시행령 제 29/2011/TT-NHNN은 인터넷을 통한 은행 서비스 제공에 대한 안전 및 보안 규정을 정한다.

시행규칙

인터넷 은행 서비스 제공에 대한 안전 및 보안 규정

________________________

은행_of_국가법 제46호 2010년 제12차 국회 법률 제46호 2010년 6월 16일

금융기관법 제47호 2010년 제12차 국회 법률 제47호 2010년 6월 16일

||| 전자거래 기본법 제51호 2005년 제11기 회기 11월 29일 법률을 근거로 함

정부령 제35/2007/NĐ-CP 2007년 3월 8일 전자거래에 관한 금융기관 활동에 관한 것

정부가 2001년 9월 20일 제정한 64/2001/NĐ-CP 호 결의에 근거함

정부가 2007년 2월 25일 제정한 26/2007/NĐ-CP 호 결의에 근거하여 전자거래법 시행에 관한 세부 규정을 함

정부가 2008년 8월 26일 제정한 96/2008/NĐ-CP 호 정부령에 따라 국가은행의 기능, 임무, 권한 및 조직 구성을 규정함;

정부령 제97호 2008년 8월 28일 발령된 인터넷 및 전자정보 서비스 제공, 관리 및 이용에 관한 규정(2008.8.28);

국가은행 베트남은 인터넷 은행 서비스 제공에 대한 안전 및 보안 규정을 다음과 같이 제정함

장 1

총칙

조 1. 적용 범위와 적용 대상

이 시행규칙은 인터넷을 통한 은행 서비스 제공에 대한 안전 및 보안 요구사항을 규정한다.

2. 본 통지는 베트남 내에서 인터넷 은행 서비스를 제공하는 금융기관, 외국 은행 지점을 포함한 서비스 제공 주체에게 적용됨

조 2. 용어 및 용어 해석

본 통지에서 사용되는 용어는 다음과 같이 해석됨.

1. 인터넷 은행 서비스(Internet Banking 서비스): 인터넷을 통해 제공되는 은행 서비스로서 다음 사항을 포함함

a) 서비스 제공 주체와 그 서비스에 대한 정보

b) 정보 조회 서비스로서 고객 정보, 계좌 정보, 잔액 조회 및 기타 정보 조회 서비스

c) 온라인 금융 거래 서비스로서 계좌 관리, 송금, 신용 제공, 계좌 결제 등 서비스

d) 중앙은행이 규정한 다른 서비스

2. 인터넷 은행 시스템: 인터넷 은행 서비스 제공을 위한 하드웨어, 소프트웨어, 데이터베이스, 네트워크 통신 시스템 및 보안 시스템을 포함한 구조화된 집합체

3. 고객: 인터넷 은행 서비스 사용과 관련된 조직 또는 개인

4. 이중 인증: 사용자의 신원을 증명하기 위해 두 가지 서로 다른 요소를 요구하는 방법으로, 사용자가 알고 있는 정보(고객 번호, 비밀번호 등)와 사용자가 소유하고 있는 정보(일회용 비밀번호(OTP), 무작위 그리드, 생체 인식 정보 등)를 결합함

5. 특권 계정: 특정 작업 수행이나 민감한 데이터 접근을 위해 정보기술 시스템에 접속하는 계정으로, 장비 구성, 시스템 관리, 운영 체제 관리, 데이터베이스 관리, 업무 애플리케이션 관리(예: root, supervisor, system, administrator 계정 등)를 위한 계정을 의미함

