Thông báo kết luận 268/TB-NHNN đảm bảo an toàn an ninh mạng thanh toán điện tử thanh toán thẻ 2016

• Số hiệu: 268/TB-NHNN
• Loại văn bản: Thông báo
• Nơi ban hành: Ngân hàng Nhà nước
• Người ký: Bùi Hữu Toàn
• Ngày ban hành: 12/09/2016

NGÂN HÀNG NHÀ NƯỚC VIỆT NAM -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số: 268/TB-NHNN	Hà Nội, ngày 12 tháng 9 năm 2016

THÔNG BÁO

KẾT LUẬN CỦA PHÓ THỐNG ĐỐC NGUYỄN KIM ANH TẠI HỘI NGHỊ TRỰC TUYẾN “ĐẢM BẢO AN TOÀN, AN NINH MẠNG TRONG THANH TOÁN ĐIỆN TỬ VÀ THANH TOÁN THẺ”

Ngày 08/9/2016, Ngân hàng Nhà nước (NHNN) đã tổ chức Hội nghị trực tuyến về “Đảm bảo an toàn, an ninh mạng trong thanh toán điện tử và thanh toán thẻ” thông qua 63 điểm cầu tại các tỉnh, thành phố trên cả nước. Tham dự Hội nghị, ở điểm cầu Trung tâm tại Hà Nội có Đại diện Vụ Kinh tế tổng hợp (Văn phòng Chính phủ), Đại diện Tổng cục An ninh, Cục cảnh sát phòng, chống tội phạm sử dụng công nghệ cao, Cục An ninh mạng, Cục An ninh tài chính, tiền tệ và đầu tư (Bộ Công an), Cục An toàn thông tin, Trung tâm ứng cứu khẩn cấp máy tính Việt Nam (Bộ Thông tin-Truyền thông), Lãnh đạo một số đơn vị, Vụ, Cục thuộc NHNN, Trung tâm Thông tin tín dụng quốc gia Việt Nam, Ngân hàng Chính sách xã hội, Ngân hàng Hợp tác xã, Công ty cổ phần Chuyển mạch tài chính Quốc gia (NAPAS), Hiệp hội An toàn thông tin quốc gia, Hiệp hội Ngân hàng, Hội thẻ ngân hàng Việt Nam, các ngân hàng thương mại (NHTM) có trụ sở chính tại Hà Nội, Phòng An ninh tài chính, tiền tệ và đầu tư (Công an TP. Hà Nội). Tại các điểm cầu NHNN chi nhánh tỉnh, thành phố có Ban Lãnh đạo, lãnh đạo các phòng và cán bộ phụ trách công nghệ thông tin, đại diện lãnh đạo của các NHTM có hội sở chính và Giám đốc chi nhánh cấp I của các ngân hàng thương mại trên địa bàn...v.v. Phó Thống đốc Nguyễn Kim Anh chủ trì Hội nghị.

Sau khi nghe báo cáo, tham luận của các đơn vị thuộc NHNN và các Bộ, ngành, cùng các ý kiến thảo luận và giải đáp các câu hỏi của các chuyên gia an ninh công nghệ thông tin thuộc NHNN, Bộ Công an, Bộ Thông tin-Truyền thông và các tổ chức có liên quan, Phó Thống đốc Nguyễn Kim Anh kết luận và chỉ đạo như sau:

Trong thời gian qua, việc quản lý và kiểm soát rủi ro trong hoạt động thanh toán nói chung và thanh toán điện tử nói riêng đã và đang được Ngân hàng Nhà nước tiếp tục chỉ đạo sát sao cùng với sự tuân thủ, phối hợp chặt chẽ của các ngân hàng thương mại, các tổ chức thẻ quốc tế, công ty chuyển mạch thẻ, các tổ chức trung gian thanh toán và các bên có liên quan.

Tuy nhiên, trên thực tế các sự cố rủi ro, gian lận trong thanh toán nói chung, thanh toán điện tử và thanh toán thẻ nói riêng vẫn có nguy cơ xảy ra cho dù các ngân hàng hay các tổ chức trung gian thanh toán có áp dụng mọi giải pháp bảo mật tiên tiến nhất. Các đối tượng phạm tội luôn thay đổi thủ đoạn và phương thức tấn công mới để vượt qua những biện pháp bảo mật này và khai thác thông tin từ những khách hàng sử dụng mất cảnh giác trong việc gìn giữ thông tin cá nhân khi sử dụng dịch vụ thanh toán điện tử, thanh toán thẻ.

