn.

Ghi chú:
- Biện pháp xác thực giao dịch loại D có thể xác thực giao dịch loại A, B, C.
- Biện pháp xác thực giao dịch loại C có thể xác thực giao dịch loại A, B.
- Biện pháp xác thực giao dịch loại B có thể xác thực giao dịch loại A.
- Trường hợp các đơn vị sử dụng các biện pháp xác thực khác các loại trên thì báo cáo bằng văn bản gửi Ngân hàng Nhà nước (qua Cục Công nghệ thông tin) trước khi áp dụng tối thiểu 03 tháng.

Content:
Điều 1. Các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán căn cứ phân loại giao dịch tại Phụ lục 01 đính kèm, triển khai áp dụng các biện pháp xác thực trong thanh toán trực tuyến trên Internet (Internet Banking, Mobile Banking) như sau:

STT

Giao dịch1

Biện pháp xác thực2 tối thiểu

Khách hàng cá nhân

Khách hàng tổ chức

1

Giao dịch loại A

- Tên đăng nhập, mật khẩu hoặc mã PIN (trường hợp đã xác thực tại bước đăng nhập thì không bắt buộc phải xác thực tại bước thực hiện giao dịch).

- Tên đăng nhập, mật khẩu hoặc mã PIN (trường hợp đã xác thực tại bước đăng nhập thì không bắt buộc phải xác thực tại bước thực hiện giao dịch).

2

Giao dịch loại B

- OTP gửi qua phương thức SMS hoặc Voice hoặc Email.
- Hoặc Thẻ ma trận OTP.
- Hoặc Soft OTP/ Token OTP loại cơ bản.
- Hoặc biện pháp xác thực qua hai kênh.
- Hoặc bằng dấu hiệu nhận dạng sinh trắc học của khách hàng gắn liền với thiết bị cầm tay thông minh3.
- Hoặc Soft OTP/Token OTP loại nâng cao.
- Hoặc theo chuẩn FIDO.
- Hoặc bằng chữ ký điện tử an toàn.

- OTP gửi qua phương thức SMS hoặc Voice hoặc Email.
- Hoặc Thẻ ma trận OTP.
- Hoặc Token OTP loại cơ bản, không có chức năng xác thực người dùng sử dụng Token.
- Hoặc bằng dấu hiệu nhận dạng sinh trắc học của người đại diện hợp pháp, người phụ trách kế toán (nếu có) của khách hàng gắn liền với thiết bị cầm tay thông minh3.

3

Giao dịch loại C

- Bằng dấu hiệu nhận dạng sinh trắc học của khách hàng: (i) khớp đúng với dữ liệu sinh trắc học được lưu trong chip của thẻ căn cước công dân (CCCD) của khách hàng do cơ quan Công an cấp4; (ii) hoặc thông qua xác thực tài khoản định danh điện tử của khách hàng do hệ thống định danh và xác thực điện tử tạo lập5.
- Hoặc bằng dấu hiệu nhận dạng sinh trắc học của khách hàng khớp đúng với dữ liệu sinh trắc học được lưu trong cơ sở dữ liệu (CSDL) sinh trắc học về khách hàng đã thu thập và kiểm tra6, khuyến khích kết hợp với phương thức xác thực OTP gửi qua SMS/Voice hoặc Soft OTP/Token OTP.

- Soft OTP/Token OTP loại cơ bản, có chức năng xác thực người dùng sử dụng phần mềm, Token.
- Hoặc biện pháp xác thực qua hai kênh.

4

Giao dịch loại D

Bằng dấu hiệu nhận dạng sinh trắc học của khách hàng: (i) khớp đúng với dữ liệu sinh trắc học được lưu trong chíp của thẻ CCCD của khách hàng do cơ quan Công an cấp4; (ii) hoặc thông qua xác thực tài khoản định danh điện tử của khách hàng do hệ thống định danh và xác thực điện tử tạo lập; (iii) hoặc khớp đúng với dữ liệu sinh trắc học được lưu trong CSDL sinh trắc học về khách hàng đã thu thập và kiểm tra6, kết hợp một trong các biện pháp xác thực sau:
- Soft OTP/Token OTP loại nâng cao.
- Hoặc theo chuẩn FIDO.
- Hoặc bằng chữ ký điện tử an toàn.

- Soft OTP/Token OTP loại nâng cao.
- Hoặc theo chuẩn FIDO.
- Hoặc bằng chữ ký điện tử an toàn.

Ghi chú:
- Biện pháp xác thực giao dịch loại D có thể xác thực giao dịch loại A, B, C.
- Biện pháp xác thực giao dịch loại C có thể xác thực giao dịch loại A, B.
- Biện pháp xác thực giao dịch loại B có thể xác thực giao dịch loại A.
- Trường hợp các đơn vị sử dụng các biện pháp xác thực khác các loại trên thì báo cáo bằng văn bản gửi Ngân hàng Nhà nước (qua Cục Công nghệ thông tin) trước khi áp dụng tối thiểu 03 tháng.