조 3. 서비스 제공 주체의 인터넷 은행 서비스 제공 일반 원칙

1. 비밀성 보장

a) 고객의 계좌, 예치금, 보관 재산 및 거래와 관련된 정보의 비밀성을 법률 규정에 따라 보장함

b) 고객 비밀번호, 암호화 키 및 기타 암호는 거래 과정, 전송 과정 및 서비스 제공 주체의 저장 과정에서 암호화되어야 함

2. 가용성 보장

a) 인터넷 은행 시스템의 연중 무중단 운영을 공개적으로 명확하게 약속하며, 이를 서비스 제공 계약서에 명시함. 이 약속은 최소한 연간 시스템 중단 시간, 일일 서비스 제공 시간, 시스템 복구 시간 등을 포함해야 함

b) 서비스 제공 주체가 고객에게 약속한 인터넷 은행 서비스의 연중 무중단 제공을 보장하기 위해 필요한 IT 인프라 및 인력 자원을 충분히 확보함

c) 인터넷 은행 시스템의 프로세스를 작성, 발행하고 준수함

d) 주 시스템 및 대체 시스템의 성능 모니터링 및 추적 도구를 사용하여 연중 무중단 운영을 보장함

3. 정합성 보장

a) 서비스 제공 주체와 고객 간의 정보 처리, 저장, 전송 과정에서 정보의 정합성을 보장함

b) 행정 및 기술 보안 조치를 결합하여 다음 사항을 포함함

- 물리적 접근

- 논리적 접근

- 데이터 입력, 처리, 전송, 출력, 저장, 복구 과정

4. 고객 및 거래 확인

a) 고객이 인터넷 은행 서비스를 이용할 때 고객을 확인하고 식별할 수 있도록 보장함

b) 중요한 거래(예: 계좌 간 연결 생성, 제3자 결제 등록, 일일 거래 한도 변경, 고객 개인 정보와 관련된 계좌 정보 변경 등) 및 결제 거래를 수행할 때 인터넷 은행 시스템에서 이중 인증을 사용함

5. 고객 보호

a) 서비스 제공 계약 체결 전 고객의 권리와 의무에 대한 모든 정보를 제공함. 서비스 제공 계약서에는 본 조항에서 언급된 고객에 대한 서비스 제공 주체의 보장 사항을 명시해야 함. 서비스 제공 주체는 고객과 체결한 서비스 제공 계약서에 명시된 자신의 책임을 완전히 수행해야 함

b) 서비스 제공 계약서에는 고객이 인터넷 은행 서비스를 사용할 때 고객 개인 정보의 보안을 보장하는 책임을 명시해야 함. 또한 은행이 고객 정보를 수집하고 사용하는 방식을 명시하고, 이를 판매하거나 유출하지 않겠다는 약속을 명시해야 함

c) 서비스 제공 주체가 인터넷 환경을 통해 고객에게 소프트웨어를 배포할 경우 안전 및 보안을 보장하기 위한 조치를 취함

d) 서비스 제공 주체는 인터넷 은행 서비스 제공 웹사이트의 위조를 방지하고 경고하기 위한 조치를 취하며, 고객에게 진짜 웹사이트를 확인하는 방법을 알려야 함

장 1

구체적인 규정

조 4. 안전 및 보안 정책

인터넷 뱅킹 시스템에 대한 안전 및 보안 규정을 국가, 은행업계의 시스템 안전 및 보안 규정과 기관의 정보기술 안전 보안 규정에 맞게 작성하고 공표한다. 연간 최소 한 번 이상 해당 규정을 검토하여 수정하고 완비하여 규정의 적합성, 완전성 및 효과성을 보장해야 한다.

조 5. 인력 관리

1. 전문 지식과 기술, 업무 능력을 충족시키는 직원들을 인터넷 뱅킹 시스템 관련 업무를 수행할 때 고용한다.

2. 시스템 관리, 소프트웨어 개발 및 유지보수, 시스템 운영 업무는 각 부서와 개인에게 분담되며 교차 감독을 보장하고 어떠한 개인도 시스템 전체 권한을 가지거나 시스템 거래를 자동으로 생성하거나 간섭하지 못하도록 한다. 각 그룹과 개인에게 명확한 책임과 권한을 설정하며 인터넷 뱅킹 시스템의 특권 계정은 최소 두 명의 키가 필요하며 이 계정의 모든 활동을 철저히 감독해야 한다.

