시행규칙

은행법원장이 발행한 50/2024/TT-NHNN 통지에서 금융기관의 온라인 서비스 제공에 대한 안전 및 보안을 규정하는 몇 조항을 수정하고 보완함
은행법원장이 발행한 50/2024/TT-NHNN 통지에서 금융기관의 온라인 서비스 제공에 대한 안전 및 보안을 규정하는 몇 조항을 수정하고 보완함
은행업계의 온라인 서비스 제공에 대한 안전 및 보안을 규정함

 

금융기관 및 외국 은행 지점의 할인업무에 관한 규정 제정은 다음과 같은 근거를 바탕으로 함.

정보통신망 이용촉진 및 정보보호 등에 관한 법률 제86호 2015/QH13;

사이버안보법 제24호 2018/QH14;

전자거래법 제 20/2023/QH15에 의거

금융기관법 제32/2024/QH15호(2025년 법률 제96/2025/QH15호로 개정 보완된 것)에 의거,

3. 2005년 제49호 법률(금융수단법) 제11회 국회 법제49호;

정보기술국 국장의 건의에 따라;

은행법원장은 은행법원장이 발행한 50/2024/TT-NHNN 통지에서 금융기관의 온라인 서비스 제공에 대한 안전 및 보안을 규정하는 몇 조항을 수정하고 보완함      

제1조. 몇 조항의 몇 점, 항을 수정하고 보완함

1. 제1조의 제1항의 d 점을 다음과 같이 보완함:

“d) 이동화폐 서비스 제공 활동;”

2. 제1조의 제2항을 다음과 같이 수정하고 보완함:

“2. 적용 대상

본 통지는 금융기관, 외국 은행 지점, 중개 결제 서비스 제공 기관, 이동화폐 서비스 제공 기관, 신용정보 회사(이하 단위라고 함)를 적용 대상으로 함.”

제2조. 제2조의 제11항을 보완함

“11. 새로운 조직 고객 최근 12개월 내에 설립된 조직 또는 단위와 최근 12개월 내에 관계를 설정한 조직이며, 단위는 해당 고객이 거래를 수행할 때 생체 인식 정보나 안전한 전자 서명을 사용하는 방법을 적용하기 위한 시간을 결정하기 위해 위험 평가를 수행하고 확인해야 함. 이 규정에는 다음이 포함되지 않음:

a) 정부 기관, 공공 사립 단위;

b) 금융기관, 외국 은행 지점;

c) 증권법에 따라 상장된 조직;

d) 포춘 글로벌 500 목록에 포함된 조직(포춘 잡지가 직전 연도에 발표한 것);

e) 베트남에서 간접 투자를 수행하기 위해 비거주 외국 투자가가 개설한 결제 계좌;

f) 단위가 선택한 다른 조직이며, 이러한 선택에 따른 모든 위험에 대해 완전히 책임을 지며, 단위는 고객에 대한 정확한 확인을 보장하고 선택에 따른 모든 책임을 부담해야 함.”

제3조. 제3조의 제3항의 a 점을 수정하고 보완함

“a) 제11조의 제3항, 제4항, 제5항, 제7항, 제8항, 제9항에서 규정된 확인 방법 중 최소 한 가지를 사용하여 고객 식별 정보 변경 시 적용함.

개인 고객 또는 새로운 조직 고객이 고객의 신분증(개인 고객의 경우 신분증, 전자 신분증, 여권 또는 조직 고객의 법적 대표자의 신분증 포함) 또는 거래 확인 방법(최소한 전화번호 또는 이메일 주소 또는 전자 서명 포함)을 변경하거나 등록 및 사용 시, 제11조의 제5항에서 규정된 확인 방법과 제11조의 제3항, 제4항, 제7항, 제8항, 제9항에서 규정된 확인 방법 중 하나를 결합하여 적용함.”

