巴塞爾銀行董事會(huì)和管理層監(jiān)督(編輯修改稿)
2025-05-14 05:46 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 序，但是這些程序的內(nèi)容還需要引起管理層的特別注意，因?yàn)殡娮鱼y行業(yè)務(wù)造成的安全問(wèn)題的難度在日益增大。下列問(wèn)題尤其顯著：身份認(rèn)證、不可否認(rèn)性、數(shù)據(jù)和交易的完整性、職責(zé)的分解、授權(quán)控制、審計(jì)跟蹤的維持、對(duì)關(guān)鍵銀行信息的保密。原則4：對(duì)于與銀行通過(guò)互聯(lián)網(wǎng)發(fā)生業(yè)務(wù)往來(lái)的客戶，銀行應(yīng)該采取適當(dāng)?shù)拇胧?，?duì)其身份和授權(quán)情況進(jìn)行認(rèn)證。銀行必須能夠確認(rèn)某一特定通訊、交易或進(jìn)入請(qǐng)求是否合法，相應(yīng)地，銀行應(yīng)該使用可靠的方法來(lái)審核新客戶的身份和授權(quán)情況，同時(shí)也要審核尋求開(kāi)展電子交易的老客戶的身份和授權(quán)情況。在賬戶開(kāi)立時(shí)對(duì)客戶身份進(jìn)行審核可以減少諸如盜用身份、欺詐賬戶和洗錢(qián)等方面的風(fēng)險(xiǎn)。如果銀行不能對(duì)客戶的身份作適當(dāng)認(rèn)證，就可能導(dǎo)致未經(jīng)授權(quán)的人員進(jìn)入電子銀行賬戶，出現(xiàn)欺詐、秘密信息泄露或無(wú)意卷入犯罪活動(dòng)，并且最終給銀行造成經(jīng)濟(jì)損失和聲譽(yù)損害。在一個(gè)完全開(kāi)放的電子網(wǎng)絡(luò)環(huán)境中，確認(rèn)和認(rèn)證進(jìn)入銀行系統(tǒng)的人員的身份和授權(quán)情況，可能是一項(xiàng)非常艱巨的任務(wù)。網(wǎng)絡(luò)黑客可能通過(guò)許多技術(shù)盜用合法用戶的授權(quán)，還可以通過(guò)使用嗅探器，來(lái)占用合法授權(quán)人員的線路，進(jìn)行有害或犯罪性質(zhì)的業(yè)務(wù)。此外，黑客可以通過(guò)修改身份認(rèn)證數(shù)據(jù)庫(kù)繞過(guò)認(rèn)證控制程序。因此，銀行必須擁有正式的政策和程序，使用各種適當(dāng)?shù)姆椒?，確保銀行能夠正確地對(duì)個(gè)人、代理人或系統(tǒng)的身份和授權(quán)情況進(jìn)行認(rèn)證，使用的方法既要獨(dú)特又要盡量切實(shí)可行，并且能夠阻止非授權(quán)的個(gè)人和系統(tǒng)的進(jìn)入。銀行可以用來(lái)進(jìn)行認(rèn)證的方法有很多種，其中包括個(gè)人身份號(hào)碼、密碼、智能卡、生物測(cè)量技術(shù)和數(shù)字證書(shū)。這些方法可以單獨(dú)使用或合并使用。一般來(lái)說(shuō)，多種認(rèn)證方法同時(shí)使用會(huì)更安全。銀行管理層必須對(duì)整個(gè)電子銀行系統(tǒng)或其某些組成部分所帶來(lái)的風(fēng)險(xiǎn)進(jìn)行評(píng)估分析，在此基礎(chǔ)上決定采用何種身份認(rèn)證方法。風(fēng)險(xiǎn)分析應(yīng)該包括評(píng)估電子銀行系統(tǒng)（如資金轉(zhuǎn)移、賬單支付、貸款發(fā)放、賬戶匯總等）的交易能力、所儲(chǔ)存的電子銀行數(shù)據(jù)的敏感度和價(jià)值以及客戶使用認(rèn)證方法的難易程度。在跨境電子銀行業(yè)務(wù)中，完善的客戶認(rèn)證和授權(quán)程序非常重要。因?yàn)樵谂c國(guó)外客戶進(jìn)行電子交易時(shí)，可能會(huì)出現(xiàn)許多其他方面的難題，包括身份模仿的風(fēng)險(xiǎn)，對(duì)潛在客戶的資信狀況進(jìn)行有效審查的難度則更大。在認(rèn)證方法的不斷發(fā)展的同時(shí)，應(yīng)該鼓勵(lì)銀行跟蹤和采用該領(lǐng)域中的業(yè)界穩(wěn)健做法，以確保：審查進(jìn)入電子銀行顧客賬戶或敏感系統(tǒng)的身份認(rèn)證數(shù)據(jù)庫(kù)不被篡改和毀損。