Quyết định 630/QĐ-NHNN năm 2017 về Kế hoạch áp dụng giải pháp về an toàn bảo mật trong thanh toán trực tuyến và thanh toán thẻ ngân hàng do Ngân hàng Nhà nước Việt Nam ban hành

NGÂN HÀNG NHÀ NƯỚC
VIỆT NAM
-------

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM
Độc lập - Tự do - Hạnh phúc
---------------

Số: 630/QĐ-NHNN

Hà Nội, ngày 31 tháng 03 năm 2017

Nơi nhận:
- Như Điều 3;
- Ban Lãnh đạo NHNN;
- Lưu: VP, CNTH.

KT. THỐNG ĐỐC
PHÓ THỐNG ĐỐC




Nguyễn Kim Anh

STT

Giao dịch1

Biện pháp xác thực tối thiểu2

1

Giao dịch loại A

- Tên đăng nhập, mật khẩu hoặc mã PIN

2

Giao dịch loại B

- SMS OTP.

- Hoặc Thẻ ma trận OTP.

- Hoặc Token OTP loại cơ bản, không có chức năng xác thực người dùng sử dụng Token.

3

Giao dịch loại C

- Soft OTP hoặc Token OTP loại cơ bản, có chức năng xác thực người dùng sử dụng phần mềm, Token.

- Giải pháp xác thực qua hai kênh.

- Hoặc xác thực bằng dấu hiệu nhận dạng sinh trắc học.

4

Giao dịch loại D

- Soft OTP hoặc Token OTP loại nâng cao, có chức năng ký giao dịch.

- Hoặc xác thực bằng thiết bị U2F/UAF.

- Hoặc xác thực bằng chứng thư số.

STT

Loại giao dịch

Giao dịch loại A

Giao dịch loại B

Giao dịch loại C

Giao dịch loại D

I

Khách hàng cá nhân

1

- Các giao dịch tra cứu thông tin

- Chuyển tiền trong ngân hàng, cùng chủ tài khoản

Tất cả các giao dịch

2

Các giao dịch thanh toán hóa đơn dịch vụ với mã khách hàng cố định (như dịch vụ điện, nước, viễn thông, phí giao thông).

Giao dịch có hạn mức:

+ Hạn mức giao dịch 1 ngày ≤ 5 triệu VND

Giao dịch có hạn mức:

+ Hạn mức giao dịch 1 ngày > 5 triệu VND đến 100 triệu VND và theo đăng ký của khách hàng.

3

Chuyển tiền trong ngân hàng, khác chủ tài khoản

Giao dịch có hạn mức:

+ Hạn mức giao dịch 1 ngày ≤ 100 triệu VND

Giao dịch có hạn mức:

+ Hạn mức 1 giao dịch < 500 triệu VND

+ Hạn mức giao dịch 1 ngày < 1,5 tỷ VND

Giao dịch có hạn mức:

+ Hạn mức 1 giao dịch ≥ 500 triệu VND

+ Hạn mức giao dịch 1 ngày theo đăng ký của khách hàng

4

Chuyển tiền liên ngân hàng trong nước

Giao dịch có hạn mức:

+ Hạn mức giao dịch 1 ngày ≤ 100 triệu VND

Giao dịch có hạn mức:

+ Hạn mức 1 giao dịch < 500 triệu VND

+ Hạn mức giao dịch 1 ngày < 1,5 tỷ VND

Giao dịch có hạn mức:

+ Hạn mức 1 giao dịch ≥ 500 triệu VND

+ Hạn mức giao dịch 1 ngày theo đăng ký của khách hàng

5

Chuyển tiền liên ngân hàng ra nước ngoài

Giao dịch có hạn mức:

+ Hạn mức 1 giao dịch < 200 triệu VND

+ Hạn mức giao dịch 1 ngày < 1 tỷ VND

Giao dịch có hạn mức:

+ Hạn mức 1 giao dịch ≥ 200 triệu VND

+ Hạn mức giao dịch 1 ngày theo đăng ký của khách hàng

II

Khách hàng doanh nghiệp

1

Các giao dịch tra cứu thông tin

Tất cả các giao dịch

2

Chuyển tiền trong ngân hàng, cùng chủ tài khoản

Tất cả các giao dịch

3

Chuyển tiền trong ngân hàng, khác chủ tài khoản

Giao dịch có hạn mức:

+ Hạn mức 1 giao dịch < 1 tỷ VND

+ Hạn mức giao dịch 1 ngày < 10 tỷ VND

Giao dịch có hạn mức:

+ Hạn mức 1 giao dịch ≥ 1 tỷ VND

+ Hạn mức giao dịch 1 ngày theo đăng ký của khách hàng

4

Chuyển tiền liên ngân hàng trong nước

Giao dịch có hạn mức:

+ Hạn mức 1 giao dịch < 1 tỷ VND

+ Hạn mức giao dịch 1 ngày < 10 tỷ VND

Giao dịch có hạn mức:

+ Hạn mức 1 giao dịch ≥ 1 tỷ VND

+ Hạn mức giao dịch 1 ngày theo đăng ký của khách hàng

5

Chuyển tiền liên ngân hàng ra nước ngoài

Giao dịch có hạn mức:

+ Hạn mức 1 giao dịch < 500 triệu VND

+ Hạn mức giao dịch 1 ngày < 5 tỷ VND

Giao dịch có hạn mức:

+ Hạn mức 1 giao dịch ≥ 500 triệu VND

+ Hạn mức giao dịch 1 ngày theo đăng ký của khách hàng

STT

Giải pháp

Chi tiết về giải pháp

1

SMS OTP

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống ngân hàng trực tuyến sẽ gửi tin nhắn SMS có chứa mã OTP tới điện thoại khách hàng đã đăng ký trước.

