Thông tư 29/2011/TT-NHNN Về an toàn, bảo mật cho việc cung cấp dịch vụ ngân hàng trên Internet

Căn cứ Luật Ngân hàng Nhà nước Việt Nam số 46/2010/QH12 ngày 16 tháng 6 năm 2010;

Căn cứ Luật các tổ chức tín dụng số 47/2010/QH12 ngày 16 tháng 6 năm 2010;

Căn cứ Luật giao dịch điện tử số 51/2005/QH11 ngày 29 tháng 11 năm 2005;

Căn cứ Nghị định số 35/2007/NĐ-CP ngày 08 tháng 3 năm 2007 của Chính phủ về giao dịch điện tử trong hoạt động ngân hàng;

Căn cứ Nghị định 64/2001/NĐ-CP ngày 20 tháng 9 năm 2001 của Chính phủ về hoạt động thanh toán qua các tổ chức cung ứng dịch vụ thanh toán;

Căn cứ Nghị định số 26/2007/NĐ-CP ngày 25 tháng 2 năm 2007 của Chính phủ quy định chi tiết thi hành Luật giao dịch điện tử về chữ ký số và dịch vụ chứng thực chữ ký số;

Căn cứ Nghị định số 96/2008/NĐ-CP ngày 26 tháng 8 năm 2008 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Ngân hàng Nhà nước Việt Nam;

Căn cứ Nghị định số 97/2008/NĐ-CP ngày 28 tháng 8 năm 2008 của Chính phủ về quản lý, cung cấp, sử dụng dịch vụ Internet và thông tin điện tử trên Internet;

Ngân hàng Nhà nước Việt Nam quy định về an toàn, bảo mật cho việc cung cấp dịch vụ ngân hàng trên Internet như sau:

Trong Thông tư này, các từ ngữ dưới đây được hiểu như sau:

a) Thông tin về đơn vị cung cấp dịch vụ và các dịch vụ của đơn vị.

b) Dịch vụ tra cứu thông tin như: tra cứu thông tin khách hàng, tài khoản, truy vấn số dư và các thông tin khác.

c) Thực hiện các giao dịch tài chính trực tuyến như: dịch vụ về tài khoản, chuyển khoản, cấp tín dụng, thanh toán qua tài khoản.

d) Các dịch vụ khác theo quy định của Ngân hàng Nhà nước.

a) Đảm bảo bí mật thông tin liên quan đến tài khoản, tiền gửi, tài sản gửi và các giao dịch của khách hàng theo quy định của pháp luật.

b) Mật khẩu khách hàng, khóa mã hóa và các mã khóa khác phải được mã hóa trong quá trình giao dịch, trên đường truyền và lưu trữ tại đơn vị cung cấp dịch vụ.

a) Cam kết khả năng hoạt động liên tục của hệ thống Internet Banking một cách công khai, rõ ràng và được nêu rõ trong hợp đồng cung cấp dịch vụ với khách hàng. Cam kết này tối thiểu phải bao gồm cam kết về tổng thời gian dừng hệ thống trong năm, khoảng thời gian cung cấp dịch vụ trong ngày, thời gian phục hồi hệ thống sau khi gặp sự cố.

b) Đáp ứng đủ nguồn lực về hạ tầng công nghệ thông tin và nhân sự đảm bảo cung cấp dịch vụ Internet Banking liên tục đúng như cam kết của đơn vị cung cấp dịch vụ với khách hàng.

c) Xây dựng, ban hành và tuân thủ các quy trình của hệ thống Internet Banking.

d) Sử dụng các công cụ giám sát, theo dõi hiệu năng của hệ thống chính và hệ thống dự phòng đảm bảo hoạt động liên tục.

a) Đảm bảo tính toàn vẹn của thông tin trong quá trình xử lý, lưu trữ và truyền nhận giữa đơn vị cung cấp dịch vụ và khách hàng.

b) Kết hợp các biện pháp an ninh về mặt hành chính và kỹ thuật trong:

- Truy cập vật lý;

- Truy cập lô gíc;

- Quá trình nhập, xử lý, truyền dẫn, kết xuất, lưu trữ, khôi phục dữ liệu.

