Αρχές για τη διασφάλιση της ασφάλειας και προστασίας του συστήματος για την παροχή υπηρεσιών ηλεκτρονικής τραπεζικής

Σύμφωνα με το προσχέδιο, το σύστημα ηλεκτρονικής τραπεζικής πρέπει να συμμορφώνεται με τους κανονισμούς για τη διασφάλιση της ασφάλειας του συστήματος πληροφοριών επιπέδου 3 ή υψηλότερου, σύμφωνα με τον νόμο για τη διασφάλιση της ασφάλειας του συστήματος πληροφοριών σε κάθε επίπεδο και τους κανονισμούς της Κρατικής Τράπεζας σχετικά με την ασφάλεια του συστήματος πληροφοριών στις τραπεζικές δραστηριότητες.

Διασφάλιση της εμπιστευτικότητας και της ακεραιότητας των πληροφοριών των πελατών· διασφάλιση της διαθεσιμότητας του συστήματος Online Banking για την αδιάλειπτη παροχή υπηρεσιών.

Οι συναλλαγές των πελατών αξιολογούνται για τα ελάχιστα επίπεδα κινδύνου ανάλογα με κάθε ομάδα πελατών, τύπο συναλλαγής, όριο συναλλαγής (εάν υπάρχει) και, σε αυτή τη βάση, παρέχονται κατάλληλες μέθοδοι επαλήθευσης συναλλαγών για τους πελάτες, σύμφωνα με τους κανονισμούς: Εφαρμογή πολυπαραγοντικής επαλήθευσης κατά την αλλαγή των στοιχείων ταυτοποίησης του πελάτη· εφαρμογή μεθόδων επαλήθευσης για κάθε ομάδα πελατών, τύπο συναλλαγής, όριο συναλλαγής σύμφωνα με τους κανονισμούς· για συναλλαγές πολλαπλών βημάτων, πρέπει να εφαρμόζεται τουλάχιστον ένα μέτρο επαλήθευσης στο τελικό βήμα έγκρισης.

Διεξαγωγή ετήσιων ελέγχων ασφαλείας και αξιολογήσεων του συστήματος Online Banking.

Να εντοπίζετε τακτικά κινδύνους, πιθανούς κινδύνους και να προσδιορίζετε τις αιτίες των κινδύνων, να λαμβάνετε άμεσα μέτρα για την πρόληψη, τον έλεγχο και τη διαχείριση των κινδύνων κατά την παροχή τραπεζικών υπηρεσιών στο Διαδίκτυο.

Ο εξοπλισμός υποδομής τεχνολογίας πληροφοριών που παρέχει υπηρεσίες Online Banking πρέπει να διαθέτει πνευματικά δικαιώματα, σαφή προέλευση και πηγή. Για εξοπλισμό που πλησιάζει στο τέλος του κύκλου ζωής του και δεν θα υποστηρίζεται πλέον από τον κατασκευαστή, η μονάδα πρέπει να διαθέτει σχέδιο αναβάθμισης και αντικατάστασης σύμφωνα με την ανακοίνωση του κατασκευαστή, διασφαλίζοντας ότι ο εξοπλισμός υποδομής είναι ικανός να εγκαταστήσει νέες εκδόσεις λογισμικού.

Διαθέτει τείχη προστασίας, συστήματα παρακολούθησης και ειδοποιήσεις για ασυνήθιστη συμπεριφορά

Η μονάδα πρέπει να εγκαταστήσει ένα σύστημα δικτύου, επικοινωνίας και ασφάλειας που να πληροί τις ακόλουθες ελάχιστες απαιτήσεις:

Υπάρχουν ελάχιστες λύσεις ασφαλείας, όπως: τείχος προστασίας εφαρμογών, τείχος προστασίας βάσης δεδομένων, κεντρικό σύστημα παρακολούθησης και προειδοποίησης για επιθέσεις ή ασυνήθιστη συμπεριφορά.

Οι πληροφορίες πελατών δεν αποθηκεύονται στο διαμέρισμα σύνδεσης στο Διαδίκτυο και στο διαμέρισμα DMZ (ενδιάμεσο διαμέρισμα μεταξύ του εσωτερικού δικτύου και του Διαδικτύου).