3. 제3자 인력이 인터넷 뱅킹 시스템에 접근할 경우 이를 관리하고 감독하는 구체적이고 명확한 규정을 설정하고 제3자와의 계약에서 안전 및 보안 요구사항을 명확히 해야 한다.

조 6. 통신망

1. 네트워크 구역을 분리하여 시스템 접근을 관리할 수 있는 방법을 마련한다.

2. 침입 탐지 및 방어, 악성 코드 확산 방지를 위한 방법을 마련한다.

3. 중요한 위치에 대한 대응 계획을 작성하고 시스템 네트워크에 중대한 영향을 미치거나 전체 시스템을 마비시킬 수 있는 사고 발생 시 이를 실행한다.

4. 무선 연결은 안전을 보장하는 인증 방법을 사용해야 한다.

5. 인터넷 뱅킹 서비스 제공에 필요한 대역폭 요구사항을 충족시켜야 한다.

6. 시스템 패치 업데이트와 네트워크 장비 및 보안 장비의 구성 변경은 최소 반기마다 이루어져야 하며 시스템 오류 발견 시 즉시 업데이트를 실시해야 한다.

7. 기관 네트워크 내 설치된 네트워크 장비, 보안 및 보호 장비, 바이러스 백신 소프트웨어, 네트워크 분석 및 관리 도구는 명확한 출처와 원산지를 가진 라이선스 소유 제품이어야 한다.

조 7. 시스템 하드웨어 및 소프트웨어

1. 인터넷 뱅킹 시스템을 지원하기 위한 서버 및 관련 장비는 고객의 서비스 이용 요구를 충족시키는 성능을 갖추고 있어야 한다.

2. 인터넷 뱅킹 서버에 대한 요구사항

a) 높은 가용성과 유연한 예비 시스템 메커니즘을 통해 지속적인 작동을 보장한다.

b) 안전하게 보호되고 철저히 감독되는 장소에 설치되어야 한다.

c) 다른 업무용 서버들과 논리적으로 또는 물리적으로 분리되어야 한다.

3. 시스템 소프트웨어에 대한 요구사항

a) 소프트웨어 시스템 버전 패치는 최소 반기마다 제조업체의 권고에 따라 검토 및 업데이트해야 한다.

b) 인터넷 뱅킹 서버에 설치될 수 있는 소프트웨어 목록을 작성하고 최소 3개월마다 업데이트 및 검사를 실시하여 해당 목록을 준수하도록 한다.

조 8. 응용 소프트웨어

1. 일반 요구 사항

a) 업무의 안전 및 보안 요구사항은 전체 소프트웨어 개발 과정에서 분석, 설계, 구현, 운영 및 유지보수 단계에 조직적으로 적용되어야 한다.

b) 소프트웨어의 안전 및 보안 관련 문서는 "비밀" 등급으로 체계화하고 보관하며 사용해야 한다.

c) 새로운 응용 프로그램을 구현하기 전에는 구현 과정이 업무 활동, 관련 정보기술 시스템에 미치는 위험을 평가하고 위험을 제한하거나 해결하기 위한 방안을 수립하고 실행해야 한다.

d) 시스템 내에서 발생하는 비정상적인 활동과 거래를 식별하고 통계를 작성해야 한다.

2. 응용 소프트웨어 테스트

a) 인터넷 뱅킹 서비스를 제공하는 응용 프로그램에 대한 테스트 계획 및 시나리오를 작성하고 승인하며, 이는 안전성 및 보안 요구사항을 충족해야 함을 명시해야 한다.

b) 입력 데이터를 처리할 때 발생할 수 있는 오류와 보안 취약점을 발견하고 제거해야 한다.

c) 테스트 중 발생한 오류와 그 처리 과정, 특히 보안 관련 오류를 테스트 보고서에 기록해야 한다.

d) 인터넷 익스플로러, 모질라, 파이어폭스, 구글 크롬 등의 일반적인 웹 브라우저에서 보안 및 안전 기능을 테스트해야 한다.

