سخت‌گیری نظارتی در تأیید الکترونیکی مشتریان با رویه‌های جدید برای مبارزه با هک داده‌ها و پول‌ها
دستورالعمل‌های جدید بانک مرکزی کویت برای بانک‌ها و شرکت کی‌نت جهت تقویت امنیت معاملات دیجیتال
ترجمهٔ قیاس از الراي — منبع اصلی
- بانک‌ها و «کی‌نت» ملزم به رعایت حداقل داده‌های لازم برای انجام تراکنش هستند
- تراکنش باید شامل زمان اجرای عملیات، نام ذی‌نفع و منبع کسر وجه باشد
- فهرست شامل تراکنش‌هایی است که اثر مالی مستقیم و غیرمستقیم دارند
- تقویت امنیت خدمات و کاهش خطرات سوءاستفاده از فرآیندهای احراز هویت
در چارچوب کاهش خطرات کلاهبرداری الکترونیکی و سرقت داده‌های ورودی و کدهای تأیید، بانک‌های محلی کویت اقدام به تشدید رویه‌های امنیتی خدمات بانکداری دیجیتال کرده‌اند. این اقدامات شامل تقویت روش‌های احراز هویت متقاضیان هنگام ورود به اپلیکیشن‌های بانکی و همچنین هنگام انجام خریدهای آنلاین است.
در این راستا، بانک مرکزی کویت به تمام بانک‌های محلی و شرکت خدمات بانکداری خودکار مشترک «کی‌نت» دستور داده است که به حداقل داده‌های لازم برای گنجاندن در فرآیند احراز هویت الکترونیکی خدمات بانکداری الکترونیک پایبند باشند.
بانک مرکزی بیان کرد که این اقدامات در چارچوب تلاش ناظر نظارتی، بخش بانکی و ذی‌نفعان مرتبط برای تقویت امنیت خدمات بانکداری الکترونیک و کاهش خطرات سوءاستفاده از فرآیندهای احراز هویت الکترونیکی در خدمات بانکی صورت می‌گیرد.
اقدامات جدید شامل تأکید بانک مرکزی بر ضرورت گنجاندن داده‌های مرتبط با تراکنش‌ها در فرآیند احراز هویت الکترونیکی است، با رعایت تفاوت در ماهیت تراکنش‌ها، کانال‌ها و سیستم‌های مورد استفاده، به شرح زیر:
۱- تراکنش‌هایی که اثر مالی مستقیم دارند: در این خصوص، پایگاه داده باید شامل زمان اجرای عملیات، نام ذی‌نفع و منبع کسر وجه باشد. منبع کسر وجه باید از طریق نمایش چهار رقم آخر شماره کارت استفاده‌شده یا شماره حساب بانکی به صورت رمزنگاری‌شده نشان داده شود. همچنین مقدار تراکنش و هدف آن باید ذکر گردد.
در این زمینه، بانک‌ها و «کی‌نت» موظفند هشدار واضحی به مشتریان بدهند که کد تأیید یا هرگونه داده یا محتوای احراز هویت را با هیچ شخص ثالثی به اشتراک نگذارند.
۲- تراکنش‌هایی که اثر مالی مستقیم ندارند: پایگاه داده این تراکنش‌ها باید شامل زمان اجرای عملیات، نهاد درخواست‌کننده اجرا و هدف عملیات باشد. همچنین باید هشدار واضحی به مشتریان داده شود که کد تأیید یک‌بارمصرف (OTP) یا هرگونه داده یا محتوای احراز هویت را با هیچ شخص ثالثی به اشتراک نگذارند.
در خصوص انتخاب کانال دریافت کد تأیید یا درخواست احراز هویت، بانک‌ها موظفند مکانیزمی را فراهم کنند که به مشتری امکان دهد کانالی را که مایل به استفاده از آن برای دریافت کد تأیید یک‌بار مصرف (OTP) یا درخواست احراز هویت لازم پیش از تکمیل عملیات انتخاب کند. این فرآیند باید از طریق یکی از کانال‌های امن و مورد تأیید بانک، از جمله اپلیکیشن بانک یا پیامک‌های کوتاه (SMS) انجام شود.
همچنین بانک مجاز است در صورت عدم امکان استفاده از کانالی که توسط مشتری تعیین شده، وسیله‌ای جایگزین برای دسترسی به کد تأیید یا محتوای احراز هویت فراهم کند، مشروط بر اینکه مشتری پیش از این از وجود این وسیله جایگزین و نحوه استفاده از آن آگاه شود و این امر با الزامات مندرج در اسناد چارچوب تاب‌آوری سایبری و عملیاتی بانک‌ها و مؤسسات مالی داخلی همخوانی داشته باشد.
نظارت بر بانک‌ها تأکید کرده است که آن‌ها باید به بانک مرکزی تأیید کنند که به دستورات ابلاغیه صادره در این زمینه پایبند بوده و اقدامات لازم را برای اطمینان از اجرای واقعی این الزامات از طریق کانال‌ها و سیستم‌های بانکی مرتبط اتخاذ نموده‌اند.
