Directive No. 03/CT-NHNN dated January 10, 2017, on the strengthening of security in electronic payment and card-based payment

• Official number: 03/CT-NHNN
• Legislation Type: Directive
• Organization: Ngân hàng Nhà nước Việt Nam
• Signer: Le Minh Hung
• Issued Date: 10/01/2017

NGÂN HÀNG NHÀ NƯỚC VIỆT NAM -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc --------------
Số: 03/CT-NHNN	Hà Nội, ngày 10 tháng 01 năm 2017

CHỈ THỊ

VỀ VIỆC TĂNG CƯỜNG ĐẢM BẢO AN NINH, AN TOÀN TRONG THANH TOÁN ĐIỆN TỬ VÀ THANH TOÁN THẺ

Để tăng cường công tác đảm bảo an ninh, an toàn và hạn chế thấp nhất rủi ro trong hoạt động thanh toán, thực hiện ý kiến chỉ đạo của Thủ tướng Chính phủ về việc đảm bảo an ninh, an toàn hoạt động thanh toán điện tử và thanh toán thẻ cũng như đảm bảo quyền lợi của khách hàng và tổ chức cung ứng dịch vụ thanh toán, tổ chức cung ứng dịch vụ trung gian thanh toán; Thống đốc Ngân hàng Nhà nước Việt Nam yêu cầu các đơn vị thuộc Ngân hàng Nhà nước Việt Nam, các tổ chức cung ứng dịch vụ thanh toán và các tổ chức cung ứng dịch vụ trung gian thanh toán thực hiện một số nội dung sau:

I. ĐỐI VỚI CÁC ĐƠN VỊ TẠI TRỤ SỞ CHÍNH NGÂN HÀNG NHÀ NƯỚC VIỆT NAM

Theo chức năng và nhiệm vụ của mình, các đơn vị tại trụ sở chính Ngân hàng Nhà nước Việt Nam thực hiện các nội dung sau:

1. Tổ chức triển khai nghiêm túc, có hiệu quả Đề án phát triển thanh toán không dùng tiền mặt tại Việt Nam giai đoạn 2016-2020 ban hành kèm theo Quyết định số 2545/QĐ-TTg ngày 30/12/2016 của Thủ tướng Chính phủ. Tiếp tục rà soát, tham mưu cho Thống đốc Ngân hàng Nhà nước Việt Nam nghiên cứu ban hành hoặc sửa đổi, bổ sung các văn bản quy phạm pháp luật liên quan đến thanh toán điện tử, thanh toán thẻ; các văn bản quy phạm pháp luật về an ninh, an toàn, bảo mật và các biện pháp xử lý các hành vi vi phạm pháp luật trong lĩnh vực thanh toán điện tử, thanh toán thẻ. Đẩy mạnh hoạt động quản lý, giám sát đối với các loại hình, phương tiện, hệ thống thanh toán điện tử mới tại Việt Nam.

2. Chủ động theo dõi, cập nhật tình hình an ninh mạng trong nước và quốc tế để cảnh báo cũng như chỉ đạo các đơn vị trong toàn Ngành kịp thời phòng chống, xử lý các rủi ro, lỗ hổng bảo mật công nghệ thông tin. Xây dựng chương trình hợp tác, trao đổi thông tin và phối hợp với Bộ Công an, Bộ Thông tin - Truyền thông trong phòng, chống tội phạm công nghệ cao cũng như triển khai các giải pháp an toàn, an ninh mạng trong thanh toán điện tử và thanh toán thẻ.

3. Tham mưu cho Thống đốc Ngân hàng Nhà nước Việt Nam ban hành lộ trình áp dụng các tiêu chuẩn quốc tế về an ninh, bảo mật như ISO 27001 cho hệ thống công nghệ thông tin, chuẩn PCI/DSS cho hệ thống thanh toán thẻ, các công nghệ bảo mật đa nhân tố mới để thay thế các công nghệ bảo mật cũ lạc hậu không an toàn. Chủ động nghiên cứu, tham mưu cho Thống đốc Ngân hàng Nhà nước Việt Nam triển khai thực hiện các hướng dẫn tại tài liệu Hướng dẫn về biện pháp khôi phục mạng đối với các cơ sở hạ tầng thị trường tài chính do Ủy ban về Thanh toán và Cơ sở Hạ tầng Thị trường Tài chính (CPMI) của Ngân hàng Thanh toán quốc tế (BIS) ban hành.