드) 실제 업무 운영에 영향을 주지 않도록 별도 환경에서 테스트를 진행하고, 테스트 결과를 보고서로 작성하여 승인받아야 한다.

e) 테스트를 위한 데이터 사용 시 부당 이용이나 혼란을 피하기 위한 조치를 취해야 한다.

3. 버전 관리 및 업그레이드

a) 소프트웨어 변경 요청에 대해 현재 시스템 및 관련 업무, 정보기술 시스템에 미치는 영향을 분석하고 평가해야 한다.

b) 소프트웨어 버전은 소스 코드 포함하여 집중적으로 관리, 보관, 보호하고 각 구성원에게 파일 작업 권한을 부여하는 메커니즘을 갖추어야 한다.

c) 버전 정보, 업데이트 시간, 업데이트자 정보를 기록해야 한다.

d) 공식 배포 전에 안전 및 보안 기능, 안정성을 테스트한 후 버전 업그레이드를 해야 한다.

드) 버전 업그레이드는 테스트 결과를 바탕으로 승인된 후 진행해야 한다.

e) 성공적으로 테스트된 소프트웨어 버전은 불법 수정을 방지하고 배포 준비를 위해 철저히 관리해야 한다.

가) 새로운 소프트웨어 버전과 함께 변경 내용, 소프트웨어 업데이트 지침, 기타 관련 정보를 명확하게 제공하고 이를 승인받아야 고객에게 배포하기 전까지 보관해야 한다.

4. 소스 코드 관리

a) 소스 코드 검사를 통해 해킹 가능한 코드와 보안 취약점(백도어)을 제거해야 한다.

b) 인터넷 뱅킹 시스템의 소스 코드 관리를 담당하는 개인을 지정해야 한다.

c) 소스 코드 접근은 승인을 받아야 하며 추적 및 로깅이 이루어져야 한다.

d) 소스 코드는 최소 두 개 이상의 독립된 장소에서 안전하게 보관해야 한다.

드) 제3자로부터 소프트웨어를 구매하면서 소스 코드를 받지 못한 경우, 서비스 제공자는 해당 제3자가 제공하는 응용 소프트웨어에 해킹 가능한 코드가 없는 것을 약속하도록 요구해야 한다.

조 9. 데이터베이스 안전

1. 저작권과 출처, 원천이 명확하고 유사한 조직에서 실제 업무 운영을 통해 검증된 데이터베이스 관리 시스템만 사용할 수 있다.

2. 인터넷 뱅킹 시스템에 사용되는 데이터베이스 관리 시스템은 안정적인 운용 요구사항을 충족해야 하며, 업무 요구사항에 따른 대량의 데이터 처리 및 저장 능력을 보유하고 있어야 하며, 데이터베이스 자원에 대한 보호 및 접근 권한 분배 메커니즘을 갖추고 있어야 한다.

3. 데이터베이스 관리 시스템의 패치 및 오류 수정 버전은 최소 6개월마다 또는 공급업체의 권고가 있을 때마다 검토 및 업데이트해야 한다.

4. 데이터베이스에 대한 백업 및 예비 방안을 마련하여 데이터베이스 사고 발생 시 인터넷 뱅킹 시스템이 지속적으로 작동하도록 보장해야 한다.

5. 각 개인의 데이터베이스 접근에 대한 권한을 세분화하고 엄격하게 규정하며, 데이터베이스 접근 및 데이터베이스 구성 변경 작업에 대한 로그를 기록해야 한다.

6. 데이터베이스 공격 형태를 차단하기 위한 대책을 마련해야 한다.

조 10. 데이터 암호화

1. 인터넷 뱅킹 시스템의 보안 요구사항과 처리 능력을 충족하는 암호화 알고리즘을 선택해야 한다.

2. 사용 중인 암호화 알고리즘은 연간 정기적으로 안전성 평가를 실시하고 발견된 취약점을 즉시 처리해야 한다.