a) Đảm bảo xác thực và nhận dạng được khách hàng khi khách hàng truy cập và sử dụng dịch vụ Internet Banking.

b) Sử dụng xác thực hai yếu tố trên hệ thống Internet Banking khi thực hiện giao dịch thanh toán và các giao dịch quan trọng như: tạo kết nối giữa các tài khoản, đăng ký thanh toán cho bên thứ ba, thay đổi hạn mức giao dịch trong ngày, thay đổi thông tin tài khoản liên quan đến dữ liệu cá nhân của khách hàng (như địa chỉ cơ quan hoặc nhà riêng, số điện thoại liên lạc, địa chỉ thư điện tử và các thông tin khác nhằm xác thực khách hàng).

a) Cung cấp đầy đủ thông tin về quyền lợi và nghĩa vụ của khách hàng trước khi ký kết hợp đồng cung cấp dịch vụ với khách hàng. Trong hợp đồng cung cấp dịch vụ phải nêu rõ việc đơn vị cung cấp dịch vụ đảm bảo các khoản nêu ra tại Điều này đối với khách hàng. Đơn vị cung cấp dịch vụ chịu trách nhiệm thực hiện đầy đủ các điều khoản thuộc trách nhiệm của mình nêu trong hợp đồng cung cấp dịch vụ ký kết với khách hàng.

b) Trong hợp đồng cung cấp dịch vụ, đơn vị cung cấp dịch vụ phải nêu rõ trách nhiệm bảo mật các thông tin cá nhân của khách hàng khi sử dụng dịch vụ Internet Banking; nêu rõ cách thức ngân hàng thu thập; sử dụng thông tin khách hàng, cam kết không bán, tiết lộ, rò rỉ các thông tin đó.

c) Có biện pháp đảm bảo an toàn, bảo mật trong trường hợp đơn vị cung cấp dịch vụ phân phối phần mềm cho khách hàng qua môi trường Internet.

d) Chịu trách nhiệm kiểm tra, cảnh báo và thực hiện các biện pháp phòng, chống giả mạo website cung cấp dịch vụ Internet Banking của đơn vị cung cấp dịch vụ; đồng thời có trách nhiệm thông báo phương thức xác định website thật đến khách hàng.

Xây dựng, ban hành các quy định an toàn, bảo mật cho hệ thống Internet Banking phù hợp với quy định về an toàn, bảo mật hệ thống công nghệ thông tin của Nhà nước, ngành Ngân hàng và quy chế an toàn bảo mật công nghệ thông tin của đơn vị. Định kỳ tối thiểu mỗi năm một lần, đơn vị phải rà soát, chỉnh sửa, hoàn thiện các quy định này đảm bảo sự phù hợp, đầy đủ và có hiệu quả của quy định.

a) Có tính năng sẵn sàng cao, cơ chế dự phòng linh hoạt để đảm bảo tính hoạt động liên tục.

b) Được đặt ở nơi được bảo vệ an toàn và được giám sát chặt chẽ.

c) Tách biệt lô-gíc hoặc vật lý với các máy chủ hoạt động nghiệp vụ khác.

a) Được rà soát, cập nhật các phiên bản vá lỗi phần mềm hệ thống theo khuyến cáo của nhà cung cấp tối thiểu sáu tháng một lần.

b) Lập danh mục các phần mềm được phép cài đặt trên máy chủ Internet Banking và định kỳ tối thiểu ba tháng một lần cập nhật, kiểm tra, đảm bảo tuân thủ danh mục này.

a) Các yêu cầu an toàn, bảo mật của nghiệp vụ phải được xác định trước và tổ chức, triển khai vào toàn bộ chu trình phát triển phần mềm từ khâu phân tích, thiết kế đến triển khai vận hành và bảo trì.

b) Các tài liệu về an toàn, bảo mật của phần mềm phải được hệ thống hóa và lưu trữ, sử dụng theo chế độ “Mật”.

c) Trước khi triển khai chương trình ứng dụng mới, phải đánh giá những rủi ro của quá trình triển khai đối với hoạt động nghiệp vụ, các hệ thống công nghệ thông tin liên quan và lập, triển khai các phương án hạn chế, khắc phục rủi ro.