Để hạn chế thấp nhất rủi ro, đảm bảo an ninh, an toàn, bảo mật trong hoạt động thanh toán nói chung, thanh toán điện tử và thanh toán thẻ nói riêng, cũng như đảm bảo quyền lợi của khách hàng và ngân hàng tại Việt Nam, trong thời gian tới, các đơn vị trong ngành khẩn trương triển khai nghiêm túc những nội dung công việc sau đây:

1. Giao Vụ Thanh toán làm đầu mối:

(i) Tiếp tục rà soát, tham mưu cho Thống đốc NHNN nghiên cứu ban hành, hoặc sửa đổi, bổ sung các văn bản quy phạm về việc cung cấp dịch vụ thanh toán của các TCTD và các tổ chức trung gian thanh toán, đảm bảo phòng ngừa và giảm thiểu rủi ro trong toàn bộ quy trình, thủ tục thanh toán. Thành lập các đoàn kiểm tra, giám sát (liên vụ) về công tác thanh toán, đảm bảo an toàn, an ninh trong thanh toán điện tử và thanh toán thẻ để kịp thời cảnh báo, chấn chỉnh các nguy cơ, vi phạm các quy định của NHNN;

(ii) Phối hợp với Cơ quan TTGSNH, Vụ Pháp chế và Cục Công nghệ tin học tham mưu cho Ban Lãnh đạo NHNN để trước ngày 15/10/2016 ban hành quy định các tổ chức cung ứng dịch vụ thanh toán, trung gian thanh toán cần ghi rõ trong các hợp đồng cung cấp dịch vụ nội dung cụ thể về trách nhiệm trong việc tiếp nhận thông tin từ khách hàng, thời gian xử lý, phương án đền bù đối với các trường hợp phát sinh rủi ro, sự cố trong hoạt động thanh toán;

(iii) Sớm nghiên cứu, ban hành tiêu chuẩn thẻ chíp nội địa và chỉ đạo các TCTD chuyển đổi từ thẻ từ sang thẻ chíp theo đúng lộ trình NHNN đã phê duyệt để giảm thiểu những rủi ro, tổn thất cho các bên khi tham gia giao dịch thẻ.

2. Giao Cục Công nghệ tin học làm đầu mối:

(i) Nghiên cứu, xây dựng trình Thống đốc NHNN ban hành lộ trình áp dụng các tiêu chuẩn quốc tế về an ninh bảo mật như ISO 27001 cho hệ thống CNTT và chuẩn PCI/DSS cho hệ thống thanh toán thẻ;

(ii) Nghiên cứu để tham mưu cho Ban Lãnh đạo NHNN sớm chỉ đạo triển khai các công nghệ bảo mật đa nhân tố mới trong các giao dịch ngân hàng để thay thế các công nghệ bảo mật cũ đã bị tội phạm mạng lợi dụng;

(iii) Thường xuyên theo dõi, cập nhật tình hình an ninh mạng trong nước và quốc tế để cảnh báo và chỉ đạo các đơn vị trong toàn Ngành kịp thời phòng chống, xử lý các rủi ro, lỗ hổng bảo mật CNTT. Trước mắt, phối hợp chặt chẽ với Vụ Thanh toán trong việc tổ chức đoàn kiểm tra, giám sát (liên vụ) về công tác thanh toán, đảm bảo an toàn, an ninh trong thanh toán điện tử và thanh toán thẻ tại các TCTD;

(iv) Liên hệ, làm việc với Cục Cảnh sát phòng chống tội phạm công nghệ cao (C50) và Cục An ninh mạng thuộc Bộ Công An, Cục An toàn thông tin và Trung tâm ứng cứu khẩn cấp máy tính Việt Nam thuộc Bộ Thông tin truyền thông để xúc tiến xây dựng chương trình hợp tác, trao đổi thông tin và phối hợp phòng chống tội phạm công nghệ cao giữa các đơn vị của NHNN và các đơn vị thuộc Bộ Công An và Bộ Thông tin truyền thông.

3. Giao Cơ quan Thanh tra, giám sát ngân hàng và Thanh tra giám sát của các NHNN chi nhánh các tỉnh, thành phố: Tăng cường kiểm tra, giám sát cũng như chỉ đạo các ngân hàng trên địa bàn nghiêm túc chấp hành các quy định về đảm bảo an ninh, an toàn cho hệ thống thanh toán điện tử cũng như tại các thiết bị đọc thẻ trong quá trình cung ứng dịch vụ; Chỉ đạo các ngân hàng phối hợp chặt chẽ với cơ quan công an để trao đổi thông tin, kịp thời phối hợp, xử lý những vụ việc gian lận, lừa đảo trong thanh toán điện tử và thanh toán thẻ.