제4조. 몇 점, 항을 수정하고 보완함

1. 제7조의 제3항의 c 점을 다음과 같이 수정하고 보완함:

“c) 기술적인 취약점을 검색하고 발견하며, 취약점, 공격 방식에 대한 방어 능력을 최소한 다음 요구사항을 충족하도록 평가함:

(i) 웹 플랫폼을 통해 제공되는 온라인 뱅킹 애플리케이션에 대해서는 OWASP(OWASP Top Ten)가 공개한 가장 일반적인 10가지 취약점에 대비해야 함.

(ii) 모바일 뱅킹 애플리케이션에 대해서는 OWASP가 공개한 모바일 애플리케이션 보안 요구사항을 충족해야 함(OWASP Mobile Application Security).

(iii) OWASP Top Ten 또는 OWASP Mobile Application Security 버전은 최신 버전 또는 발행 후 6개월 이내의 버전을 적용함.”

2. 제7조의 제6항의 g 점을 다음과 같이 수정하고 보완함:

“g) 조직 고객을 위한 애플리케이션은 온라인 결제 거래(신용 카드 온라인 결제를 제외한 결제 수단을 통한 결제)를 수행하기 위해 최소 두 단계(거래 생성 및 승인)를 포함해야 함.

소규모 사업자 또는 단순 회계 체계를 사용하는 소기업 고객의 경우, 거래 생성 및 승인 단계를 분리하지 않고 거래를 수행할 수 있음;”

3. 제7조의 제8항의 b 점을 다음과 같이 수정하고 보완함:

“b) 온라인 뱅킹 애플리케이션은 조직 고객의 애플리케이션과의 연결을 확인하여 국제 표준 또는 베트남 표준에 따라 안전성, 보안성, 사기 방지를 보장하는 기능을 가져야 함;”

조 5. 제8조 일부 항을 개정·보충한다.

1. 제8조 제1항 다음에 제1a항을 다음과 같이 추가한다.

"1a. 모바일 뱅킹 애플리케이션 설치 버전의 제어:

a) 최소한 3개월마다 단위는 고객이 설치하고 사용할 수 있는 소프트웨어 애플리케이션의 각 버전에 대한 안전성 및 보안성을 평가하여 보안 취약점과 사이버 범죄자의 간섭 가능성 등을 확인해야 한다.

b) 고객이 새로운 장치에서 또는 모바일 뱅킹 애플리케이션을 다시 활성화할 경우, 고객은 보안 및 안전 요구 사항을 충족하는 최신 버전 또는 가장 가까운 버전을 설치하고 사용해야 한다. 이 경우 단위는 하향 업그레이드를 방지하기 위한 조치를 취해야 한다.

c) 보안 취약점이 높거나 심각한 수준으로 평가된 경우, 단위는 거래를 수행하지 못하게 하는 조치 또는 보안 취약점을 악용하여 네트워크 공격이나 부정 거래, 재산 점유를 방지하기 위한 조치를 취해야 한다. 또한 단위는 규정된 시간 내에 새로운 버전을 즉시 배포하여 처리하고 복구해야 한다."

2. 제8조 제4항을 다음과 같이 개정·보충한다.

"4. 고객의 모바일 장치에 설치된 모바일 뱅킹 애플리케이션에 대한 불법적인 간섭을 방지하고 탐지하기 위한 조치를 구현한다. 모바일 뱅킹 애플리케이션은 다음 중 하나 이상의 징후를 발견하면 자동으로 종료되거나 중단되고 고객에게 이유를 통보해야 한다:

a) 디버거가 연결되거나 디버깅 환경이 실행 중인 경우; 또는 애플리케이션이 에뮬레이터/가상 기기/가짜 장치에서 실행되는 경우; 또는 안드로이드 디바이스와 컴퓨터 간 직접 통신을 허용하는 모드에서 실행되는 경우;

b) 애플리케이션 소프트웨어가 실행 중인 동안 외부 코드가 삽입되어 함수 실행을 추적하거나 로그 데이터 전송을 기록하는 등의 행위를 수행하는 경우 (hook); 또는 애플리케이션 소프트웨어가 재포장되거나 간섭을 받은 경우;

c) 장치가 해제(root / jailbreak)되었거나 보호 메커니즘 해제(unlock_bootloader)된 경우."

