Principes voor het waarborgen van de veiligheid en beveiliging van het systeem voor het aanbieden van online bankdiensten

Volgens het ontwerp moet het systeem voor online bankieren voldoen aan de regelgeving inzake het waarborgen van de beveiliging van informatiesystemen op niveau 3 of hoger, overeenkomstig de wet inzake het waarborgen van de beveiliging van informatiesystemen op elk niveau en de regelgeving van de Staatsbank inzake de beveiliging van informatiesystemen bij bankactiviteiten.

Zorg voor de vertrouwelijkheid en integriteit van klantgegevens. Zorg dat het online bankierensysteem beschikbaar is om continu diensten te kunnen verlenen.

Klanttransacties worden beoordeeld op minimale risiconiveaus op basis van elke klantgroep, transactietype en transactielimiet (indien van toepassing). Op basis daarvan worden geschikte transactieauthenticatiemethoden beschikbaar gesteld waaruit klanten kunnen kiezen, in overeenstemming met de regelgeving: Pas multi-factorauthenticatie toe bij het wijzigen van klant-ID-gegevens; pas authenticatiemethoden toe voor elke klantgroep, transactietype en transactielimiet in overeenstemming met de regelgeving; voor transacties in meerdere stappen moet ten minste één authenticatiemaatregel worden toegepast bij de laatste goedkeuringsstap.

Voer jaarlijks beveiligingscontroles en beoordelingen van het online bankierensysteem uit.

Regelmatig risico's en potentiële risico's identificeren en de oorzaken van risico's vaststellen, tijdig maatregelen treffen om risico's bij het aanbieden van bankdiensten op internet te voorkomen, te beheersen en aan te pakken.

De IT-infrastructuurapparatuur die online bankieren mogelijk maakt, moet auteursrechtelijk beschermd zijn en een duidelijke herkomst en bron hebben. Voor apparatuur die het einde van de levenscyclus nadert en niet langer door de fabrikant wordt ondersteund, moet het apparaat een upgrade- en vervangingsplan hebben volgens de aankondiging van de fabrikant. Dit garandeert dat de infrastructuurapparatuur geschikt is voor de installatie van nieuwe softwareversies.

Heeft firewalls, bewakingssystemen en waarschuwingen voor ongebruikelijk gedrag

De eenheid moet een netwerk-, communicatie- en beveiligingssysteem opzetten dat aan de volgende minimumvereisten voldoet:

Er zijn minimale beveiligingsoplossingen, waaronder: applicatiefirewall, databasefirewall, gecentraliseerd bewakings- en waarschuwingssysteem voor aanvallen of ongebruikelijk gedrag.

Klantgegevens worden niet opgeslagen op de internetverbindingspartitie en de DMZ-partitie (tussenpartitie tussen het interne netwerk en het internet).

Stel een beleid in om de services en gateways die verbinding maken met het onlinebankingsysteem te beperken.

Verbindingen van buiten het interne netwerk met het systeem voor online bankieren voor administratieve doeleinden worden alleen gemaakt in gevallen waarin verbinding maken vanaf het interne netwerk niet mogelijk is. Hierbij moet de veiligheid worden gewaarborgd en moet ten minste aan de volgende voorschriften worden voldaan: Moet worden goedgekeurd door een bevoegd persoon nadat deze het doel en de verbindingsmethode heeft beoordeeld. Moet beschikken over een plan voor toegangsbeheer en veilig beheer van het systeem op afstand, bijvoorbeeld via een virtueel privénetwerk (VPN) of een equivalent daarvan. Verbindende apparaten moeten zijn voorzien van beveiligingssoftware. Moeten gebruikmaken van multi-factor-authenticatie bij het inloggen op het systeem. Moeten gebruikmaken van beveiligde, gecodeerde communicatieprotocollen en mogen geen geheime sleutels in hulpprogramma's opslaan.

De servicenetwerkverbinding moet een hoge beschikbaarheid en continue dienstverlening garanderen.

Stel een mechanisme in om indringers en netwerkaanvallen op het systeem te detecteren en te voorkomen

In het ontwerp staat ook duidelijk dat de eenheid de kwetsbaarheden en zwakheden van het online bankieren-systeem moet beheren met de volgende basisinhoud:

Zorg dat u maatregelen treft om wijzigingen aan de website en de software voor de online bankiertoepassing te voorkomen, te detecteren en te signaleren.

Stel een mechanisme in om indringers en netwerkaanvallen op het online bankierensysteem te detecteren en te voorkomen.

Werk samen met de beheerseenheden van de staat en partners op het gebied van informatietechnologie om incidenten en situaties van verlies van informatiebeveiliging en -veiligheid snel te signaleren en tijdig preventieve maatregelen te nemen.

Werk informatie bij over gepubliceerde beveiligingsproblemen met betrekking tot systeem-, databasebeheer- en applicatiesoftware op basis van de informatie uit het Common Vulnerability Scoring System.

Scan minimaal eenmaal per jaar of bij ontvangst van informatie over nieuwe kwetsbaarheden en zwakke punten in het online bankierensysteem op kwetsbaarheden en zwakke punten. Beoordeel de impact en het risico van elke ontdekte kwetsbaarheid en technische zwakheid van het systeem en stel oplossingen en plannen voor om deze aan te pakken.

Reactie (0)