4. Giao Ban Truyền thông: Xây dựng kế hoạch truyền thông tổng thể của ngành Ngân hàng về hoạt động thanh toán không dùng tiền mặt trình Thống đốc NHNN phê duyệt và chỉ đạo các TCTD tổ chức thực hiện theo kế hoạch được phê duyệt.

5. Giao NHNN chi nhánh tỉnh, thành phố: Từ nay đến 30/10/2016, xây dựng và hoàn thành triển khai chương trình kiểm tra và giám sát các dịch vụ thanh toán không dùng tiền mặt của các TCTD, các tổ chức trung gian thanh toán trên địa bàn, đảm bảo việc cung cấp các dịch vụ được liên tục, an toàn và đáp ứng nhu cầu thanh toán người dân; nắm bắt những khó khăn, vướng mắc và bất cập của công tác thanh toán không dùng tiền mặt trên địa bàn và chỉ đạo, phối hợp với các TCTD để tháo gỡ. Báo cáo kết quả kiểm tra, giám sát về NHNN (Vụ Thanh toán) trước ngày 15/11/2016.

6. Đối với Công ty cổ phần Thanh toán quốc gia Việt Nam (NAPAS): Thiết lập các cơ chế kiểm soát rủi ro để phát hiện kịp thời và hỗ trợ các ngân hàng xử lý các giao dịch nghi vấn...; phối hợp chặt chẽ với các ngân hàng thành viên trong việc giám sát giao dịch thanh toán thẻ, kịp thời gửi cảnh báo đến các ngân hàng thành viên các giao dịch nghi vấn nhằm xử lý nhanh và dứt điểm các vấn đề phát sinh, đảm bảo quyền lợi của khách hàng.

7. Đối với các TCTD:

(i) Tiến hành tổng kiểm tra, rà soát toàn bộ các quy trình nghiệp vụ, hạ tầng công nghệ, nguồn nhân lực và việc tổ chức thực hiện các quy định đã ban hành, các dịch vụ phụ trợ liên quan như tổng đài hỗ trợ trực tuyến, giải quyết các khiếu nại.... của các hệ thống thanh toán và thanh toán thẻ, đảm bảo tuân thủ các quy định của NHNN. Đối với các hạng mục còn chưa hoàn toàn tuân thủ các quy định TCTD phải đề xuất lộ trình triển khai, khắc phục hoàn thành trong năm 2016. Báo cáo kết quả kiểm tra gửi về NHNN (Vụ Thanh toán) trước ngày 30/10/2016;

(ii) Định kỳ rà soát, bổ sung các thiết bị đảm bảo an ninh, an toàn cho ATM như lắp đặt camera giám sát, hệ thống báo động sự cố, hệ thống chống trộm...v.v, kiểm tra ATM/POS để kịp thời phát hiện và ngăn chặn các thiết bị lắp đặt trái phép nhằm trộm cắp thông tin của chủ thẻ;

(iii) Đánh giá, phân loại các loại rủi ro trong công tác thanh toán và triển khai các giải pháp phù hợp để giảm thiểu rủi ro, đảm bảo an toàn tài sản cho khách hàng và ngân hàng. Nghiên cứu, áp dụng các công nghệ bảo mật tiên tiến như xác thực sinh trắc học, khóa công khai PKI, công nghệ 3D secure cho các khách hàng có giao dịch lớn và từng bước mở rộng cho toàn bộ các đối tượng khách hàng;

(iv) Nghiên cứu, áp dụng các giải pháp công nghệ thông tin để chủ động nhận diện, cảnh báo kịp thời các hiểm họa, nguy cơ mất an ninh cho khách hàng. Xây dựng và diễn tập các kịch bản ứng phó với các sự cố mất an toàn thông tin;

(v) Tăng cường công tác truyền thông để các doanh nghiệp, người dân nhận thức đầy đủ về các nguy cơ, rủi ro, được trang bị các kiến thức, kỹ năng cần thiết giúp cho việc sử dụng các dịch vụ ngân hàng an toàn;

(vi) Đào tạo, huấn luyện nâng cao kỹ năng tiếp nhận, xử lý rủi ro cho nhân viên; xây dựng quy trình xử lý khủng hoảng truyền thông nói chung và liên quan đến hoạt động thanh toán điện tử, thanh toán thẻ nói riêng một cách chặt chẽ khoa học và chuyên nghiệp. Khi phát sinh rủi ro, gian lận phải phối hợp với các cơ quan chức năng, NHNN và khách hàng xử lý nhanh, chính xác trên tinh thần đảm bảo quyền lợi của khách hàng theo đúng quy định của pháp luật.