3. 제8조 제5항을 다음과 같이 개정·보충한다.

"5. 비밀번호 저장 기능을 허용하지 않으며, 다만, 본 통고 제11조 제6항에서 정한 인증 방법을 적용하는 경우에는 예외로 한다."

조 6. 제10조 일부 호, 항을 개정·보충한다.

1. 제10조 제1항 제a호를 다음과 같이 개정·보충한다.

"a) 결제 계좌 또는 전자 지갑 또는 모바일 금융 계좌 또는 청구 카드로부터의 송금 거래에 대해서는, 단위는 본 통고 부록 01에서 정한 거래 유형 그룹에 따라 거래를 분류하고 본 통고 부록 02에서 정한 인증 방법을 적용하며, 제b호, 제c호, 제d호 및 제e호의 규정은 적용되지 않는다;"

2. 제10조 제1항 제d호를 다음과 같이 개정·보충한다.

"d) 단위가 고객과 합의한 조건에 따라 결제 계좌에서 자동으로 차감하거나 전자 지갑에서 자동으로 차감하거나 모바일 금융 계좌에서 자동으로 차감하거나 고객의 카드로부터 자동으로 결제하는 거래에 대해서는, 제1항 제a호, 제c호에서 정한 거래 인증은 적용되지 않는다;"

3. 조 10항 2을 다음과 같이 수정하고 보완함:

"2. 고객의 결제 계좌에서 자동으로 차감하거나 전자 지갑에서 자동으로 차감하거나 모바일 금융 계좌에서 자동으로 차감하거나 고객의 카드로부터 자동으로 결제하는 거래에 대해서는, 본 통고 제11조 제3항, 제4항, 제5항, 제7항, 제8항, 제9항에서 정한 인증 방법 중 최소 한 가지를 적용한다."

조 7. 제11조 일부 점, 항을 개정·보충한다.

1. 제11조 제5항 제씨목을 다음과 같이 개정·보충한다.

“씨) 생체정보물체(생체정보물체)의 위조공격검출방안(Presentation Attack Detection - PAD)은 본 항 제아목에서 정한 규정에 따라 단위가 자체적으로 시행하거나 제3자로부터 제공받은 경우, FIDO 연맹(FIDO Alliance)이 인정한 생체정보실증기관 또는 국제표준화기구(ISO)를 준수하는 표준에 대한 인증을 받은 인증기관(Certification Body)으로부터 2단계(LEVEL 2) 또는 동등한 수준의 국제표준화기구(ISO) 30107 인증을 받아야 한다. 인증기관(Certification Body)은 국제인증포럼(IAS 다자간인정협정 - IAF MLA)에 참여한 인증기관(Accreditation Body)에 의해 허가를 받아야 한다.”

2. 제11조 제8항을 다음과 같이 개정·보충한다.

“8. PGP(Quite Good Privacy) 인증 방식 PGP 인증 방식은 비대칭 암호 알고리즘(비밀키와 공개키로 구성되며 비밀키는 디지털 서명을 생성하고 공개키는 디지털 서명을 검증하는 데 사용됨)을 사용하여 보안 및 인증 기준을 충족시키는 방식으로 국제공학제작팀(IETF)에서 발행하였다. PGP 인증 방식은 다음 요구 사항을 충족해야 한다.

가) 고객의 공개키는 단위에 등록되어 안전하게 보관되며 고객의 전자 거래 계정과 연결되어야 한다.

나) 주체와 연결된 키에 대한 신원 확인 방법, 보안 메커니즘 및 키 회수 메커니즘이 있어야 한다.