3. 한 사람이 모든 암호화 키 생성 과정을 수행하지 않도록 해야 한다. 암호화 키는 안전하게 초기화, 변경, 배포, 보관되어야 한다.

4. 필요할 경우 암호화된 정보를 복구할 수 있도록 해야 한다.

5. 암호화 키 회수에 대한 엄격한 규정을 마련해야 하며, 키 삭제와 복구를 포함해야 한다.

조 11. 로그 관리

1. 인터넷 뱅킹 시스템에 다음 이벤트를 로그에 기록한다:

가) 시스템 접근 과정.

나) 시스템 구성 작업.

다) 인증 이벤트.

라) 접근 권한 부여 및 회수 이벤트 및 서비스 사용.

마) 거래 처리.

바) 비정상적 접근.

2. 고객 거래 로그를 기록하고 인터넷 뱅킹 시스템에서 이루어진 금융 거래를 모니터링한다.

3. 인터넷 뱅킹 시스템의 로그는 필요할 때 접근 가능하도록 안전하게 보관 및 보호되어야 하며, 최소 3년 동안 보관해야 한다.

4. 비정상적 및 불법적 접근을 탐지 및 예방하기 위해 최소한 매월 로그 접근을 검토해야 한다.

조 12. 사고 관리

1. 사고 관리 절차를 마련하고 관련 부서의 책임을 명확히 규정하며, 고객에게 통보하고 은행 당국에 보고하는 등의 구체적인 단계를 포함해야 한다.

2. 사고 관리 절차는 최소 6개월마다 사고 및 대응 방안을 검토 및 업데이트해야 한다.

3. 서비스 거부 공격(DDoS)을 탐지 및 즉시 처리하기 위해 방화벽, 침입 탐지 및 차단 장비, 네트워크 트래픽 방향 전환 알림 장비, 공격 시 패킷 필터링 등 기술적 대책을 적용해야 한다.

4. 제3자로부터 인터넷 뱅킹 시스템과 관련된 제3자 서비스의 사고 대응 절차를 제공받아야 한다.

조항 13. 고객 안내

1. 고객과 서비스 제공 업체의 권리와 의무를 명확히 하는 규정을 제정한다. 이는 인터넷 뱅킹 서비스의 제공 및 이용에 관한 것이다.

2. 고객이 인터넷 뱅킹 서비스를 사용하는 동안 자가 보안을 위해 필요한 내용을 안내한다. 다음 사항을 포함한다:

가) 비밀번호 설정 방법 및 보호 방법.

나) 비밀번호 및 디지털 서명을 저장하는 장치를 공유하지 않음.

다) 웹 브라우저에서 사용자 이름과 비밀번호를 저장하도록 설정하지 않음.

라) 사용하지 않을 때 인터넷 뱅킹 시스템에서 로그아웃함.

마) 공용 컴퓨터나 공용 무선 네트워크를 통해 인터넷 뱅킹 시스템에 접근할 때 주의하고 제한함.

바) 인터넷 뱅킹 서비스 제공 업체의 애플리케이션 접속 방법.

사) 서비스 사용 중 발생한 오류 및 문제를 인터넷 뱅킹 서비스 제공 업체에 보고함.

아) 다른 위험 경보.

장 III

보고서

조항 14. 일반 요구사항

서비스 제공 업체는 은행법원(정보기술국)에 대한 보고서를 제출해야 한다. 이는 통지 제15조, 제16조에 따라 이루어진다.

조항 15. 보고서 종류

1. 인터넷 뱅킹 서비스 제공 보고서:

가) 본 통지가 효력 발생하기 전에 서비스를 제공한 업체: 본 통지가 효력 발생한 날로부터 10일 이내에 보고서를 제출해야 함.

나) 본 통지가 효력 발생 후 서비스를 제공하는 업체: 인터넷 뱅킹 서비스를 공식적으로 제공하기 최소 10일 전에 보고서를 제출해야 함.