4. Tăng cường thanh tra, kiểm tra về an toàn, bảo mật trong thanh toán điện tử và thanh toán thẻ để đánh giá, phát hiện, cảnh báo sớm các rủi ro, xử lý các vi phạm pháp luật trong thanh toán điện tử, thanh toán thẻ.

5. Xây dựng kế hoạch truyền thông tổng thể của ngành Ngân hàng về hoạt động thanh toán điện tử, thanh toán thẻ, đặc biệt là về việc đảm bảo an toàn, bảo mật trong thanh toán điện tử, thanh toán thẻ để người dân hiểu rõ và yên tâm khi sử dụng dịch vụ thanh toán; đồng thời chỉ đạo các tổ chức cung ứng dịch vụ thanh toán, các tổ chức cung ứng dịch vụ trung gian thanh toán thực hiện theo kế hoạch được phê duyệt, đảm bảo truyền thông thống nhất từ trung ương đến các địa phương, giữa Ngân hàng Nhà nước Việt Nam với các tổ chức cung ứng dịch vụ thanh toán, tổ chức cung ứng dịch vụ trung gian thanh toán.

II. ĐỐI VỚI NGÂN HÀNG NHÀ NƯỚC CHI NHÁNH CÁC TỈNH, THÀNH PHỐ TRỰC THUỘC TRUNG ƯƠNG

1. Chủ động theo dõi, giám sát và hướng dẫn các tổ chức cung ứng dịch vụ thanh toán, các tổ chức cung ứng dịch vụ trung gian thanh toán trên địa bàn thực hiện các văn bản, quy định của Ngân hàng Nhà nước Việt Nam về hoạt động thanh toán nói chung, thanh toán điện tử, thanh toán thẻ nói riêng, giúp Thống đốc Ngân hàng Nhà nước Việt Nam thực hiện quản lý nhà nước về hoạt động thanh toán, thanh toán điện tử, thanh toán thẻ trên địa bàn.

2. Thanh tra, kiểm tra và xử lý nghiêm các vi phạm của các tổ chức cung ứng dịch vụ thanh toán, các tổ chức cung ứng dịch vụ trung gian thanh toán trên địa bàn trong việc chấp hành quy định của Ngân hàng Nhà nước Việt Nam về các quy trình, thủ tục cũng như các quy định đảm bảo an toàn, bảo mật trong thanh toán nói chung, thanh toán điện tử, thanh toán thẻ nói riêng; tổ chức theo dõi, đôn đốc, kiểm tra việc tổ chức cung ứng dịch vụ thanh toán, tổ chức cung ứng dịch vụ trung gian thanh toán thực hiện các kết luận, kiến nghị sau các cuộc thanh tra, kiểm tra.

3. Chủ động thông tin, tuyên truyền, phổ biến các quy định của pháp luật, chủ trương của Chính phủ và Ngân hàng Nhà nước Việt Nam về hoạt động thanh toán nói chung, thanh toán điện tử và thanh toán thẻ nói riêng nhằm giúp người dân biết để tiếp cận và yên tâm khi sử dụng dịch vụ thanh toán.

4. Chủ động nắm bắt thông tin về phương thức, thủ đoạn tội phạm để cảnh báo, đồng thời chỉ đạo thực hiện các biện pháp đảm bảo an toàn tài sản cho tổ chức cung ứng dịch vụ thanh toán, tổ chức cung ứng dịch vụ trung gian thanh toán và khách hàng; theo dõi thông tin phản ánh trên các phương tiện truyền thông và xử lý kịp thời các vụ việc liên quan đến an ninh, an toàn hoạt động thanh toán điện tử, thanh toán thẻ trên địa bàn. Báo cáo kịp thời Ngân hàng Nhà nước Việt Nam khi phát hiện các vụ việc liên quan đến chất lượng dịch vụ cũng như các sự cố gây mất an ninh, an toàn trong hoạt động thanh toán điện tử và thanh toán thẻ.

5. Chỉ đạo các tổ chức cung ứng dịch vụ thanh toán, tổ chức cung ứng dịch vụ trung gian thanh toán trên địa bàn tích cực phối hợp với cơ quan công an trên địa bàn trong việc phòng, chống tội phạm trong lĩnh vực thanh toán.

