Grundsätze zur Gewährleistung der Systemsicherheit bei der Bereitstellung von Online-Banking-Dienstleistungen

Dem Entwurf zufolge muss das Online-Banking-System die Vorschriften zur Gewährleistung der Informationssystemsicherheit auf Stufe 3 oder höher gemäß dem Gesetz zur Gewährleistung der Informationssystemsicherheit auf jeder Stufe und den Vorschriften der Staatsbank zur Informationssystemsicherheit im Bankwesen einhalten.

Gewährleisten Sie die Vertraulichkeit und Integrität der Kundendaten; gewährleisten Sie die Verfügbarkeit des Online-Banking-Systems, um die Dienstleistungen kontinuierlich anbieten zu können.

Kundentransaktionen werden hinsichtlich des Mindestrisikos gemäß jeder Kundengruppe, Transaktionsart und gegebenenfalls jedem Transaktionslimit bewertet. Auf dieser Grundlage werden den Kunden geeignete Transaktionsauthentifizierungsmethoden zur Auswahl angeboten, die den Vorschriften entsprechen: Anwendung einer Multi-Faktor-Authentifizierung bei der Änderung von Kundenidentifikationsinformationen; Anwendung von Authentifizierungsmethoden für jede Kundengruppe, Transaktionsart und jedes Transaktionslimit gemäß den Vorschriften; bei mehrstufigen Transaktionen muss im letzten Genehmigungsschritt mindestens eine Authentifizierungsmaßnahme angewendet werden.

Führen Sie jährliche Sicherheitsüberprüfungen und Bewertungen des Online-Banking-Systems durch.

Bei der Erbringung von Bankdienstleistungen über das Internet müssen regelmäßig Risiken und potenzielle Risiken identifiziert und deren Ursachen ermittelt werden. Es müssen umgehend Maßnahmen ergriffen werden, um Risiken vorzubeugen, sie zu kontrollieren und zu bewältigen.

Die IT-Infrastruktur für Online-Banking-Dienste muss urheberrechtlich geschützt sein und einen eindeutigen Ursprung aufweisen. Für Geräte, die sich dem Ende ihres Produktlebenszyklus nähern und vom Hersteller nicht mehr unterstützt werden, muss ein Upgrade- und Austauschplan gemäß den Herstellerangaben vorliegen, der die Installation neuer Softwareversionen ermöglicht.

Verfügt über Firewalls, Überwachungssysteme und Warnmeldungen für ungewöhnliches Verhalten

Die Einheit muss ein Netzwerk-, Kommunikations- und Sicherheitssystem einrichten, das folgende Mindestanforderungen erfüllt:

Zu den minimalen Sicherheitslösungen gehören: Anwendungsfirewall; Datenbankfirewall; zentralisiertes Überwachungs- und Warnsystem für Angriffe oder ungewöhnliches Verhalten.

Kundendaten werden nicht in der Internetverbindungspartition und der DMZ-Partition (Zwischenpartition zwischen dem internen Netzwerk und dem Internet) gespeichert.

Es sollte eine Richtlinie festgelegt werden, um die mit dem Online-Banking-System verbundenen Dienste und Gateways einzuschränken.

Verbindungen von außerhalb des internen Netzwerks zum Online-Banking-System zu Administrationszwecken werden nur dann hergestellt, wenn eine Verbindung vom internen Netzwerk aus nicht möglich ist und die Sicherheit gewährleistet werden kann. Dabei müssen mindestens die folgenden Bestimmungen eingehalten werden: Die Verbindung muss von einer autorisierten Person nach Prüfung des Zwecks und der Methode der Verbindung genehmigt werden; es muss ein Plan für die Zugriffsverwaltung und die sichere Fernadministration des Systems, z. B. über ein virtuelles privates Netzwerk (VPN) oder ein gleichwertiges Verfahren, vorhanden sein; auf den Verbindungsgeräten muss Sicherheitssoftware installiert sein; beim Anmelden am System müssen Maßnahmen zur Multi-Faktor-Authentifizierung verwendet werden; es müssen sichere, verschlüsselte Kommunikationsprotokolle verwendet werden und geheime Schlüssel dürfen nicht in der Anwendungssoftware gespeichert werden.

Die Anbindung an das Servicenetzwerk muss eine hohe Verfügbarkeit und eine kontinuierliche Servicebereitstellung gewährleisten.

Es soll ein Mechanismus zur Erkennung und Verhinderung von Eindringversuchen und Netzwerkangriffen auf das System eingerichtet werden.

Der Entwurf legt außerdem klar fest, dass die Einheit die Schwachstellen und Mängel des Online-Banking-Systems mit folgenden grundlegenden Inhalten beheben muss:

Es müssen Maßnahmen ergriffen werden, um Änderungen an der Website und der Online-Banking-Anwendungssoftware zu verhindern, zu erkennen und aufzudecken.

Es soll ein Mechanismus zur Erkennung und Verhinderung von Eindringversuchen und Netzwerkangriffen auf das Online-Banking-System eingerichtet werden.

In Abstimmung mit den staatlichen Verwaltungseinheiten und IT-Partnern sollen Vorfälle und Situationen von Informationssicherheits- und Datenverlusten umgehend erfasst und rechtzeitig Präventivmaßnahmen ergriffen werden.

Aktualisierung der Informationen zu veröffentlichten Sicherheitslücken in Systemsoftware, Datenbankverwaltungssystemen und Anwendungssoftware gemäß den Informationen des Common Vulnerability Scoring System.

Scannen Sie das Online-Banking-System mindestens einmal jährlich oder bei Erhalt von Informationen über neue Schwachstellen auf Sicherheitslücken. Bewerten Sie die Auswirkungen und Risiken jeder gefundenen Schwachstelle und technischen Schwäche des Systems und schlagen Sie Lösungen und Maßnahmenpläne vor.

Implementieren Sie Sicherheitspatch-Updates oder rechtzeitige Präventivmaßnahmen auf Basis einer Auswirkungs- und Risikoanalyse.

baochinhphu.vn

Quelle: https://baolaocai.vn/nguyen-tac-dam-bao-an-toan-bao-mat-he-thong-cho-viec-cung-cap-dich-vu-online-banking-post385539.html