Khách hàng nhập mã OTP trên giao diện thanh toán trực tuyến để hoàn thành giao dịch để thanh toán.

2

Thẻ ma trận OTP

Thẻ ma trận là một bảng 2 chiều (dòng, cột), tương ứng với mỗi dòng, cột là một mã OTP.

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống ngân hàng trực tuyến sẽ thông báo số dòng, cột trên thẻ ma trận để khách hàng nhập mã OTP tương ứng hoàn thành giao dịch thanh toán.

3

Soft OTP loại cơ bản

Phần mềm tạo mã OTP (Soft OTP) thường được cài đặt trên điện thoại di động/ máy tính bảng đã đăng ký với Ngân hàng. Đối với loại cơ bản, mã OTP được sinh ngẫu nhiên theo thời gian, đồng bộ với hệ thống thanh toán trực tuyến tại ngân hàng.

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống ngân hàng trực tuyến yêu cầu khách hàng nhập mã OTP được sinh bởi Soft OTP để hoàn thành giao dịch thanh toán.

4

Soft OTP loại nâng cao

Soft OTP loại nâng cao thường được cài đặt trên điện thoại di động/ máy tính bảng đã đăng ký với Ngân hàng. Đối với loại nâng cao, mã OTP được tạo kết hợp với mũ của từng giao dịch (transaction signing).

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống ngân hàng trực tuyến tạo ra một mã giao dịch thông báo cho khách hàng.

Khách hàng nhập mã giao dịch vào Soft OTP để phần mềm tạo ra mã OTP.

Sau đó khách hàng nhập mã OTP trên giao diện thanh toán trực tuyến để hoàn thành giao dịch thanh toán.

5

Token OTP loại cơ bản

Token OTP là thiết bị tạo mã OTP. Đối với loại cơ bản, mã OTP được sinh ngẫu nhiên theo thời gian, đồng bộ với hệ thống thanh toán trực tuyến tại ngân hàng.

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống ngân hàng trực tuyến yêu cầu khách hàng nhập mã OTP được sinh bởi Token OTP để hoàn thành giao dịch thanh toán.

6

Token OTP loại nâng cao

Token OTP loại nâng cao là thiết bị tạo mã OTP. Trong đó mã OTP được tạo kết hợp với mã của từng giao dịch (transaction signing).

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống ngân hàng trực tuyến tạo ra một mã giao dịch thông báo cho khách hàng.

Khách hàng nhập mã giao dịch vào Token OTP để thiết bị tạo ra mã OTP.

Sau đó khách hàng nhập mã OTP trên giao diện thanh toán trực tuyến để hoàn thành giao dịch thanh toán.

7

Xác thực hai kênh

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống gửi thông tin yêu cầu xác thực giao dịch đến thiết bị di động của khách hàng qua kênh thoại hoặc qua mã USSD hoặc qua phần mềm chuyên dụng.

Khách hàng phản hồi trực tiếp qua kênh đã kết nối để xác nhận hoặc không xác nhận thực hiện giao dịch.

8

Sinh trắc học

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống ngân hàng trực tuyến yêu cầu khách hàng trình diện dấu hiệu nhận dạng sinh trắc học của khách hàng khó có khả năng làm giả để xác thực giao dịch (như khuôn mặt, tĩnh mạch ngón tay hoặc bàn tay, mống mắt, giọng nói).

9

Universal 2nd Factor/ Universal Authentication Framework (U2F/UAF)

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống ngân hàng trực tuyến yêu cầu khách hàng sử dụng thiết bị U2F/UAF giao tiếp qua cổng USB hoặc không dây (Bluetooth, NFC). Sau khi xác thực sử dụng thiết bị bằng mã truy cập hoặc dấu hiệu sinh trắc học, thiết bị U2F/UAF sẽ tự động giao tiếp với trình duyệt và máy chủ xác thực để xác thực địa chỉ website IB và giao dịch.

10

Chữ ký số

Khi thực hiện giao dịch thanh toán trực tuyến, hệ thống ngân hàng trực tuyến yêu cầu khách hàng nhập chứng thư số (lưu trên thiết bị USB hoặc SIM điện thoại)

Khách hàng phải nhập mã truy cập thiết bị USB hoặc SIM điện thoại và chọn chứng thư số để ký giao dịch.