8. Đối với Hiệp hội ngân hàng:

(i) Phối hợp hoạt động của các ngân hàng thành viên để tuyên truyền và nâng cao nhận thức của các tổ chức và cá nhân trong nền kinh tế về rủi ro và các thủ đoạn lừa đảo, gian lận của tội phạm khi sử dụng các dịch vụ và phương thức thanh toán điện tử;

(ii) Tăng cường phối hợp giữa các ngân hàng thành viên trong việc theo dõi, thông báo kịp thời cho nhau về các loại hình tội phạm mới; phối hợp, trao đổi thông tin về các điểm ATM/POS bị cài đặt thiết bị trộm cắp thông tin thẻ, các đối tượng nghi vấn...v.v.

Thừa lệnh Thống đốc, Văn phòng NHNN thông báo tới các đơn vị liên quan biết và triển khai thực hiện./.

Nơi nhận: - Ban Lãnh đạo NHNN (để b/c); - Các đơn vị thuộc NHNN; - Các TCTD; - NHNN chi nhánh tỉnh, thành phố; - NAPAS; Hiệp hội ngân hàng VN; - Lưu: VP, VP2.

TL. THỐNG ĐỐC KT. CHÁNH VĂN PHÒNG PHÓ VĂN PHÒNG Bùi Hữu Toàn

Tiếng Anh (English)

VIETNAM STATE BANK --------	SOCIALIST REPUBLIC OF VIETNAM Independent - Freedom – Happiness ---------------
No. 268/TB-NHNN	Hanoi, September 12, 2016

ANNOUNCEMENT

CONCLUSION BY VICE GOVERNOR NGUYEN KIM ANH IN THE ONLINE MEETING ON "CYBER SECURITY IN ELECTRONIC PAYMENT AND CARD-BASED PAYMENT”

On September 08, 2016, Vietnam State Bank held the online meeting on “cyber security in electronic payment and card-based payment” at 63 teleconference sites across the nation. Representatives of the Economic Department (Government's Office), General Department of Security, Department of Hi-tech Crime Prevention, Department of Cyber Security, Department of Finance, Currency and Investment Security (Ministry of Public Security), Department of Information Security, Vietnam Computer Emergency Response Center (Ministry of Information and Communications), Heads of divisions and departments of the State Bank, Vietnam Credit Information Center, Vietnam Bank for Social Policies, Co-op Bank, Vietnam National Financial Switching Joint-stock Company (NAPAS), Vietnam Information Security Association, Vietnam Banks Association, Vietnam Banking Card Association, commercial banks with headquarters in Hanoi, Office of Finance, Currency and Investment Security (Hanoi Police Department) attended the meeting through the central teleconference site in Hanoi. Heads, managers and information technology officials from provincial branches of the State Bank, representatives of the leaderships of commercial banks with major offices in the localities and Directors of first-level branches of such commercial banks, etc. attended the meeting through provincial teleconference sites. Vice Governor Nguyen Kim Anh presided at the meeting.

After the agencies under the State Bank, Ministries and authorities delivered reports and speeches, and the cyber security specialists from the State Bank, Ministry of Public Security and Ministry of Information and Communications and concerned organizations discussed matters and responded to inquiries, Vice Governor Nguyen Kim Anh issued the following conclusion and instructions:

The management and control of risks over payment activities, in general, and electronic payment, in particular, have been closely directed by the State Bank in line with the strict compliance and cooperation by commercial banks, international card organizations, switching companies, payment intermediary organizations and relevant entities.

However, general and electronic payment activities are in fact prone to risky and fraudulent incidents probably despite every solution of most advanced security that the banks or payment intermediary organizations are adopting. Criminals constantly diverse their assault artifices and ruses to break through security solutions and exploit the information of customers who are negligent over the safekeeping of their data when using electronic and card-based payment services.

In order to minimize risks, uphold security and confidentiality in general, electronic and card-based payment activities and assure the interests of customers and banks in Vietnam, relevant agencies are going to carry out the following tasks in serious manner:

1. Department of Payment shall be chiefly responsible for:

...

...

...

(ii) Cooperating with the Bank Inspection and Supervision Agency, Department of Legal affairs and Department of Information technology to provide counsels to the leadership of the State Bank, by October 15, 2016, for regulating that payment service providers and payment intermediaries indicate responsibilities for the intake of customers' information, processing time and restitution of payment mishaps and errors in their service provision contracts.