d) Phải xác định, thống kê được các hoạt động và giao dịch bất thường phát sinh trong hệ thống.

a) Lập và phê duyệt kế hoạch, kịch bản thử nghiệm cho các ứng dụng cung cấp dịch vụ Internet Banking, trong đó nêu rõ các điều kiện về tính an toàn, bảo mật phải được đáp ứng.

b) Phát hiện và loại trừ các lỗi, các gian lận có thể xảy ra khi nhập số liệu đầu vào và các lỗ hổng bảo mật trong quá trình kiểm tra thử nghiệm hệ thống.

c) Ghi lại các lỗi và quá trình xử lý lỗi, đặc biệt là các lỗi về an toàn, bảo mật trong các báo cáo về kiểm tra thử nghiệm.

d) Kiểm tra thử nghiệm các tính năng an toàn, bảo mật phải được thực hiện trên các trình duyệt phổ biến như Internet Explorer, Mozilla, Firefox, Google Chrome.

đ) Tiến hành thử nghiệm trên môi trường riêng biệt và không ảnh hưởng đến hoạt động bình thường của nghiệp vụ. Lập báo cáo kết quả thử nghiệm trình cấp có thẩm quyền phê duyệt trước khi đưa vào sử dụng.

e) Việc sử dụng dữ liệu cho quá trình thử nghiệm phải có biện pháp phòng ngừa tránh bị lợi dụng hoặc gây nhầm lẫn.

a) Đối với mỗi yêu cầu thay đổi phần mềm, phải phân tích đánh giá ảnh hưởng của việc thay đổi đối với các hệ thống hiện tại cũng như các nghiệp vụ và các hệ thống công nghệ thông tin có liên quan khác của đơn vị.

b) Các phiên bản phần mềm bao gồm cả chương trình nguồn cần được quản lý tập trung, lưu trữ, bảo mật và có cơ chế phân quyền cho từng thành viên trong việc thao tác với các tập tin.

c) Thông tin về các phiên bản, thời gian cập nhật, người cập nhật các phiên bản phải được lưu lại.

d) Mỗi phiên bản được nâng cấp phải được kiểm tra thử nghiệm các tính năng an toàn, bảo mật và tính ổn định trước khi triển khai chính thức.

đ) Việc nâng cấp phiên bản phải căn cứ trên kết quả thử nghiệm và được cấp có thẩm quyền phê duyệt.

e) Các phiên bản phần mềm sau khi thử nghiệm thành công phải được quản lý chặt chẽ; tránh bị sửa đổi bất hợp pháp và sẵn sàng cho việc triển khai.

g) Đi kèm với phiên bản phần mềm mới phải có các chỉ dẫn rõ ràng về nội dung thay đổi, hướng dẫn cập nhật phần mềm và các thông tin liên quan khác và phải được thông qua cấp có thẩm quyền phê duyệt trước khi triển khai cho khách hàng.

a) Kiểm tra mã nguồn, nhằm loại trừ các đoạn mã độc hại, các lỗ hổng bảo mật (back-door).

b) Chỉ định cụ thể các cá nhân quản lý chương trình nguồn của hệ thống Internet Banking.

c) Việc truy cập tới chương trình nguồn phải được sự phê chuẩn của cấp có thẩm quyền và được theo dõi, ghi nhật ký.

d) Chương trình nguồn phải được lưu trữ an toàn tại ít nhất hai địa điểm tách biệt.

đ) Trong trường hợp đơn vị cung cấp dịch vụ mua phần mềm từ bên thứ ba mà không được bàn giao chương trình nguồn, đơn vị cung cấp dịch vụ phải yêu cầu bên thứ ba ký cam kết không có các đoạn mã độc hại trong phần mềm ứng dụng bàn giao cho đơn vị cung cấp dịch vụ.

a) Quá trình truy cập hệ thống.

b) Các thao tác cấu hình hệ thống.

c) Các sự kiện xác thực.

d) Các sự kiện cấp, thu hồi quyền truy cập hệ thống và sử dụng dịch vụ.

