Ngân hàng chỉ được cung cấp thông tin cho bên thứ 3 khi có sự đồng ý của người dùng

Theo dự thảo mới nhất của NHNN đang được đưa ra lấy ý kiến cho biết, các chuẩn bảo mật mới cho hệ thống ngân hàng cần phải có sự cho phép của người sở hữu các thông tin mà ngân hàng có được cho bên thứ 3.

NHNN cho biết đang dự thảo sửa đổi Thông tư 47/2014/TT-NHNN quy định về các yêu cầu kỹ thuật an toàn, bảo mật đối với trang thiết bị phục vụ thanh toán thẻ ngân hàng.

Theo đó, trước những thay đổi về khoa học công nghệ và thách thức mới về an ninh, bảo mật công nghệ thông tin, NHNN đã dự thảo Thông tư sửa đổi bổ sung một số điều Thông tư 47/2014/TT-NHNN để cập nhật các quy định kỹ thuật mới về an ninh, bảo mật đối với hệ thống thanh toán thẻ.

Hệ thống các thông tin mà ngân hàng đang quản lý cần được sự cho phép khi cung cấp cho bên thứ 3

Hệ thống các thông tin mà ngân hàng đang quản lý cần được sự cho phép khi cung cấp cho bên thứ 3.

Dự thảo thông tư đang được đi gửi lấy ý kiến rộng rãi, sau đó sẽ được tổng hợp, tiếp thu và ban hành theo đúng trình tự ban hành văn bản quy phạm pháp luật.

Cùng với đó, các tài khoản vận hành và tài khoản quản trị, ngân hàng và trung gian thanh toán cần quy định và thu hồi, loại bỏ hoặc vô hiệu hóa các tài khoản không sử dụng, hết hạn sử dụng, không hoạt động trong khoảng thời gian tối đa 90 ngày hoặc không kích hoạt trong một khoảng thời gian.

Số thẻ phải được bảo mật khi hiển thị (chỉ hiển thị tối đa 6 số đầu và 4 số cuối) và chỉ một số nhân viên có thẩm quyền thao tác nghiệp vụ hoặc cơ quan thẩm quyền, chủ thẻ mới được phép xem thông tin đầy đủ.

Bên cạnh đó, ngân hàng, tổ chức thanh toán thẻ và trung gian thanh toán không cung cấp địa chỉ mạng nội bộ và thông tin định tuyến cho tổ chức khác khi chưa được phép, cần có biện pháp để bảo vệ những thông tin này khi kết nối với bên thứ ba.

Các tổ chức hoạt động chỉ chấp nhận các truy cập thực sự cần thiết theo thiết kế hệ thống đến môi trường dữ liệu chủ thẻ và chặn toàn bộ các truy cập khác. Ngoài ra, ngăn chặn kết nối internet của các máy trạm có quyền truy cập vào dữ liệu thẻ dạng rõ (chưa che dấu, mã hóa).

Trong hệ thống trang thiết bị phục vụ thanh toán thẻ, cần mã hoá tất cả các kết nối truy cập quản trị từ xa bằng phương pháp mã hoá mạnh, nhằm giảm thiểu rủi ro an ninh mạng.

Để đảm bảo an toàn bảo mật với các trang thiết bị thanh toán thẻ, các ngân hàng và trung gian thanh toán cần xem xét công nghệ phần mềm ít nhất một năm một lần. Nếu phát hiện không còn được nhà cung cấp hỗ trợ hoặc không đáp ứng nhu cầu bảo mật, các đơn vị cần khắc phục và thay thế.

Việc truy cập vào tất cả thành phần hệ thống thanh toán thẻ phải được xác thực bằng ít nhất một trong các phương thức như mã khóa bí mật, thiết bị, thẻ xác thực và sinh trắc học.

NHNN cho biết, quy định thuộc Thông tư 47/2014/TT-NHNN là quy định về yêu cầu kỹ thuật an ninh,bảo mật trang thiết bị phục vụ hệ thống thanh toán thẻ và không điều chỉnh đối với tài khoản khách hàng của ngân hàng.