Document: Điều 10 Thông tư 35/2016/TT-NHNN an toàn bảo mật cho việc cung cấp dịch vụ ngân hàng trên Internet mới nhất

Type: {"issuing_agency": "Ngân hàng Nhà nước", "promulgation_date": "29/12/2016", "sign_number": "35/2016/TT-NHNN", "signer": "Nguyễn Kim Anh", "type": "Thông tư"}
Issuing Agency: {"issuing_agency": "Ngân hàng Nhà nước", "promulgation_date": "29/12/2016", "sign_number": "35/2016/TT-NHNN", "signer": "Nguyễn Kim Anh", "type": "Thông tư"}
Promulgation Date: {"issuing_agency": "Ngân hàng Nhà nước", "promulgation_date": "29/12/2016", "sign_number": "35/2016/TT-NHNN", "signer": "Nguyễn Kim Anh", "type": "Thông tư"}
Sign Number: {"issuing_agency": "Ngân hàng Nhà nước", "promulgation_date": "29/12/2016", "sign_number": "35/2016/TT-NHNN", "signer": "Nguyễn Kim Anh", "type": "Thông tư"}
Signer: {"issuing_agency": "Ngân hàng Nhà nước", "promulgation_date": "29/12/2016", "sign_number": "35/2016/TT-NHNN", "signer": "Nguyễn Kim Anh", "type": "Thông tư"}

Full Text:
Điều 10 Thông tư 35/2016/TT-NHNN an toàn bảo mật cho việc cung cấp dịch vụ ngân hàng trên Internet mới nhất có nội dung như sau:

Điều 10. Yêu cầu đối với các giải pháp xác thực giao dịch
1. Đơn vị phải đánh giá mức độ rủi ro của giao dịch theo từng loại khách hàng, loại giao dịch, hạn mức giao dịch để cung cấp giải pháp xác thực giao dịch phù hợp cho khách hàng lựa chọn. Hạn mức giao dịch không vượt quá hạn mức quy định của Thống đốc Ngân hàng Nhà nước trong từng thời kỳ.
2. Yêu cầu đối với giải pháp xác thực bằng OTP gửi qua tin nhắn SMS hoặc thư điện tử:
a) OTP gửi tới khách hàng phải kèm thông tin cảnh báo để khách hàng nhận biết được mục đích của OTP;
b) OTP có hiệu lực tối đa không quá 05 phút.
3. Yêu cầu đối với giải pháp xác thực bằng thẻ ma trận OTP:
a) Thẻ ma trận OTP có thời hạn sử dụng tối đa 01 năm kể từ ngày đăng ký thẻ;
b) OTP có hiệu lực tối đa không quá 02 phút.
4. Yêu cầu đối với giải pháp xác thực bằng OTP được tạo từ phần mềm cài đặt trên thiết bị di động:
a) Đơn vị phải chỉ rõ đường dẫn trên website hoặc kho ứng dụng để khách hàng tải và cài đặt phần mềm tạo OTP;
b) Phần mềm tạo OTP phải sử dụng mã khóa do đơn vị cung cấp để kích hoạt trước khi sử dụng. Một mã khóa kích hoạt chỉ được sử dụng cho một thiết bị di động;
c) Phần mềm tạo OTP phải được kiểm soát truy cập. Trường hợp xác thực truy cập sai năm lần liên tiếp, phần mềm phải tự động khoá không cho khách hàng sử dụng tiếp;
d) OTP có hiệu lực tối đa không quá 02 phút.
5. Yêu cầu đối với giải pháp xác thực bằng OTP được tạo từ thiết bị (OTP token): OTP có hiệu lực tối đa không quá 02 phút.
6. Yêu cầu đối với giải pháp xác thực bằng chữ ký số: Đơn vị phải sử dụng chữ ký số và dịch vụ chứng thực chữ ký số của tổ chức cung cấp dịch vụ chứng thực chữ ký số hoạt động theo quy định của pháp luật về chữ ký số và dịch vụ chứng thực chữ ký số.
7. Yêu cầu đối với giải pháp xác thực bằng dấu hiệu nhận dạng sinh trắc học: dấu hiệu nhận dạng sinh trắc học phải là dấu hiệu duy nhất gắn với mỗi khách hàng và không thể giả mạo.

Content:
Điều 10. Yêu cầu đối với các giải pháp xác thực giao dịch
1. Đơn vị phải đánh giá mức độ rủi ro của giao dịch theo từng loại khách hàng, loại giao dịch, hạn mức giao dịch để cung cấp giải pháp xác thực giao dịch phù hợp cho khách hàng lựa chọn. Hạn mức giao dịch không vượt quá hạn mức quy định của Thống đốc Ngân hàng Nhà nước trong từng thời kỳ.
2. Yêu cầu đối với giải pháp xác thực bằng OTP gửi qua tin nhắn SMS hoặc thư điện tử:
a) OTP gửi tới khách hàng phải kèm thông tin cảnh báo để khách hàng nhận biết được mục đích của OTP;
b) OTP có hiệu lực tối đa không quá 05 phút.
3. Yêu cầu đối với giải pháp xác thực bằng thẻ ma trận OTP:
a) Thẻ ma trận OTP có thời hạn sử dụng tối đa 01 năm kể từ ngày đăng ký thẻ;
b) OTP có hiệu lực tối đa không quá 02 phút.
4. Yêu cầu đối với giải pháp xác thực bằng OTP được tạo từ phần mềm cài đặt trên thiết bị di động:
a) Đơn vị phải chỉ rõ đường dẫn trên website hoặc kho ứng dụng để khách hàng tải và cài đặt phần mềm tạo OTP;
b) Phần mềm tạo OTP phải sử dụng mã khóa do đơn vị cung cấp để kích hoạt trước khi sử dụng. Một mã khóa kích hoạt chỉ được sử dụng cho một thiết bị di động;
c) Phần mềm tạo OTP phải được kiểm soát truy cập. Trường hợp xác thực truy cập sai năm lần liên tiếp, phần mềm phải tự động khoá không cho khách hàng sử dụng tiếp;
d) OTP có hiệu lực tối đa không quá 02 phút.
5. Yêu cầu đối với giải pháp xác thực bằng OTP được tạo từ thiết bị (OTP token): OTP có hiệu lực tối đa không quá 02 phút.
6. Yêu cầu đối với giải pháp xác thực bằng chữ ký số: Đơn vị phải sử dụng chữ ký số và dịch vụ chứng thực chữ ký số của tổ chức cung cấp dịch vụ chứng thực chữ ký số hoạt động theo quy định của pháp luật về chữ ký số và dịch vụ chứng thực chữ ký số.
7. Yêu cầu đối với giải pháp xác thực bằng dấu hiệu nhận dạng sinh trắc học: dấu hiệu nhận dạng sinh trắc học phải là dấu hiệu duy nhất gắn với mỗi khách hàng và không thể giả mạo.