Hệ thống cung cấp dịch vụ Internet Banking phải được xếp hạng theo quy định bảo mật của NHNN

Đồng thời, đảm bảo bí mật thông tin khách hàng, tính toàn vẹn dữ liệu giao dịch khách hàng và mọi giao dịch tài chính của khách hàng phải được xác thực tối thiểu hai yếu tố.

Các trang thiết bị hạ tầng kỹ thuật CNTT cung cấp dịch vụ Internet Banking phải có bản quyền, nguồn gốc, xuất xứ rõ ràng; trường hợp không còn hỗ trợ của nhà sản xuất, không có khả năng nâng cấp để cài đặt phần mềm phiên bản mới đơn vị phải có kế hoạch nâng cấp, thay thế theo thông báo của nhà sản xuất.

Dự thảo nêu rõ, phần mềm Internet Banking trên thiết bị di động phải đảm bảo tuân thủ các quy định tại Thông tư và các yêu cầu: chương trình nguồn phải được áp dụng các biện pháp bảo vệ để hạn chế dịch ngược; phần mềm dùng để tạo OTP phải sử dụng mã khóa do đơn vị cung cấp để kích hoạt trước khi sử dụng. Một mã khóa kích hoạt chỉ được sử dụng cho một thiết bị di động; khi truy cập phần mềm phải được xác thực.

Trường hợp xác thực sai liên tiếp quá số lần do đơn vị quy định, nhưng không được quá 5 lần, phần mềm phải tự động khoá tạm thời không cho khách hàng tiếp tục sử dụng.

Dự thảo cũng quy định hạn mức giao dịch tài chính đối với khách hàng cá nhân gồm: giao dịch loại A là các giao dịch tài chính có số tiền dưới 50 triệu đồng; giao dịch loại B là các giao dịch tài chính có số tiền dưới 200 triệu đồng; giao dịch loại C là các giao dịch tài chính có số tiền dưới 500 triệu đồng; giao dịch loại D là các giao dịch tài chính có số tiền từ 500 triệu đồng trở lên.

Đối với khách hàng tổ chức, hạn mức giao dịch tài chính loại B là các giao dịch tài chính có số tiền dưới 500 triệu đồng; giao dịch loại C là các giao dịch tài chính có số tiền dưới 1,5 tỷ đồng; giao dịch loại D là các giao dịch tài chính có số tiền trên 1,5 tỷ đồng.

Các cơ quan, đơn vị phải áp dụng các biện pháp đảm bảo an toàn, bảo mật cơ sở dữ liệu khách hàng. Dữ liệu nhạy cảm của khách hàng khi lưu trữ, truyền trên mạng Internet phải được mã hóa hoặc che dấu.

Cần thiết lập quyền truy cập vừa đủ cho nhân sự thực hiện nhiệm vụ khi truy cập dữ liệu khách hàng; có biện pháp giám sát mỗi lần truy cập. Có biện pháp quản lý truy cập, tiếp cận các thiết bị, phương tiện lưu trữ dữ liệu về thông tin khách hàng; ngăn chặn rò rỉ, lộ lọt dữ liệu…

L.L