Phần mềm ứng dụng Online Banking mới trước khi thực hiện triển khai cần làm gì?

Nội dung chính

Từ 01/01/2025, phần mềm ứng dụng Online Banking mới trước khi thực hiện triển khai cần làm gì?

Căn cứ khoản 4 Điều 7 Thông tư 50/2024/TT-NHNN quy định như sau:

Phần mềm ứng dụng Onling Banking

...

4. Trước khi triển khai phần mềm ứng dụng Online Banking mới, đơn vị phải đánh giá những rủi ro của quá trình triển khai đối với hoạt động nghiệp vụ, các hệ thống công nghệ thông tin liên quan và lập, triển khai các phương án hạn chế, khắc phục rủi ro.

Như vậy, theo quy định pháp luật, trước khi thực hiện triển khai phần mềm ứng dụng Online Banking mới đơn vị cần đánh giá các rủi ro có thể phát sinh trong quá trình triển khai, ảnh hưởng đến hoạt động nghiệp vụ và các hệ thống công nghệ thông tin liên quan, đồng thời xây dựng và thực hiện các phương án để giảm thiểu và khắc phục các rủi ro này.

Phần mềm ứng dụng Online Banking mới trước khi thực hiện
triển khai cần làm gì? (Hình từ internet)

Trước khi vận hành phần mềm ứng dụng Online Banking phải đáp ứng có yêu cầu gì?

Căn cứ khoản 3 Điều 7 Thông tư 50/2024/TT-NHNN quy định trước khi được vận hành chính thức thì phần mềm ứng dụng Online Banking phải được kiểm tra, thử nghiệm và phải đáp ứng các yêu cầu tối thiểu như sau:

- Đơn vị cần xây dựng và phê duyệt kế hoạch cùng kịch bản thử nghiệm phần mềm ứng dụng Online Banking, trong đó phải xác định rõ các điều kiện liên quan đến tính an toàn và bảo mật mà hệ thống cần đáp ứng.

- Phát hiện và loại trừ các lỗi kỹ thuật cũng như các nguy cơ gian lận có thể xảy ra trong quá trình nhập liệu đầu vào.

- Thực hiện các hoạt động dò quét để phát hiện lỗ hổng, điểm yếu về kỹ thuật và đánh giá khả năng phòng, chống các hình thức tấn công như Injection (SQL, XPath, LDAP), Cross-site Scripting (XSS), Cross-site Request Forgery (XSRF), Server-Side Request Forgery (SSRS), Brute-Force, cũng như các lỗi bảo mật liên quan đến kiểm soát truy cập, xác thực, mã hóa, cấu hình không an toàn, ghi nhật ký, và giám sát bảo mật.

- Ghi lại các lỗi được phát hiện cùng quá trình xử lý, đặc biệt là các lỗi liên quan đến an toàn và bảo mật, trong các báo cáo kiểm tra và thử nghiệm hệ thống.

- Đảm bảo các tính năng an toàn và bảo mật được thử nghiệm trên các trình duyệt phổ biến (áp dụng với phần mềm ứng dụng Online banking cung cấp qua nền tảng web) và trên các hệ điều hành của thiết bị di động đối với ứng dụng Mobile Banking. Đồng thời, cung cấp cơ chế kiểm tra và thông báo kịp thời cho khách hàng khi sử dụng ứng dụng trên các trình duyệt và phiên bản hệ điều hành đã được kiểm tra và xác nhận an toàn.

Quy định về an toàn, bảo mật trước khi phát triển phần mềm ứng dụng Online Banking?

Căn cứ khoản 1 Điều 7 Thông tư 50/2024/TT-NHNN quy định như sau:

Phần mềm ứng dụng Onling Banking

1. Các yêu cầu về an toàn, bảo mật phải được xác định trước khi phát triển phần mềm và tổ chức, triển khai trong quá trình phát triển (phân tích, thiết kế, xây dựng, kiểm thử), vận hành chính thức và duy trì hoạt động phần mềm. Các hồ sơ, tài liệu về an toàn, bảo mật của phần mềm phải được hệ thống hóa, lưu trữ, cập nhật đồng bộ khi hệ thống có thay đổi và kiểm soát chặt chẽ, hạn chế tiếp cận.

Như vậy, theo quy định pháp luật, yêu cầu an toàn, bảo mật phải được xác định trước và áp dụng xuyên suốt quá trình phát triển, vận hành và duy trì phần mềm. Hồ sơ, tài liệu liên quan cần được hệ thống hóa, lưu trữ, cập nhật đồng bộ khi có thay đổi, đồng thời kiểm soát chặt chẽ và hạn chế truy cập.

Phần mềm ứng dụng Online Banking có bắt buộc phải có chức năng lưu trữ trực tuyến thông tin không?

Căn cứ Khoản 7 Điều 7 Thông tư 50/2024/TT-NHNN quy định về chức năng lưu trữ trực tuyến thông tin về thiết bị thực hiện các giao dịch của khách hàng trong phần mềm ứng dụng Online Banking như sau:

Phần mềm ứng dụng Online Banking

...

7. Phần mềm ứng dụng Online Banking phải có chức năng lưu trữ trực tuyến thông tin về thiết bị thực hiện các giao dịch của khách hàng, nhật ký (log) giao dịch, nhật ký xác nhận giao dịch tối thiểu trong vòng 03 tháng và sao lưu tối thiểu 01 năm, trong đó gồm:

a) Thông tin định danh về thiết bị;

(i) Đối với thiết bị di động: thông tin để định danh duy nhất thiết bị (ví dụ như: số IMEI hoặc Serial hoặc WLAN MAC hoặc Android ID hoặc thông tin định danh khác);

(ii) Đối với máy tính: thông tin để định danh duy nhất máy tính (ví dụ như địa chỉ MAC hoặc kết hợp các thông tin liên quan đến máy tính để có thể định danh duy nhất máy tính).

b) Nhật ký (log) giao dịch tối thiểu gồm: mã giao dịch, mã khách hàng, thời gian khởi tạo giao dịch, loại giao dịch, giá trị giao dịch (nếu có);

c) Nhật ký (log) xác nhận giao dịch tối thiểu gồm: hình thức xác nhận giao dịch, thời gian xác nhận giao dịch. Trường hợp xác nhận giao dịch bằng hình thức khớp đúng thông tin sinh trắc học, đơn vị thực hiện lưu trữ thông tin sinh trắc học của khách hàng khi thực hiện giao dịch đối với tối thiểu 10 giao dịch gần nhất của khách hàng đó.

Như vậy, theo quy định pháp luật, phần mềm ứng dụng Online Banking bắt buộc phải có chức năng lưu trữ trực tuyến thông tin về thiết bị thực hiện các giao dịch của khách hàng. Bên cạnh đó, nhật ký xác nhận giao dịch tối thiểu 03 tháng và sao lưu ít nhất 01 năm.