Prinsipper for å sikre systemsikkerhet og -sikkerhet for å tilby nettbanktjenester

I følge utkastet må nettbanksystemet overholde forskrifter om sikring av informasjonssystemsikkerhet på nivå 3 eller høyere i henhold til loven om sikring av informasjonssystemsikkerhet på hvert nivå og forskrifter fra Statsbanken om informasjonssystemsikkerhet i bankvirksomhet.

Sørg for konfidensialiteten og integriteten til kundeinformasjon; sørg for at nettbanksystemet er tilgjengelig for kontinuerlig levering av tjenester.

Kundetransaksjoner vurderes for minimumsrisikonivåer i henhold til hver kundegruppe, transaksjonstype og transaksjonsgrense (hvis noen), og på dette grunnlaget tilbys passende transaksjonsautentiseringsmetoder som kundene kan velge, i samsvar med forskriftene: Bruk flerfaktorautentisering ved endring av kundeidentifikasjonsinformasjon; bruk autentiseringsmetoder for hver kundegruppe, transaksjonstype og transaksjonsgrense i henhold til forskriftene; for flertrinnstransaksjoner må minst ett autentiseringstiltak brukes i det endelige godkjenningstrinnet.

Gjennomfør årlige sikkerhetskontroller og vurderinger av nettbanksystemet.

Regelmessig identifisere risikoer, potensielle risikoer og bestemme årsakene til risikoer, raskt iverksette tiltak for å forebygge, kontrollere og håndtere risikoer ved å tilby banktjenester på internett.

IT-infrastrukturutstyr som tilbyr nettbanktjenester må ha opphavsrett, tydelig opprinnelse og kilde. For utstyr som nærmer seg slutten av produktets livssyklus og ikke lenger vil bli støttet av produsenten, må enheten ha en oppgraderings- og utskiftingsplan i henhold til produsentens kunngjøring, som sikrer at infrastrukturutstyret er i stand til å installere nye programvareversjoner.

Har brannmurer, overvåkingssystemer og varsler for uvanlig oppførsel

Enheten må etablere et nettverk, kommunikasjons- og sikkerhetssystem som oppfyller følgende minimumskrav:

Det finnes minimumssikkerhetsløsninger, inkludert: Applikasjonsbrannmur; databasebrannmur; sentralisert overvåkings- og varslingssystem for angrep eller uvanlig oppførsel.

Kundeinformasjon lagres ikke i internettforbindelsespartisjonen og DMZ-partisjonen (mellompartisjonen mellom det interne nettverket og Internett).

Sett opp en policy for å begrense tjenester og gatewayer som kobler seg til nettbanksystemet.

Tilkoblinger utenfra det interne nettverket til nettbanksystemet for administrasjonsformål gjøres kun i tilfeller der det ikke er mulig å koble til fra det interne nettverket og ivareta sikkerheten, i samsvar med minst følgende forskrifter: Må godkjennes av en autorisert person etter å ha gjennomgått formålet med og metoden for tilkoblingen; må ha en plan for tilgangsstyring, sikker ekstern systemadministrasjon, for eksempel bruk av et virtuelt privat nettverk eller tilsvarende; tilkoblingsenheter må ha sikkerhetsprogramvare installert; må bruke flerfaktorautentisering ved pålogging i systemet; bruk sikre krypterte kommunikasjonsprotokoller og ikke lagre hemmelige nøkler i verktøyprogramvare.

Tilkoblingen til tjenestenettverket må sikre høy tilgjengelighet og kontinuerlig tjenestelevering.

Etablere en mekanisme for å oppdage og forhindre inntrenging og nettverksangrep på systemet

Utkastet slår også tydelig fast at enheten må håndtere sårbarhetene og svakhetene i nettbanksystemet med følgende grunnleggende innhold:

Ha tiltak for å forhindre, oppdage og oppdage endringer på nettstedet og programvaren for nettbank.

Etablere en mekanisme for å oppdage og forhindre inntrenging og nettverksangrep på nettbanksystemet.

Koordinere med statlige forvaltningsenheter og IT-partnere for raskt å gripe tak i hendelser og situasjoner med tap av informasjonssikkerhet og -sikkerhet, og iverksette forebyggende tiltak i tide.

Oppdater informasjon om publiserte sikkerhetsproblemer knyttet til systemprogramvare, databaseadministrasjonssystemer og applikasjonsprogramvare i henhold til informasjon fra Common Vulnerability Scoring System.

Skann etter sårbarheter og svakheter i nettbanksystemet minst én gang i året, eller når du mottar informasjon knyttet til nye sårbarheter og svakheter. Vurder virkningen og risikoen for hver oppdaget sårbarhet og teknisk svakhet i systemet, og foreslå løsninger og planer for håndtering.

Implementer sikkerhetsoppdateringer eller rettidige forebyggende tiltak basert på konsekvens- og risikovurdering.

baochinhphu.vn

Kilde