Đề xuất quy định kiểm soát phiên bản cài đặt được phát hành của ứng dụng Mobile Banking

Tại dự thảo, đối với quy định về phần mềm ứng dụng Mobile Banking (Điều 8 của Thông tư số 50/2024/TT-NHNN), Ngân hàng Nhà nước Việt Nam đề xuất bổ sung khoản 1a vào sau khoản 1 Điều 8 như sau:

Kiểm soát phiên bản cài đặt được phát hành của ứng dụng Mobile Banking:

Định kỳ tối thiểu 02 tháng một lần đánh giá các phiên bản phần mềm ứng dụng đang cho phép khách hàng cài đặt, sử dụng nhằm xác định các lỗ hổng bảo mật và đánh giá khả năng bị can thiệp bởi tội phạm mạng.

Kiểm soát và không cho phép khách hàng sử dụng các phiên bản cũ hơn tối đa không quá 02 phiên bản so với phiên bản mới nhất kết nối tới hệ thống Online Banking để thực hiện giao dịch.

Trong trường hợp khách hàng kích hoạt trên thiết bị mới hoặc kích hoạt lại ứng dụng Mobile Banking, bắt buộc phải cài đặt, sử dụng phiên bản mới nhất. Có giải pháp kiểm soát không cho phép hạ phiên bản (downgrading) xuống sử dụng các phiên bản thấp hơn trong trường hợp này.

Khi phát hiện có lỗ hổng bảo mật phải có biện pháp kiểm tra, không cho thực hiện giao dịch và thực hiện xử lý, khắc phục, cập nhật ngay phiên bản mới.

Ngân hàng Nhà nước Việt Nam cho biết, việc bổ sung nội dung kiểm soát phiên bản nêu trên để hạn chế, loại các phiên bản cũ hoặc phiên bản có lỗ hổng bảo mật.

Bên cạnh đó, đối với khoản 4 Điều 8 Thông tư số 50/2024/TT-NHNN, thay vì quy định "Triển khai các giải pháp nhằm phòng, chống, phát hiện các hành vi can thiệp trái phép vào ứng dụng Mobile Banking đã cài đặt trong thiết bị di động của khách hàng", Ngân hàng Nhà nước Việt Nam đề xuất bổ sung cụ thể một số nội dung như sau:

Triển khai các giải pháp nhằm phòng, chống, phát hiện các hành vi can thiệp trái phép vào ứng dụng Mobile Banking đã cài đặt trong thiết bị di động của khách hàng.

Ứng dụng Mobile Banking phải tự động thoát hoặc dừng hoạt động nếu phát hiện: 1- Có trình gỡ lỗi (debugger) được gắn vào hoặc môi trường có trình gỡ lỗi đang hoạt động; hoặc khi ứng dụng bị chạy trong môi trường giả lập (emulator)/máy ảo/thiết bị giả lập;

2- Phần mềm ứng dụng bị chèn mã bên ngoài ứng dụng khi đang chạy, thực hiện các hành vi như theo dõi các hàm được chạy, ghi lại log dữ liệu truyền qua các hàm, API.... (hook);

3- Thiết bị đã bị phá khóa (root/jailbreak).

Ngân hàng Nhà nước Việt Nam đang lấy ý kiến góp ý dự thảo trên Cổng Thông tin điện tử của cơ quan này./.