Ορίστε μια πολιτική για τον περιορισμό των υπηρεσιών και των πυλών που συνδέονται με το σύστημα Online Banking.

Οι συνδέσεις εκτός του εσωτερικού δικτύου στο σύστημα Online Banking για διαχειριστικούς σκοπούς πραγματοποιούνται μόνο σε περιπτώσεις όπου δεν είναι δυνατή η σύνδεση από το εσωτερικό δίκτυο και η διασφάλιση της ασφάλειας, σύμφωνα με τουλάχιστον τους ακόλουθους κανονισμούς: Πρέπει να εγκριθεί από εξουσιοδοτημένο άτομο μετά από έλεγχο του σκοπού και της μεθόδου σύνδεσης· πρέπει να υπάρχει σχέδιο για τη διαχείριση πρόσβασης, ασφαλής απομακρυσμένη διαχείριση συστήματος, όπως η χρήση εικονικού ιδιωτικού δικτύου ή ισοδύναμου· οι συσκευές σύνδεσης πρέπει να έχουν εγκατεστημένο λογισμικό ασφαλείας· πρέπει να χρησιμοποιούνται μέτρα ελέγχου ταυτότητας πολλαπλών παραγόντων κατά τη σύνδεση στο σύστημα· να χρησιμοποιούνται ασφαλή κρυπτογραφημένα πρωτόκολλα επικοινωνίας και να μην αποθηκεύονται μυστικά κλειδιά σε λογισμικό βοηθητικών προγραμμάτων.

Η σύνδεση δικτύου υπηρεσιών πρέπει να διασφαλίζει υψηλή διαθεσιμότητα και συνεχή παροχή υπηρεσιών.

Δημιουργία μηχανισμού για την ανίχνευση και την αποτροπή εισβολών και δικτυακών επιθέσεων στο σύστημα

Το προσχέδιο αναφέρει επίσης σαφώς ότι η μονάδα πρέπει να διαχειρίζεται τα τρωτά σημεία και τις αδυναμίες του συστήματος ηλεκτρονικής τραπεζικής με τα ακόλουθα βασικά περιεχόμενα:

Να έχετε μέτρα για την πρόληψη, τον εντοπισμό και την ανίχνευση αλλαγών στον ιστότοπο και στο λογισμικό της εφαρμογής Online Banking.

Δημιουργήστε έναν μηχανισμό για την ανίχνευση και την πρόληψη εισβολών και δικτυακών επιθέσεων στο σύστημα Online Banking.

Συντονισμός με τις κρατικές μονάδες διαχείρισης και τους εταίρους τεχνολογίας πληροφοριών για την άμεση αντιμετώπιση περιστατικών και καταστάσεων απώλειας ασφάλειας πληροφοριών και προστασίας, ώστε να λαμβάνονται έγκαιρα προληπτικά μέτρα.

Ενημερώστε τις πληροφορίες σχετικά με τα δημοσιευμένα τρωτά σημεία ασφαλείας που σχετίζονται με το λογισμικό συστήματος, τα συστήματα διαχείρισης βάσεων δεδομένων και το λογισμικό εφαρμογών σύμφωνα με τις πληροφορίες από το Κοινό Σύστημα Βαθμολόγησης Τρωτών Πόντων.

Σάρωση για τρωτά σημεία και αδυναμίες του συστήματος Online Banking τουλάχιστον μία φορά το χρόνο ή όταν λαμβάνετε πληροφορίες σχετικά με νέα τρωτά σημεία και αδυναμίες. Αξιολόγηση του αντίκτυπου και του κινδύνου κάθε ευπάθειας και τεχνικής αδυναμίας του συστήματος που ανακαλύπτεται και πρόταση λύσεων και σχεδίων για την αντιμετώπισή τους.

Εφαρμόστε ενημερώσεις κώδικα ασφαλείας ή έγκαιρα προληπτικά μέτρα με βάση την αξιολόγηση των επιπτώσεων και του κινδύνου.

baochinhphu.vn

Πηγή