다) 단위와 고객 간의 책임에 관한 합의가 있어야 하며, 이 방식으로 디지털 서명된 파일의 진정성, 완전성 및 부인 불가능성을 보장해야 한다.”

3. 제11조 제9항을 다음과 같이 개정·보충한다.

“9. 안전한 전자서명 인증 방식은 전자서명을 사용하여 인증하는 방식이며, 여기서 전자서명은 국내 법령에 따라 인정된 국내 전자서명 또는 해외 전자서명이다.”

조 8. 제21조를 개정·보충한다.

“조 21. 중앙은행 소속 단위의 책임

1. 정보통신국은 통지의 시행 과정에서 발생한 문제점에 대한 모니터링, 검사 및 관련 단위와의 협력을 통해 처리할 책임이 있다.

2. 금융감독원은 통지의 시행 상황을 감사하고 위반 사항을 법령에 따라 처리할 책임이 있다.

3. 중앙은행 지방사무소는 관할 지역 내의 금융기관, 외국 은행 지점, 결제 중개 서비스 제공업체에 대한 통지의 시행 상황을 감독하고 법령에 따라 위반 사항을 처리할 책임이 있다.”

조 9. 제23조 제1항 후에 제1아항을 추가한다.

“1아. 본 통지가 효력 발생하기 전에 이루어진 자동으로 계좌에서 돈을 인출하는 거래는 계약 기간이 정해진 경우 해당 기간까지 계속 진행되며, 기간이 정해지지 않은 경우에는 2026년 12월 31일까지 계속 진행될 수 있다. 계약의 수정, 보충, 연장은 제10조 제2항의 통지 규정을 준수해야 한다.”

조항 10. 법률 시행규칙 제 50/2024/TT-NHNN에 부록을 수정하고 보충한다.

법률 시행규칙 제 50/2024/TT-NHNN에 부록 제 01, 02, 04를 법률 시행규칙 이에 첨부된 부록 제 01, 02, 04로 대체한다.

조항 11. 집행 책임

국가은행 베트남의 각 단위 수장, 금융기관, 외국 은행 지점, 결제 중개 서비스 제공 조직, 모바일 금융 서비스 제공 조직, 신용 정보 회사는 이 법률 시행규칙의 집행을 책임진다.

조항 12. 시행 규정

1. 이 법률 시행규칙은 2026년 3월 1일부터 효력이 발생하나, 본 조항의 제2항과 제3항에서 규정한 경우를 제외한다.

2. 온라인 결제 서비스를 개인 및 기업 고객 모두에게 제공하는 단위에 대해서는 이 법률 시행규칙의 조 3, 조 10 규정은 2026년 7월 1일부터 적용된다.

3. 온라인 결제 서비스를 기업 고객만을 대상으로 제공하는 단위에 대해서는 이 법률 시행규칙의 조 3, 조 10 규정은 2026년 10월 1일부터 적용된다./.

부록 01
온라인 결제 거래 분류

(2026/__/TT-BXD 통지에 첨부)        /2025/TT-NHNN 날짜       월      2025년 국가은행 총재

 

 

참고:

G: 거래 가치.

다_ksth: 각 거래 유형 그룹의 각 거래 유형 A, 유형 B 및 유형 C2 (새로운 기업 고객에 대한)의 거래 가치 총액 (금융 애플리케이션을 통해 은행 연계 계좌 또는 카드에서 전자 지갑으로의 자금 이체 거래 포함) ) 또는 전자 지갑 (은행 연계 계좌 또는 카드에서 전자 지갑으로의 자금 이체 거래를 제외함전자 지갑 내부에서 연계 은행의 결제 계좌 또는 카드로 부터 해당 전자 지갑으로의 송금 거래는 포함하지 아니한다.) 또는 고객의 결제 서비스 제공 기관 또는 결제 중개 서비스 제공 기관 또는 이동 통화 서비스 제공 기관에 개설된 이동 통화 계좌 중 하나이며, 직접적인 결제 계좌에서 차감되는 거래, 직접적인 전자 지갑에서 차감되는 거래, 직접적인 이동 통화 계좌에서 차감되는 거래, 카드를 통해 직접 결제하는 거래는 제외한다._ksth 해당 날짜의 시작 시점 또는 고객이 그 날 사용하여 C 또는 D 유형 거래(개인 고객의 경우) 또는 C1 또는 D1 유형 거래(기업 신규 고객의 경우)를 확인하기 위해 거래를 수행한 직후에 0으로 평가된다.

