Quy định của luật về trách nhiệm quản lý và quy trình vận hành của tổ chức trong hoạt động ngân hàng ra sao?
Nội dung chính
Quy định của luật về trách nhiệm quản lý và quy trình vận hành của tổ chức trong hoạt động ngân hàng ra sao?
Theo Điều 20 Thông tư 09/2020/TT-NHNN (Có hiệu lực từ 01/01/2021) quy định về trách nhiệm quản lý và quy trình vận hành của tổ chức như sau:
- Tổ chức ban hành các quy trình, tài liệu vận hành đối với hệ thống thông tin từ cấp độ 3 trở lên, tối thiểu bao gồm các nội dung: quy trình bật, tắt hệ thống; quy trình sao lưu, phục hồi dữ liệu; quy trình vận hành ứng dụng; quy trình xử lý sự cố; quy trình giám sát và ghi nhật ký hoạt động của hệ thống. Trong đó phải xác định rõ phạm vi, trách nhiệm của người sử dụng, vận hành hệ thống. Định kỳ tối thiểu mỗi năm một lần, tổ chức thực hiện rà soát, cập nhật, bổ sung các quy trình vận hành hệ thống thông tin để phù hợp thực tế.
- Tổ chức triển khai các quy trình đến toàn bộ các đối tượng tham gia vận hành và giám sát tuân thủ việc thực hiện các quy trình đã ban hành.
- Môi trường vận hành của hệ thống thông tin từ cấp độ 3 trở lên và các hệ thống thông tin có xử lý thông tin cá nhân của khách hàng phải đáp ứng yêu cầu:
+ Tách biệt với các môi trường phát triển, kiểm tra và thử nghiệm;
+ Áp dụng các giải pháp bảo đảm an toàn thông tin;
+ Không cài đặt các công cụ, phương tiện phát triển ứng dụng;
+ Loại bỏ hoặc tắt các tính năng, phần mềm tiện ích không sử dụng trên hệ thống thông tin.
- Đối với hệ thống thông tin xử lý giao dịch khách hàng phải đáp ứng yêu cầu sau:
+ Không để một cá nhân được đồng thời thực hiện các công việc khởi tạo và phê duyệt một giao dịch;
+ Áp dụng xác thực đa yếu tố tại bước phê duyệt cuối cùng khi thực hiện giao dịch tài chính phát sinh chuyển tiền điện tử liên ngân hàng có giá trị từ 100 triệu đồng trở lên (ngoại trừ hệ thống thanh toán xuyên suốt (Straight Though Process) đã có biện pháp xác thực tự động giao dịch giữa các hệ thống liên thông);
+ Áp dụng các biện pháp bảo đảm tính toàn vẹn dữ liệu giao dịch;
+ Mọi thao tác trên hệ thống phải được lưu vết, sẵn sàng cho kiểm tra, kiểm soát khi cần thiết."