III. ĐỐI VỚI CÁC TỔ CHỨC CUNG ỨNG DỊCH VỤ THANH TOÁN VÀ CÁC TỔ CHỨC CUNG ỨNG DỊCH VỤ TRUNG GIAN THANH TOÁN

1. Quán triệt, triển khai thực hiện nghiêm túc các văn bản của Ngân hàng Nhà nước và pháp luật liên quan về hoạt động thanh toán. Thường xuyên kiểm tra, rà soát, bổ sung và hoàn thiện các quy trình nghiệp vụ, các quy định nội bộ về an ninh, bảo mật hệ thống công nghệ thông tin nhằm hạn chế các rủi ro; đồng thời phát hiện sớm các vi phạm để chấn chỉnh đảm bảo tuân thủ các quy định của Ngân hàng Nhà nước và pháp luật liên quan về an ninh, an toàn trong hoạt động thanh toán. Nghiên cứu bổ sung các giải pháp, chỉ đạo các đơn vị trực thuộc của mình tuân thủ đầy đủ, không bỏ qua các bước trong quy trình nghiệp vụ thanh toán. Quy trình nghiệp vụ thanh toán phải thể hiện rõ vai trò, chức năng và trách nhiệm của từng khâu, từng công đoạn trong quá trình thực hiện giao dịch thanh toán.

2. Định kỳ rà soát, đánh giá rủi ro đối với toàn bộ cơ sở hạ tầng kỹ thuật, công nghệ thông tin phục vụ công tác thanh toán và triển khai các giải pháp phù hợp để giảm thiểu rủi ro, đảm bảo an toàn tài sản cho khách hàng và tổ chức cung ứng dịch vụ thanh toán, tổ chức cung ứng dịch vụ trung gian thanh toán; xây dựng và diễn tập các kịch bản ứng phó với các sự cố mất an toàn thông tin. Đặc biệt cần kiểm tra, rà soát toàn bộ ATM, POS (nhất là rà soát đơn vị chấp nhận thanh toán nhằm phòng ngừa, ngăn chặn các hành vi gian lận tại đơn vị chấp nhận thanh toán), tăng cường hệ thống đảm bảo an toàn, bảo mật cho các giao dịch qua ATM, POS, các giải pháp xác thực khách hàng khi giao dịch tại ATM để phòng, chống các hành vi sử dụng thẻ giả.

3. Chủ động nghiên cứu áp dụng các nguyên tắc, tiêu chuẩn quốc tế đối với hệ thống thanh toán và đối với an ninh, bảo mật hệ thống công nghệ thông tin như chuẩn ISO 27001 cho hệ thống công nghệ thông tin, chuẩn PCI/DSS cho hệ thống thanh toán thẻ; các công nghệ bảo mật đa nhân tố mới trong các giao dịch ngân hàng để thay thế các công nghệ bảo mật cũ không đảm bảo an toàn. Nghiên cứu áp dụng và tự thực hiện đánh giá sự tuân thủ đối với hạ tầng thanh toán của mình theo Các nguyên tắc đối với cơ sở hạ tầng thị trường tài chính do Ngân hàng Thanh toán quốc tế (BIS) và Tổ chức Quốc tế các Ủy ban Chứng khoán (IOSCO) ban hành.

4. Đẩy mạnh công tác đào tạo, huấn luyện nâng cao kỹ năng nhận diện, tiếp nhận, xử lý rủi ro cho cán bộ, nhân viên của toàn hệ thống; tập huấn, tuyên truyền cho các đơn vị chấp nhận thanh toán về các thủ đoạn tội phạm và các biện pháp quản lý, phòng ngừa, đảm bảo an toàn thanh toán.

5. Thường xuyên, kịp thời đưa ra những cảnh báo, hướng dẫn, thông tin đầy đủ đến khách hàng để khách hàng nắm rõ các loại rủi ro, các thủ đoạn gian lận trong hoạt động thanh toán và cách sử dụng các dịch vụ an toàn; khuyến cáo tới khách hàng khi gặp sự cố thì khách hàng cần bình tĩnh phối hợp với các tổ chức cung ứng dịch vụ thanh toán, tổ chức cung ứng dịch vụ trung gian thanh toán, các cơ quan điều tra để giải quyết theo quy định của pháp luật.

6. Chủ động theo dõi, phản hồi kịp thời các phản ánh của dư luận xã hội về những vấn đề phát sinh liên quan đến dịch vụ thanh toán của đơn vị mình (Hội sở chính và các chi nhánh). Khi có các rủi ro, gian lận xảy ra, thì phải chủ động báo cáo Ngân hàng Nhà nước Việt Nam, Ngân hàng Nhà nước chi nhánh các tỉnh, thành phố trực thuộc Trung ương (địa bàn nơi phát sinh vụ việc), đồng thời phối hợp với khách hàng, các đơn vị liên quan xử lý nhanh, chính xác, đúng quy định và sớm thông tin cho khách hàng; đảm bảo quyền lợi của các bên liên quan theo đúng quy định của pháp luật.

