עקרונות להבטחת בטיחות ואבטחת המערכת למתן שירותי בנקאות מקוונת

על פי הטיוטה, מערכת הבנקאות המקוונת חייבת לעמוד בתקנות להבטחת אבטחת מערכת מידע ברמה 3 ומעלה, בהתאם לחוק להבטחת אבטחת מערכת מידע בכל רמה ולתקנות בנק המדינה בנושא אבטחת מערכת מידע בפעילות בנקאית.

להבטיח את סודיות ושלמות פרטי הלקוחות; להבטיח את זמינות מערכת הבנקאות המקוונת למתן שירותים באופן רציף.

עסקאות לקוחות מוערכות לרמות סיכון מינימליות בהתאם לכל קבוצת לקוחות, סוג עסקה, מגבלת עסקה (אם קיימת) ועל בסיס זה, מספקות שיטות אימות עסקאות מתאימות לבחירת הלקוחות, בהתאם לתקנות: יש להחיל אימות רב-גורמי בעת שינוי פרטי זיהוי של לקוחות; יש להחיל שיטות אימות עבור כל קבוצת לקוחות, סוג עסקה, מגבלת עסקה בהתאם לתקנות; עבור עסקאות מרובות שלבים, יש להחיל לפחות אמצעי אימות אחד בשלב האישור הסופי.

ביצוע בדיקות אבטחה והערכות שנתיות של מערכת הבנקאות המקוונת.

לזהות באופן קבוע סיכונים, סיכונים פוטנציאליים ולקבוע את הגורמים לסיכונים, לנקוט במהירות באמצעים למניעה, בקרה וטיפל בסיכונים במתן שירותי בנקאות באינטרנט.

ציוד תשתית טכנולוגיית המידע המספק שירותי בנקאות מקוונת חייב להיות בעל זכויות יוצרים, מקור ברור ומקור ברורים. עבור ציוד המתקרב לסוף מחזור חיי המוצר שלו ולא ייתמך עוד על ידי היצרן, היחידה חייבת להיות בעלת תוכנית שדרוג והחלפה בהתאם להודעת היצרן, תוך הבטחה שציוד התשתית מסוגל להתקין גרסאות תוכנה חדשות.

כולל חומות אש, מערכות ניטור והתראות על התנהגות חריגה

על היחידה להקים מערכת רשת, תקשורת ואבטחה העומדת בדרישות המינימום הבאות:

ישנם פתרונות אבטחה מינימליים הכוללים: חומת אש של יישומים; חומת אש של מסד נתונים; מערכת ניטור והתרעה מרכזית מפני התקפות או התנהגות חריגה.

פרטי הלקוח אינם מאוחסנים במחיצת חיבור האינטרנט ובמחיצת ה-DMZ (מחיצה ביניים בין הרשת הפנימית לאינטרנט).

הגדר מדיניות להגבלת שירותים ושערים המתחברים למערכת הבנקאות המקוונת.

חיבורים מחוץ לרשת הפנימית למערכת הבנקאות המקוונת למטרות ניהול מתבצעים רק במקרים בהם לא ניתן להתחבר מהרשת הפנימית ולהבטיח בטיחות, תוך עמידה בתקנות הבאות לפחות: יש לאשר את הגישה של אדם מורשה לאחר סקירת מטרת ושיטת החיבור; יש צורך בתוכנית לניהול גישה, ניהול מערכת מאובטח מרחוק כגון שימוש ברשת פרטית וירטואלית או שווה ערך; יש להתקין תוכנת אבטחה על התקנים המחברים; יש להשתמש באמצעי אימות רב-גורמי בעת כניסה למערכת; יש להשתמש בפרוטוקולי תקשורת מוצפנים מאובטחים ואין לאחסן מפתחות סודיים בתוכנות שירות.

חיבור רשת השירות חייב להבטיח זמינות גבוהה ואספקת שירות רציפה.

הקמת מנגנון לגילוי ומניעת חדירות והתקפות רשת על המערכת

הטיוטה קובעת בבירור כי על היחידה לנהל את הפגיעויות והחולשות של מערכת הבנקאות המקוונת באמצעות התכנים הבסיסיים הבאים:

יש לנקוט באמצעים למניעה, גילוי וזיהוי שינויים באתר האינטרנט ובתוכנת יישום הבנקאות המקוונת.

להקים מנגנון לגילוי ומניעת חדירות והתקפות רשת על מערכת הבנקאות המקוונת.

לתאם עם יחידות ניהול המדינה ושותפי טכנולוגיית המידע כדי לאתר במהירות אירועים ומצבים של אובדן אבטחת מידע ובטיחות ולנקוט באמצעי מניעה בזמן.

עדכון מידע על פגיעויות אבטחה שפורסמו הקשורות לתוכנות מערכת, מערכות ניהול מסדי נתונים ותוכנות יישומים בהתאם למידע ממערכת ניקוד הפגיעויות המשותפת.

סרוק אחר נקודות תורפה וחולשות של מערכת הבנקאות המקוונת לפחות פעם בשנה או בעת קבלת מידע הקשור לפגיעויות וחולשות חדשות. הערכת ההשפעה והסיכון של כל נקודות תורפה וחולשה טכנית שהתגלו במערכת והצעת פתרונות ותוכניות לטיפול.

הטמע עדכוני תיקוני אבטחה או אמצעי מניעה בזמן המבוססים על הערכת השפעה וסיכונים.

baochinhphu.vn

מָקוֹר