Principes visant à garantir la sûreté et la sécurité des systèmes pour la fourniture de services bancaires en ligne

Selon le projet, le système de banque en ligne doit se conformer à la réglementation relative à la sécurité des systèmes d'information de niveau 3 ou supérieur, conformément à la loi sur la sécurité des systèmes d'information à chaque niveau et à la réglementation de la Banque d'État sur la sécurité des systèmes d'information dans les activités bancaires.

Garantir la confidentialité et l'intégrité des informations client ; assurer la disponibilité du système de banque en ligne pour fournir des services en continu.

Les transactions des clients sont évaluées selon des niveaux de risque minimaux en fonction de chaque groupe de clients, type de transaction et limite de transaction (le cas échéant). Sur cette base, des méthodes d'authentification appropriées sont proposées aux clients, conformément à la réglementation : application de l'authentification multifactorielle lors de la modification des informations d'identification du client ; application de méthodes d'authentification pour chaque groupe de clients, type de transaction et limite de transaction, conformément à la réglementation ; pour les transactions en plusieurs étapes, au moins une mesure d'authentification doit être appliquée lors de l'étape d'approbation finale.

Effectuer des contrôles et des évaluations de sécurité annuels du système de banque en ligne.

Identifier régulièrement les risques, les risques potentiels et déterminer leurs causes, et prendre rapidement des mesures pour prévenir, contrôler et gérer les risques liés à la fourniture de services bancaires sur Internet.

Les équipements d'infrastructure informatique fournissant des services de banque en ligne doivent comporter des mentions de droit d'auteur, ainsi que des indications claires sur leur origine et leur source. Pour les équipements arrivant en fin de vie et qui ne seront plus pris en charge par le fabricant, un plan de mise à niveau et de remplacement doit être mis en place conformément aux annonces de ce dernier, garantissant ainsi la compatibilité de l'infrastructure avec les nouvelles versions logicielles.

Il est doté de pare-feu, de systèmes de surveillance et d'alertes en cas de comportement inhabituel.

L'unité doit mettre en place un réseau, un système de communication et un système de sécurité qui répondent aux exigences minimales suivantes :

Il existe des solutions de sécurité minimales comprenant : un pare-feu applicatif ; un pare-feu de base de données ; un système centralisé de surveillance et d’alerte en cas d’attaques ou de comportements inhabituels.

Les informations client ne sont pas stockées dans la partition de connexion Internet ni dans la partition DMZ (partition intermédiaire entre le réseau interne et Internet).

Mettez en place une politique visant à limiter les services et les passerelles se connectant au système de banque en ligne.

Les connexions externes au système de banque en ligne à des fins d'administration ne sont autorisées que lorsqu'une connexion depuis le réseau interne est impossible et doivent garantir la sécurité, conformément aux règles suivantes : elles doivent être approuvées par une personne habilitée après examen de leur finalité et de leur mode de connexion ; elles doivent disposer d'un plan de gestion des accès et d'une administration à distance sécurisée du système, par exemple via un réseau privé virtuel (VPN) ou équivalent ; les appareils de connexion doivent être équipés d'un logiciel de sécurité ; l'authentification multifacteurs doit être utilisée lors de la connexion au système ; des protocoles de communication chiffrés et sécurisés doivent être utilisés et les clés secrètes ne doivent pas être stockées dans les logiciels utilitaires.

La connexion réseau assurant le service doit garantir une haute disponibilité et une continuité de service.

Mettre en place un mécanisme de détection et de prévention des intrusions et des attaques réseau dans le système.

Le projet stipule également clairement que l'unité doit gérer les vulnérabilités et les faiblesses du système de banque en ligne avec les éléments de base suivants :

Mettre en place des mesures pour prévenir, détecter et identifier les modifications apportées au site web et au logiciel d'application de banque en ligne.

Mettre en place un mécanisme de détection et de prévention des intrusions et des attaques réseau sur le système de banque en ligne.

En collaboration avec les unités de gestion étatiques et les partenaires informatiques, il convient de saisir rapidement les incidents et les situations de perte de sécurité et de sûreté de l'information afin de prendre des mesures préventives opportunes.

Mise à jour des informations sur les vulnérabilités de sécurité publiées concernant les logiciels système, les systèmes de gestion de bases de données et les logiciels d'application, conformément aux informations du système commun de notation des vulnérabilités (CVSS).

Effectuez une analyse des vulnérabilités et des faiblesses du système de banque en ligne au moins une fois par an ou dès réception d'informations concernant de nouvelles vulnérabilités ou faiblesses. Évaluez l'impact et le risque de chaque vulnérabilité ou faiblesse technique découverte et proposez des solutions et des plans d'action.

Mettre en œuvre les mises à jour des correctifs de sécurité ou des mesures préventives opportunes en fonction de l'évaluation de l'impact et des risques.

baochinhphu.vn

Source: https://baolaocai.vn/nguyen-tac-dam-bao-an-toan-bao-mat-he-thong-cho-viec-cung-cap-dich-vu-online-banking-post385539.html