Zásady pro zajištění bezpečnosti a ochrany systémů pro poskytování služeb online bankovnictví

Podle návrhu musí systém online bankovnictví splňovat předpisy o zajištění bezpečnosti informačního systému na úrovni 3 nebo vyšší dle zákona o zajištění bezpečnosti informačního systému na každé úrovni a předpisy Státní banky o bezpečnosti informačních systémů v bankovních činnostech.

Zajistit důvěrnost a integritu informací o zákaznících; zajistit dostupnost systému online bankovnictví pro nepřetržité poskytování služeb.

Transakce zákazníků jsou posuzovány z hlediska minimální úrovně rizika podle každé skupiny zákazníků, typu transakce, transakčního limitu (pokud existuje) a na tomto základě jsou zákazníkům poskytovány vhodné metody ověřování transakcí, které si mohou vybrat, v souladu s předpisy: Při změně identifikačních údajů zákazníka používejte vícefaktorové ověřování; pro každou skupinu zákazníků, typ transakce a transakční limit používejte metody ověřování v souladu s předpisy; u vícestupňových transakcí musí být v konečném kroku schválení použito alespoň jedno ověřovací opatření.

Provádějte každoroční bezpečnostní kontroly a hodnocení systému online bankovnictví.

Pravidelně identifikovat rizika, potenciální rizika a určovat příčiny rizik, neprodleně přijímat opatření k prevenci, kontrole a řešení rizik při poskytování bankovních služeb na internetu.

Zařízení informační infrastruktury poskytující služby online bankovnictví musí mít autorská práva, jasný původ a zdroj. U zařízení, které se blíží ke konci svého životního cyklu a již nebude výrobcem podporováno, musí být k dispozici plán modernizace a výměny v souladu s oznámením výrobce, který zajistí, že zařízení infrastruktury je schopno instalovat nové verze softwaru.

Má firewally, monitorovací systémy a upozornění na neobvyklé chování

Jednotka musí zřídit síťový, komunikační a bezpečnostní systém, který splňuje následující minimální požadavky:

Mezi minimální bezpečnostní řešení patří: aplikační firewall, databázový firewall a centralizovaný systém monitorování a varování před útoky nebo neobvyklým chováním.

Informace o zákaznících nejsou uloženy v oddílu pro internetové připojení a oddílu DMZ (mezilehlý oddíl mezi interní sítí a internetem).

Nastavte zásady pro omezení služeb a bran připojujících se k systému online bankovnictví.

Připojení z vnějšku interní sítě k systému Online Banking pro administrativní účely se provádí pouze v případech, kdy není možné se připojit z interní sítě a zajistit bezpečnost, s dodržením alespoň následujících předpisů: Musí být schváleno oprávněnou osobou po přezkoumání účelu a způsobu připojení; musí mít plán pro správu přístupu, bezpečnou vzdálenou správu systému, například pomocí virtuální privátní sítě nebo ekvivalentu; připojující se zařízení musí mít nainstalovaný bezpečnostní software; při přihlašování do systému musí používat vícefaktorové ověřování; musí používat zabezpečené šifrované komunikační protokoly a neukládat tajné klíče v obslužném softwaru.

Připojení k servisní síti musí zajistit vysokou dostupnost a nepřetržité poskytování služeb.

Zavést mechanismus pro detekci a prevenci vniknutí a síťových útoků na systém

Návrh rovněž jasně uvádí, že jednotka musí řešit zranitelnosti a slabiny systému online bankovnictví s následujícím základním obsahem:

Mít opatření k prevenci, detekci a odhalování změn na webových stránkách a v softwaru aplikace pro online bankovnictví.

Zavést mechanismus pro detekci a prevenci vniknutí a síťových útoků na systém online bankovnictví.

Koordinujte se státními řídicími jednotkami a partnery v oblasti informačních technologií, abyste včas řešili incidenty a situace týkající se bezpečnosti informací a ztráty jejich zabezpečení a přijímali včasná preventivní opatření.

Aktualizujte informace o zveřejněných bezpečnostních zranitelnostech týkajících se systémového softwaru, systémů správy databází a aplikačního softwaru podle informací ze Společného systému hodnocení zranitelností (Common Vulnerability Scoring System).

Alespoň jednou ročně nebo při obdržení informací o nových zranitelnostech a slabinách systému online bankovnictví prověřovat zranitelnosti a slabiny. Vyhodnotit dopad a riziko každé zjištěné zranitelnosti a technické slabiny systému a navrhnout řešení a plány pro jejich odstranění.

Implementujte aktualizace bezpečnostních záplat nebo včasná preventivní opatření na základě posouzení dopadu a rizik.

baochinhphu.vn

Zdroj