T: 각 거래 유형 그룹에서 해당 날 수행된 거래의 총 가치결제 계좌 또는 카드(전자 지갑으로부터 결제 계좌 또는 카드를 통해 전자 지갑 소유자가 연계 은행에서 수행한 전자 지갑 애플리케이션을 통해 자금 이체 거래 포함)) 또는 전자 지갑(전자 지갑 소유자가 연계 은행에서 수행한 전자 지갑 애플리케이션을 통해 전자 지갑으로 자금 이체 거래를 제외함) 또는 이동 통화 계좌) 고객이 결제 서비스 제공 기관 또는 결제 중개 서비스 제공 기관 또는 이동 통화 서비스 제공 기관에 개설된 것 중 하나이며, 직접적인 결제 계좌에서 차감되는 거래, 직접적인 전자 지갑에서 차감되는 거래, 직접적인 이동 통화 계좌에서 차감되는 거래, 카드를 통해 직접 결제하는 거래는 제외한다.

(1) 전자 지갑으로부터 결제 계좌/카드를 통해 전자 지갑 소유자가 연계 은행에서 수행한 거래 분류는 전자 지갑과 연계된 결제 계좌 또는 카드에 따라 이루어진다.

(2) 거래 시점의 환율에 따른 환전 한도.

(3) 가정 사업자 또는 초소형 기업이 간소한 회계 체계를 적용하는 경우, 개인 고객과 동일하게 거래 분류가 이루어진다.

 

부록 02
온라인 결제 거래 확인

(2026/__/TT-BXD 통지에 첨부)      /2025/TT-NHNN 날짜     월    공안부의 직능, 임무, 권한 및 조직 구조에 대한 정부령 제02/2025/NĐ-CP 2025년 2월 18일 정부가 발령한 규정을 개정 및 보충한 정부령 제11/2025/NĐ-CP

베트남 은행 관리국)

 

참고:

- 본 통고 제11조에서 규정된 확인 방법에 따름.

- 개인 고객에게는:

+ D 유형 거래 확인 방법은 A, B, C 유형 거래를 확인할 수 있다.

+ C 유형 거래 확인 방법은 A, B 유형 거래를 확인할 수 있다.

+ B 유형 거래 확인 방법은 A 유형 거래를 확인할 수 있다.

- 기업 고객에게는:

+ D1 유형 거래 확인 방법은 A, B, C1 유형 거래를 확인할 수 있다.

+ D2, D3 유형 거래 확인 방법은 A, B, C2, C3 유형 거래를 확인할 수 있다.

+ C 유형 거래 확인 방법(C1, C2 및 C3 포함)은 A, B 유형 거래를 확인할 수 있다.

+ B 유형 거래 확인 방법은 A 유형 거래를 확인할 수 있다.

- 가정 사업자 또는 초소형 기업이 간소한 회계 체계를 적용하는 경우, 개인 고객과 동일한 거래 확인 방법을 적용한다. 여기서 생체 인식 정보와 생체 인식 정보 생체 인식 정보 장치의 형태는 형태 생체 인식 정보 생체 인식 정보 장치의 정보는 합법 대표자의 또는 합법 대표자가 위임한 개인의 (있을 경우).

(1) 온라인 뱅킹 애플리케이션에 로그인할 때 생체 인식 정보 장치를 통해 일치하는 정보를 확인한 경우, 해당 로그인 세션 내에서 거래를 수행할 때는 이러한 확인 방법을 적용하지 않는다.