2. 연간 보고서:

서비스 제공 업체는 매년 3월 15일 이전에 연간 보고서를 제출해야 함.

3. 긴급 보고서:

서비스 제공 업체는 시스템 인터넷 뱅킹의 안전성에 영향을 미치는 사고가 발생한 경우, 사고 발생 또는 발견된 날로부터 5일 이내에 긴급 보고서를 제출해야 함.

조항 16. 보고서 내용

1. 인터넷 뱅킹 서비스 제공 보고서는 다음과 같은 내용을 포함한다:

가) 서비스 제공 웹사이트 주소.

나) 현재 제공 중인 제품 및 서비스.

다) 공식 제공 날짜.

라) 인터넷 뱅킹 시스템 제공 업체.

마) 제3자가 참여하여 인터넷 뱅킹 시스템을 구축하거나 운영하는 경우, 그 제3자의 활동 및 참여 방식.

바) 기술 인프라, 인력, 업무 프로세스, 위험 대응 계획 등 관련 문서들. 이는 통지 제2장에 따른다.

2. 연간 보고서는 다음과 같은 내용을 포함한다:

가) 현재 제공 중인 인터넷 뱅킹 제품 및 서비스.

나) 이전 보고서 이후 변경된 인터넷 뱅킹 제품 및 서비스.

다) 이전 보고서 이후 변경된 제28항의 문서들.

라) 인터넷 뱅킹 서비스를 이용하는 고객 수 및 전년 동기 대비 성장률.

마) 해당 기간 동안 발생한 사고. 위험 그룹별로 사고를 보고하며, 손해와 적용된 대응 조치도 함께 보고한다.

바) 제안 및 의견.

3. 긴급 보고서는 다음과 같은 내용을 포함한다:

가) 사고 발생 날짜 및 장소.

나) 사고의 간략한 설명 및 발생 당시의 상태.

다) 사고 원인.

라) 인터넷 뱅킹 시스템 및 관련 시스템에 미친 위험과 영향 평가.

마) 손해 상황.

바) 사고 복구, 위험 방지 및 예방을 위한 업체가 취한 조치.

사) 제안 및 의견.

장 IV

시행규정

조 17. 효력 발생

1. 본 통지는 2011년 11월 4일부터 효력을 갖는다.

2. 2003년 8월 5일 은행법원 총재가 발행한 통지 제9/2003/TT-NHNN은 정부령 제55/2001/NĐ-CP에 따른 인터넷 관리, 제공 및 사용에 대한 지침을 시행하며, 2008년 3월 10일 통지 제1/2008/TT-NHNN이 통지 제9/2003/TT-NHNN을 수정 보완한 것 또한 본 통지가 효력을 갖는 날부터 효력을 잃는다.

3. 시행 중 발생한 문제나 어려움에 대해 관련 조직 및 개인은 은행법원(정보기술국, 하노이 도ONGLA 64 Nguyen Chi Thanh)에 즉시 보고하여 검토 및 처리한다.

조 제18항. 시행 책임

1. 정보기술국은 각 서비스 제공 업체의 본 통지 준수 여부를 모니터링하고 검사한다. 매년 업체들의 보고서를 통해 또는 현장 검사를 통해 인터넷 뱅킹 시스템의 안전성 및 보안을 평가하며, 베트남 은행 시스템의 인터넷 뱅킹 서비스의 안전성 및 보안 상황을 종합하여 은행법원 총재에게 보고한다.

2. 은행 감독기관은 정보기술국과 협력하여 본 통지를 검사 및 감독하며, 법령에 따른 행위 위반에 대한 행정 처벌을 부과한다.

3. 은행법원 비서실장, 정보기술국 국장 및 은행법원 소속 단체의 책임자, 중앙 직할 성 및 도의 은행법원 지점장, 인터넷 뱅킹 서비스를 제공하는 신용기관의 이사회 의장, 이사회 회원 의장, 총괄 경영자(대표)는 본 통지를 시행하는 데 책임을 진다./.