đ) Xử lý giao dịch.

e) Các truy cập bất thường.

a) Cách đặt mật khẩu và bảo vệ mật khẩu.

b) Không chia sẻ các thiết bị lưu trữ mật khẩu, chữ ký số.

c) Không đặt tùy chọn của trình duyệt web cho phép lưu lại tên và mật khẩu người dùng.

d) Thoát khỏi hệ thống Internet Banking khi không sử dụng.

đ) Thận trọng, hạn chế dùng máy tính công cộng, mạng không dây công cộng để truy cập vào hệ thống Internet Banking.

e) Cách thức truy cập địa chỉ ứng dụng dịch vụ Internet Banking của đơn vị.

g) Thông báo cho đơn vị cung cấp dịch vụ các lỗi và sự cố trong quá trình sử dụng dịch vụ.

h) Cảnh báo các rủi ro khác.

Các đơn vị cung cấp dịch vụ có trách nhiệm gửi báo cáo về Ngân hàng Nhà nước Việt Nam (Cục Công nghệ tin học) theo quy định tại Điều 15, Điều 16 Thông tư này.

a) Đối với các đơn vị đã cung cấp dịch vụ trước ngày Thông tư này có hiệu lực: Các đơn vị gửi báo cáo trong vòng 10 ngày làm việc kể từ ngày Thông tư này có hiệu lực.

b) Đối với các đơn vị cung cấp dịch vụ sau khi Thông tư này có hiệu lực: Các đơn vị gửi báo cáo tối thiểu trước 10 ngày làm việc trước khi cung cấp chính thức dịch vụ Internet Banking.

Các đơn vị cung cấp dịch vụ phải gửi Báo cáo năm trước ngày 15 tháng 3 hàng năm.

Các đơn vị cung cấp dịch vụ phải gửi Báo cáo đột xuất khi xảy ra các sự cố mất an toàn hoặc ảnh hưởng đến hoạt động của hệ thống Internet Banking trong vòng 05 ngày kể từ thời điểm phát sinh sự cố hoặc phát hiện sự cố.

a) Địa chỉ website cung cấp dịch vụ.

b) Các sản phẩm, dịch vụ hiện đang cung cấp.

c) Ngày cung cấp chính thức.

d) Đơn vị cung cấp sản phẩm hệ thống Internet Banking.

đ) Bên thứ ba được thuê hoặc cùng hợp tác xây dựng, vận hành hệ thống Internet Banking; các hoạt động liên quan đến hệ thống Internet Banking có sự tham gia của bên thứ ba và hình thức tham gia của các bên thứ ba này.

e) Các tài liệu bao gồm: hạ tầng công nghệ thông tin và truyền thông, nhân lực, quy trình kỹ thuật nghiệp vụ, các phương án xử lý rủi ro và các vấn đề liên quan khác theo quy định tại Chương II của Thông tư này.

a) Các sản phẩm, dịch vụ Internet Banking hiện đang cung cấp.

b) Những thay đổi của sản phẩm, dịch vụ Internet Banking kể từ lần báo cáo trước.

c) Những thay đổi của tài liệu quy định tại Điểm e, Khoản 1, Điều 16 kể từ lần báo cáo trước.

d) Số lượng khách hàng sử dụng dịch vụ Internet Banking và tỷ lệ tăng trưởng khách hàng so với cùng kỳ năm trước.

đ) Những sự cố đã phát sinh trong kỳ. Sự cố rủi ro được báo cáo theo nhóm rủi ro, các thiệt hại và biện pháp xử lý đã áp dụng.

e) Kiến nghị, đề xuất.

a) Ngày, địa điểm phát sinh sự cố.

b) Mô tả sơ bộ về sự cố, tình trạng khi xảy ra sự cố.

c) Nguyên nhân sự cố.

d) Đánh giá rủi ro, ảnh hưởng đối với hệ thống Internet Banking và các hệ thống khác có liên quan.

đ) Tình hình thiệt hại.

e) Các biện pháp đơn vị đã tiến hành để khắc phục sự cố, ngăn chặn và phòng ngừa rủi ro.

g) Kiến nghị, đề xuất.