IV. TỔ CHỨC THỰC HIỆN

1. Chỉ thị này có hiệu lực kể từ ngày ký.

2. Các đơn vị liên quan tại trụ sở chính Ngân hàng Nhà nước Việt Nam; Ngân hàng Nhà nước chi nhánh các tỉnh, thành phố trực thuộc Trung ương; các tổ chức cung ứng dịch vụ thanh toán và các tổ chức cung ứng dịch vụ trung gian thanh toán tổ chức triển khai các nhiệm vụ tại Chỉ thị này, báo cáo tình hình thực hiện Chỉ thị định kỳ 6 tháng và hàng năm gửi Ngân hàng Nhà nước Việt Nam (Vụ Thanh toán) trong vòng 10 ngày kể từ khi kết thúc kỳ báo cáo. Đối với các đơn vị có báo cáo tình hình hoạt động thanh toán định kỳ 6 tháng và hàng năm thì báo cáo tình hình thực hiện Chỉ thị thành một mục riêng trong báo cáo này.

3. Chánh Văn phòng, Vụ trưởng Vụ Thanh toán, Thủ trưởng các đơn vị có liên quan thuộc Ngân hàng Nhà nước Việt Nam, Giám đốc Ngân hàng Nhà nước chi nhánh các tỉnh, thành phố trực thuộc Trung ương, Chủ tịch Hội đồng quản trị, Chủ tịch Hội đồng thành viên, Tổng giám đốc (Giám đốc) các tổ chức cung ứng dịch vụ thanh toán và Chủ tịch Hội đồng quản trị, Tổng giám đốc (Giám đốc) các tổ chức cung ứng dịch vụ trung gian thanh toán thực hiện Chỉ thị này./.

Nơi nhận: - Như Điểm 3 mục IV; - Ban Lãnh đạo NHNN; - Văn phòng Chính phủ; - Hiệp hội Ngân hàng Việt Nam; - Lưu: VT, TT (5b)

THỐNG ĐỐC Lê Minh Hưng

English

STATE BANK OF VIETNAM --------	SOCIALIST REPUBLIC OF VIETNAM Independence - Freedom - Happiness ----------------
No: 03/CT-NHNN	Hanoi, January 10, 2017

DIRECTIVE

ON THE STRENGTHENING OF SECURITY IN ELECTRONIC PAYMENT AND CARD-BASED PAYMENT

In order to strengthen security in electronic payment and card-based payment and minimize the risks in payment activities, to implement the instruction of the Prime Minister on security in electronic payment and card-based payment as well as ensuring the benefit of customers and providers of payment services and providers of intermediary payment services; the Governor of the State bank of Vietnam requires the entities of the State bank of Vietnam, and the providers to perform the following responsibilities:

I. RESPONSIBILITIES OF ENTITIES AT THE HEADQUATERS OF THE STATE BANK OF VIETNAM

The headquaters of the State bank of Vietnam shall perform the following responsibilities ex officio:

1. Implement effectively the Scheme on non-cash payment developemnt in Vietnam in 2016-2020 enclosed with the Decision No. 2545/QĐ-TTg dated December 30, 2016 of the Prime Minister. Keep consulting with the Governor of the State bank of Vietnam about promulgation or revision of the legislative documents in connection with electronic and card-based payment; legislative documents on security and penalties for violations against law on electronic payment and card-based payment. Promote the management and control over the latest types, means, and systems of electronic payment in Vietnam.

2. Proactively monitor and update the domestic and international cyber security movements to alert and guide entities in the banking industry to promptly prevent and solve risks, and information technology security holes. Design cooperation programmes, exchange information and corordinate with the Ministry of Public Security, Ministry of Information and Communications in preventing high technology criminals and taking measures for ensuring network security in electronic payment and card-based payment.

3. Consult with the Governor of the State bank of Vietnam about drawing the road map of applying international standards in security such as ISO 27001 to information technology systems, PCI/DSS standard to the card-based payment system, the latest multi-factor authentication technologies to replace the out-dated and unsafe security technology. Proactively conduct research, consult with the Governor of the State bank of Vietnam about carrying out the instructions as specified in the document on providing guidance on measures for cyber restoration for the financial market infrastructures promulgated by the Committee on Payments and Market Infrastructure Finance (CPMI) of the Bank for International Settlements (BIS).

...

...

...

