Document: Khoản 4 Điều 12 Thông tư 47/2014/TT-NHNN yêu cầu kỹ thuật an toàn bảo mật trang thiết bị phục vụ thanh toán thẻ ngân hàng mới nhất

Type: {"issuing_agency": "Ngân hàng Nhà nước", "promulgation_date": "31/12/2014", "sign_number": "47/2014/TT-NHNN", "signer": "Nguyễn Toàn Thắng", "type": "Thông tư"}
Issuing Agency: {"issuing_agency": "Ngân hàng Nhà nước", "promulgation_date": "31/12/2014", "sign_number": "47/2014/TT-NHNN", "signer": "Nguyễn Toàn Thắng", "type": "Thông tư"}
Promulgation Date: {"issuing_agency": "Ngân hàng Nhà nước", "promulgation_date": "31/12/2014", "sign_number": "47/2014/TT-NHNN", "signer": "Nguyễn Toàn Thắng", "type": "Thông tư"}
Sign Number: {"issuing_agency": "Ngân hàng Nhà nước", "promulgation_date": "31/12/2014", "sign_number": "47/2014/TT-NHNN", "signer": "Nguyễn Toàn Thắng", "type": "Thông tư"}
Signer: {"issuing_agency": "Ngân hàng Nhà nước", "promulgation_date": "31/12/2014", "sign_number": "47/2014/TT-NHNN", "signer": "Nguyễn Toàn Thắng", "type": "Thông tư"}

Full Text:
Khoản 4 Điều 12 Thông tư 47/2014/TT-NHNN yêu cầu kỹ thuật an toàn bảo mật trang thiết bị phục vụ thanh toán thẻ ngân hàng mới nhất

Điều 12. Chính sách an toàn bảo mật thông tin thẻ
...
4. Tổ chức hoạt động thẻ phải xây dựng và triển khai thực hiện quy định về việc sử dụng các công nghệ có rủi ro cao (các truy cập từ xa, mạng không dây, sử dụng các thiết bị di động, email và Internet). Nội dung quy định bao gồm các yêu cầu sau:
a) Phải được người có thẩm quyền phê duyệt trước khi sử dụng;
b) Phải được xác thực bằng tài khoản và mã khóa bí mật hoặc phương pháp xác thực khác trước khi sử dụng;
c) Liệt kê và giám sát hoạt động toàn bộ danh sách các thiết bị, công nghệ và người dùng được cấp quyền sử dụng;
d) Có phương pháp để xác định dễ dàng và thuận tiện người sở hữu, thông tin liên hệ và mục đích sử dụng của thiết bị (bằng cách dán nhãn, ghi mã vạch hoặc kiểm kê các thiết bị);
đ) Xác định phạm vi áp dụng công nghệ có rủi ro cao;
e) Xác định các vị trí hệ thống mạng sử dụng công nghệ có rủi ro cao;
g) Đối với các truy cập từ xa phải tự động ngắt kết nối phiên làm việc một thời gian cụ thể khi hệ thống không hoạt động;
h) Chỉ kích hoạt truy cập từ xa cho tổ chức hỗ trợ hoạt động thẻ khi thực sự cần thiết theo yêu cầu và đồng thời phải vô hiệu hóa truy cập ngay sau phiên làm việc kết thúc;
i) Khi cấp quyền truy cập từ xa vào dữ liệu chủ thẻ phải thực hiện các biện pháp kỹ thuật cấm sao chép, di chuyển và lưu trữ dữ liệu chủ thẻ vào các ổ cứng, phương tiện mang tin, thiết bị ngoại vi. Đối với trường hợp đặc biệt cần thực hiện sao chép, di chuyển, lưu trữ dữ liệu chủ thẻ bằng truy cập từ xa, phải quy định rõ ràng trách nhiệm bảo vệ dữ liệu chủ thẻ theo các quy định tại Thông tư này.

Content:
Tổ chức hoạt động thẻ phải xây dựng và triển khai thực hiện quy định về việc sử dụng các công nghệ có rủi ro cao (các truy cập từ xa, mạng không dây, sử dụng các thiết bị di động, email và Internet). Nội dung quy định bao gồm các yêu cầu sau:
a) Phải được người có thẩm quyền phê duyệt trước khi sử dụng;
b) Phải được xác thực bằng tài khoản và mã khóa bí mật hoặc phương pháp xác thực khác trước khi sử dụng;
c) Liệt kê và giám sát hoạt động toàn bộ danh sách các thiết bị, công nghệ và người dùng được cấp quyền sử dụng;
d) Có phương pháp để xác định dễ dàng và thuận tiện người sở hữu, thông tin liên hệ và mục đích sử dụng của thiết bị (bằng cách dán nhãn, ghi mã vạch hoặc kiểm kê các thiết bị);
đ) Xác định phạm vi áp dụng công nghệ có rủi ro cao;
e) Xác định các vị trí hệ thống mạng sử dụng công nghệ có rủi ro cao;
g) Đối với các truy cập từ xa phải tự động ngắt kết nối phiên làm việc một thời gian cụ thể khi hệ thống không hoạt động;
h) Chỉ kích hoạt truy cập từ xa cho tổ chức hỗ trợ hoạt động thẻ khi thực sự cần thiết theo yêu cầu và đồng thời phải vô hiệu hóa truy cập ngay sau phiên làm việc kết thúc;
i) Khi cấp quyền truy cập từ xa vào dữ liệu chủ thẻ phải thực hiện các biện pháp kỹ thuật cấm sao chép, di chuyển và lưu trữ dữ liệu chủ thẻ vào các ổ cứng, phương tiện mang tin, thiết bị ngoại vi. Đối với trường hợp đặc biệt cần thực hiện sao chép, di chuyển, lưu trữ dữ liệu chủ thẻ bằng truy cập từ xa, phải quy định rõ ràng trách nhiệm bảo vệ dữ liệu chủ thẻ theo các quy định tại Thông tư này.