(iii) Researching and promulgating, at earliest time, the standard(s) of domestic chip cards then directing credit institutions’ replacement of magnetic stripe cards with integrated circuit cards by the schedule that the State Bank has approved in order to diminish risks and losses that entities engaged in card-based transactions may suffer.

2. Department of Information technology shall be chiefly responsible for:

(i) Researching, formulating and presenting to the Governor of the State Bank, for promulgation, the road map to the application of international security standards such as ISO 27001 on information technology systems and PCI/DSS on card-based payment systems;

(ii) Conducting research to counsel the leadership of the State Bank to give instructions, at earliest time, on the deployment of multi-factor authentication technologies in banking transactions in lieu of former ones that cyber criminals have exploited;

(iii) Monitoring and being informed of domestic and global happenings in cyber security in regular manner in order to warn and instruct every agency in the sector to promptly preclude and handle cyber security risks and loopholes. At present, it shall closely coordinate with the Department of Payment in organizing inspectorates, supervising (with other departments) payment activities and security of credit institutions’ electronic and card-based payments.

(iv) Working with the Police Department for hi-tech crime prevention (C50) and Department of Cyber Security under the Ministry of Public Security, with the Department of Information Security and Computer Emergency Response Center under the Ministry of Information and Communications to expedite the program for information exchange and cooperation in combating hi-tech crimes with the participation of the State Bank’s units and the divisions under the Ministry of Public Security and Ministry of Information and Communications.

3. Bank Inspection and Supervision Agencies and supervisory inspectorates of provincial branches of the State Bank are assigned to: Consolidating their examination, supervision and directing of the banks operating in localities to adhere to, in strict manner, the regulations on the security of electronic payment systems and card reading devices amid the provision of services; instructing the banks to cooperate closely with the police in exchanging information and promptly tackling with frauds over electronic and card-based payments.

4. Communication Committee is assigned to: Plan the banking sector's general propaganda about cashless payments and present the plan to the Governor of the State Bank for approval and instruction to credit institutions' implementation of the approved plan.

...

...

...

6. Vietnam National Payment Services Joint-stock Company (NAPAS) shall: Set up risk control mechanisms to detect suspicious transactions and affairs and support the banks to handle such; closely cooperate with participating banks in supervising card-based transactions and promptly alert participating banks about doubtful transactions for swift and complete actions against incidents to assure customers’ interests.

7. Credit institutions shall:

(i) Carry out general examinations and reviews of all professional procedures, technological facilities, human resource and adoption of regulations in effect, relevant supporting services such as online support center, complaint settlement, etc. under payment and card-based payment systems so as to abide by the State Bank’s regulations. Credit institutions must propose the road map to deploy, rectify and complete items in 2016, which have not adhere to their regulations. Examination reports shall be sent to the State Bank (Department of Payment) by October 30, 2016;

(ii) Recheck and supplement the ATM security equipment such as surveillance cameras, problem warning system, anti-theft system, et cetera; examine ATMS and points of sale to identify and impede devices illegally installed to skim card owners’ information;

(iii) Evaluate and classify, by type, the risks in payment activities and adopt suitable solutions to minimize risks and secure the assets that belong to the customers and the banks. Research and apply advanced security technologies such as biometric authentication, PKI, 3D secure for customers with grand transactions and gradually for every customer.

(iv) Research and utilize information technology solutions to detect and warn against threats and insecure risks over customers in active manner. Set up and carry out drills in response to information insecurity problems;

(v) Strengthen communication to have enterprises and people fully informed of threats and risks and equipped with knowledge and skills necessary for using banking services in safe manner;

(v) Train and improve employees’ skills in processing and handling risks; set up response procedures for public relation disasters, in general, and for electronic and card-based payment activities, in particular, in scientific and professional manner. Cooperate with functional agencies, the State Bank and customers in coping with risks and frauds ensuing in fast and precise manner with the aim of assuring customers’ interests as per the laws.

8. Vietnam Banks Association shall:

...

...

...

(ii) Cooperate further with participating banks in monitoring and informing each other of new types of crimes; coordinate and exchange information on ATMs and points of sale, in which card skimmers are planted, and on suspicious individuals, etc.

By the order of the Governor, the office of the State Bank makes this announcement to concerned entities./.

BY ORDER OF THE GOVENOR
p.p. CHIEF OF OFFICE
DEPUTY CHIEF OF OFFICE




Bui Huu Toan