Hệ thống Online Banking được hiểu như thế nào theo Thông tư 50/2024/TT-NHNN?

Nội dung chính

Hệ thống Online Banking được hiểu như thế nào theo Thông tư 50/2024/TT-NHNN?

Căn cứ khoản 2 Điều 2 Thông tư 50/2024/TT-NHNN quy định về khái niệm hệ thống Online Banking như sau:

Giải thích từ ngữ và thuật ngữ

...

2. Hệ thống Online Banking là một tập hợp có cấu trúc các trang thiết bị phần cứng, phần mềm, cơ sở dữ liệu, hệ thống mạng truyền thông và an toàn, bảo mật để sản xuất, truyền nhận, thu thập, xử lý, lưu trữ và trao đổi thông tin số phục vụ cho việc quản lý và cung cấp dịch vụ Online Banking, do đơn vị thiết lập, quản trị, vận hành hoặc thuê bên thứ ba thiết lập, quản trị, vận hành.

Như vậy, theo quy định trên, hệ thống Online Banking được hiểu là một tập hợp có cấu trúc các thành phần phần cứng, phần mềm, cơ sở dữ liệu, mạng truyền thông và các biện pháp bảo mật, an toàn, nhằm hỗ trợ sản xuất, truyền tải, xử lý, lưu trữ và trao đổi thông tin số phục vụ quản lý và cung cấp dịch vụ. Hệ thống này có thể do đơn vị trực tiếp thiết lập, quản lý và vận hành hoặc thuê bên thứ ba thực hiện.

Hệ thống Online Banking được hiểu như thế nào
theo Thông tư 50/2024/TT-NHNN? (Hình từ internet)

Nguyên tắc chung về bảo đảm an toàn, bảo mật hệ thống thông tin cho việc cung cấp dịch vụ Online Banking là gì?

Căn cứ Điều 3 Thông tư 50/2024/TT-NHNN quy định về nguyên tắc chung về bảo đảm an toàn, bảo mật hệ thống thông tin cho việc cung cấp dịch vụ Online Banking như sau:

(1) Hệ thống Online Banking phải tuân thủ các quy định về bảo đảm an toàn hệ thống thông tin cấp độ 3 trở lên theo pháp luật. Đối với hệ thống cung cấp dịch vụ chuyển mạch tài chính và bù trừ điện tử, yêu cầu tuân thủ cấp độ 4 trở lên, theo tiêu chuẩn TCVN 11930:2017 (tiêu chuẩn Công nghệ thông tin - Các kỹ thuật an toàn - Yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ) và các quy định của Ngân hàng Nhà nước.

(2) Hệ thống phải bảo vệ tính bí mật và toàn vẹn thông tin khách hàng, đồng thời đảm bảo tính sẵn sàng để cung cấp dịch vụ liên tục.

(3) Giao dịch của khách hàng phải được phân loại và đánh giá mức độ rủi ro theo các yếu tố như nhóm khách hàng, hành vi sử dụng, loại giao dịch, hạn mức giao dịch. Đơn vị phải cung cấp các hình thức xác nhận giao dịch phù hợp, đảm bảo tuân thủ các quy định sau:

(i) Áp dụng hình thức xác nhận khi thay đổi thông tin khách hàng. Cụ thể, áp dụng tối thiểu 01 trong số các hình thức xác nhận quy định tại khoản 3, khoản 4, khoản 5, khoản 7, khoản 8, khoản 9 Điều 11 Thông tư 50/2024/TT-NHNN khi thay đổi thông tin định danh khách hàng;

(ii) Sử dụng các hình thức xác nhận giao dịch theo quy định tại Thông tư 50/TT-NHNN. Nếu văn bản quy phạm pháp luật hướng dẫn các dịch vụ quy định tại khoản 1 Điều 1 Thông tư 50/2024/TT-NHNN có quy định về hình thức xác nhận giao dịch, thì phải thực hiện theo quy định của văn bản pháp lý đó.

(iii) Đối với giao dịch nhiều bước, xác nhận phải được thực hiện tại bước phê duyệt cuối cùng.

(4) Hệ thống phải được kiểm tra và đánh giá an toàn, bảo mật định kỳ hàng năm.

(5) Đơn vị cần nhận diện và đánh giá rủi ro, xác định nguyên nhân và có biện pháp phòng ngừa, kiểm soát, xử lý kịp thời các rủi ro.

(6) Các thiết bị công nghệ thông tin cung cấp dịch vụ Online Banking phải có bản quyền, nguồn gốc, xuất xứ rõ ràng. Đối với thiết bị sắp hết vòng đời, đơn vị phải có kế hoạch nâng cấp hoặc thay thế, đồng thời tăng cường bảo mật cho hệ thống trong thời gian chờ nâng cấp.

(7) Các hệ thống cung cấp dịch vụ cổng thanh toán điện tử hoặc hỗ trợ thu hộ, chi hộ không phải tuân thủ một số quy định tại khoản 7, khoàn 9, khoản 10 Điều 7 và Mục 2 Chương II Thông tư 50/2024/TT-NHNN.

(8) Hệ thống Online Banking chỉ được cung cấp dịch vụ khi đảm bảo an toàn và bảo mật theo các quy định của Thông tư và pháp luật liên quan.

Máy chủ dự phòng trong hệ thống Online Banking có cần thiết không?

Theo khoản 1 Điều 5 Thông tư 50/2024/TT-NHNN quy định về Máy chủ dự phòng trong hệ thống Online Banking như sau:

Hệ thống máy chủ và phần mềm hệ thống

1. Yêu cầu đối với máy chủ:

a) Hiệu năng sử dụng tài nguyên máy chủ bao gồm: bộ xử lý trung tâm (CPU), bộ nhớ trong (RAM), thiết bị lưu trữ dữ liệu, thiết bị truy xuất dữ liệu khi lưu trữ hoặc truyền nhận, trung bình hàng tháng tối đa 80% công suất thiết kế;

b) Hệ thống Online Banking phải có máy chủ dự phòng bảo đảm tính sẵn sàng cao;

c) Tách biệt về lô-gíc hoặc vật lý với các máy chủ hoạt động nghiệp vụ khác;

d) Phải được kiểm tra, nâng cao mức độ an toàn, bảo mật (hardening) cho hệ điều hành, cập nhật các bản vá lỗi thường xuyên.

Như vậy, theo quy định trên, máy chủ dự phòng trong hệ thống Online Banking cần thiết phải có và phải đảm bảo tính sẵn sàng.

Hệ thống Online Banking bắt buộc có cơ sở dữ liệu dự phòng không?

Căn cứ khoản 2 Điều 6 Thông tư 50/2024/TT-NHNN quy định về hệ thống quản trị cơ sở dữ liệu như sau:

Hệ quản trị cơ sở dữ liệu

...

2. Hệ thống Online Banking phải có cơ sở dữ liệu dự phòng thảm họa, có khả năng thay thế cơ sở dữ liệu chính và bảo đảm đầy đủ, toàn vẹn dữ liệu giao dịch của khách hàng.

Như vậy, theo quy định tại Thông tư 50/2024/TT-NHNN, hệ thống Online Banking bắt buộc phải có cơ sở dữ liệu dự phòng.

Thông tư 50/2024/TT-NHNN có hiệu lực thi hành kể từ ngày 01 tháng 01 năm 2025, trừ trường hợp quy định tại khoản 2, khoản 3, khoản 4 Điều 22 Thông tư 50/2024/TT-NHNN.