5. Make overall communication plan of the Banking industry on electronic payment and card-based payment, especially the security in electronic payment and card-based payment in order for the public to clearly understand and securely use the payment services; and at the same time guide the providers of payment services and providers of intermediary payment services to implement the aprroved plan, ensure the synchronous communication between the State bank of Vietnam and the providers.

II. RESPONSIBILITIES OF PROVINCIAL BRANCHES OF THE STATE BANK OF VIETNAM

1. Proactively supervise, monitor, and guide the providers of payment services and providers of intermediary payment services to adopt the documents and regulations of the State bank of Vietnam on the payment activities in general, and electronic payment and card-based payment in particular; assist the Governor of the State bank of Vietnam in State management of payment activities, electronic payment and card-based payment in their provinces.

2. Carry out inspection and impose penalties for the providers’ violations against the regulations of the State bank of Vietnam on processes, procedures, and regulations on security in payment in general and in electronic and card-based payment in particular; supervise and inspect the providers’ implementation of the conclusion and requests after the inspection.

3. Proactively propagate the regulations of law, policies of the Government and the State bank of Vietnam on the payment activities in general and in electronic and card-based payment in particular in order for the public to clearly understand and securely use the payment services.

4. Proactively collect the information on the criminals’artifices to alert, at the same time provide guidance for measures for ensuring asset safety of the providers and customers, dig up the information via mass media and provide timely measures for the cases relating to security in electronic payment and card-based payment in the locality. Promptly inform the State bank of Vietnam of any cases relating to service quality as well as the incidents compromising the security in electronic payment and card-based payment.

5. Guide the local providers to coordinate with the local pollice authorities in preventing electronic payment-related crimes.

III. RESPONSIBILITIES OF PROVIDERS OF PAYMENT SERVICES AND PROVIDERS OF INTERMEDIARY PAYMENT SERVICES

1. Strictly adopt the guiding documents of the State bank of Vietnam and law on payment activities. Regularly inspect, amend and complete procedures, internal regulations on information technology security to minimize the risks; and at the same time early detect the violations to ensure to comply with the regulations of the State bank and law on security in payment activities. Carry out research and introduce measures to be fully implemented by their affiliated units in the process of payment operation. The process of payment operation shall present its roles, functions and responsibilities in each step during the process of performing the payment transaction.

...

...

...

3. Proactively apply international principles and standards to the payment system and information technology security, such as applying the ISO 27001 standard to information technology system, the PCI/DSS to the card-based payment system; the latest latest multi-factor authentication technologies to the bank transactions in order to replace the old and unsafe security technologies. Apply and carry out an assessment of the compliance with principles for the financial market infrastructures promulgated by the Committee on Payments and Market Infrastructure Finance (CPMI) of the Bank for International Settlements (BIS).

4. Provide training in recognizing, receiving, and solving risks for banking staff; provide training programmes for criminals’assault artifices and preventive measures for payment security for the providers offerring merchant services for accepting payments.

5. Regularly and promptly provide alerts and instructions for customers in order for them to acknowledge types of risks and fraud in payment activities and how to utilize payment services securely; provide advice for customers in case of any problems, he/she should calmly coordinate with the providers and competent agencies in solving the problems according to regulations of law.

6. Proactively monitor and promptly solve the arising issues relating to its payment services. (Head office and branches). When risks and fraud occurs, the providers must report to the State bank of Vietnam and provincial branches of the State Bank of Vietnam (the locality from which the issue arises), and at the same time coordinate with their customers and relevant entities in order to handle those issues according to the regulations and then inform the customer; protect relevant entities’ right according to regulations of law.

IV. IMPLEMENTATION

1. This Directive comes into force from the day on which it is signed.

2. The relevant entities at the headquarters of the State bank of Vietnam; provincial branches of the State Bank of Vietnam; providers of payment services and providers of intermediary payment services shall implement the duties as specified in this Directive shall submit the biannual and annual reports on the implementation of the Decree to the State bank of Vietnam (Department of Payment) within 10 days from the end of the reporting period. The entities which make biannual and annual reports on payment activities shall submit reports on the implementation of the Decree in a particular Section of those reports.

3. Chief of Office, Director General of Payment, Heads of relevant entities of the State bank of Vietnam, Directors of provincial branches of the State Bank of Vietnam, Chairman of the Management Board, Chairman of the Members' Council, General Director (Director) of the providers of payment services and Chairman of the Management Board, General Directors (Directors) of the  providers of intermediary payment services are responsible for implementing this Directive./.

...

...

...

GOVERNOR




Le Minh Hung