任何篡改都可以被及時(shí)發(fā)現(xiàn)，并且對(duì)這些篡改企圖進(jìn)行審計(jì)跟蹤。對(duì)個(gè)人、代理或系統(tǒng)的身份認(rèn)證數(shù)據(jù)庫(kù)所進(jìn)行的增加、刪除或修改都需要事先經(jīng)認(rèn)證資源適當(dāng)授權(quán)。應(yīng)該采取適當(dāng)措施，控制電子銀行系統(tǒng)連接，例如，防止未知的第三方取代已有的客戶。在整個(gè)通訊期間，經(jīng)過(guò)認(rèn)證的電子銀行通訊線路一直保持安全狀態(tài)。如果因安全原因而中斷通訊線路，再次進(jìn)入時(shí)應(yīng)該要求重新認(rèn)證。原則5：銀行應(yīng)該使用促進(jìn)交易不可否認(rèn)性和明確電子銀行交易責(zé)任的認(rèn)證方法。不可否認(rèn)性包含產(chǎn)生原始憑證或傳送電子信息以保護(hù)傳送人免受數(shù)據(jù)接收人的虛假否認(rèn)，或者保護(hù)接收人免受數(shù)據(jù)傳送人的虛假否認(rèn)。在諸如信用卡或證券交易等傳統(tǒng)交易中，否認(rèn)交易的風(fēng)險(xiǎn)已經(jīng)比較嚴(yán)重。電子銀行業(yè)務(wù)中的此項(xiàng)風(fēng)險(xiǎn)變得更加突出，因?yàn)殡娮鱼y行業(yè)務(wù)中對(duì)交易各方的身份和授權(quán)情況進(jìn)行有效認(rèn)證的難度大，并且存在可能出現(xiàn)修改或劫持電子交易的潛在可能，另外電子銀行用戶還可能宣稱有關(guān)交易被欺詐性地修改過(guò)。為了解決這些突出問(wèn)題，銀行需要按照電子銀行交易的重要性和類型作出合理的努力，以確保：電子銀行系統(tǒng)在設(shè)計(jì)時(shí)，盡量減少授權(quán)用戶進(jìn)行意外交易的可能性，也不應(yīng)要求客戶完全了解他們所進(jìn)行的交易的相關(guān)風(fēng)險(xiǎn)。所有交易各方都經(jīng)過(guò)有效認(rèn)證，并維持對(duì)認(rèn)證渠道的控制。財(cái)務(wù)交易數(shù)據(jù)不能被隨便修改，并且任何修改可以被發(fā)現(xiàn)。銀行已經(jīng)開(kāi)始使用各種技術(shù)來(lái)幫助建立不可否認(rèn)性機(jī)制，以確保電子銀行交易的保密性和完整性。這些技術(shù)包括使用公鑰加密體系的數(shù)字證書(shū)。銀行可以向客戶或交易對(duì)象發(fā)放數(shù)字證書(shū)，以保證其獨(dú)特的身份識(shí)別和認(rèn)證，減少交易否認(rèn)的風(fēng)險(xiǎn)。雖然有些國(guó)家的客戶有權(quán)按照特定法律條款否認(rèn)某些交易，但是有些國(guó)家已經(jīng)進(jìn)行立法，認(rèn)可數(shù)字簽字的法律效力。隨著相關(guān)技術(shù)的不斷發(fā)展，越來(lái)越多的國(guó)家可能在法律上認(rèn)可數(shù)字簽字技術(shù)。原則6：在電子銀行系統(tǒng)、數(shù)據(jù)庫(kù)和應(yīng)用程序中銀行應(yīng)該采取適當(dāng)?shù)拇胧员ＷC有效地分解職責(zé)。內(nèi)部控制的基本措施之一就是職責(zé)分解，這樣做可以減少操作程序和系統(tǒng)中的欺詐風(fēng)險(xiǎn)，確保有關(guān)交易和銀行資產(chǎn)得到正當(dāng)授權(quán)、記錄和保護(hù)。職責(zé)分解可以確保數(shù)據(jù)的準(zhǔn)確性和完整性，也可以用于防止個(gè)人欺詐行為。如果對(duì)職責(zé)已經(jīng)做了充分的分解，那么欺詐只有通過(guò)共謀才能實(shí)現(xiàn)。因?yàn)橥ㄟ^(guò)電子系統(tǒng)進(jìn)行交易時(shí)，交易對(duì)象的身份很容易被掩飾或偽造，因此在提供電子銀行服務(wù)時(shí)，有必要對(duì)現(xiàn)行的職責(zé)分解方法進(jìn)行修改。此外，在電子銀行業(yè)務(wù)中，許多操作交易職能已經(jīng)被壓縮得越來(lái)越一體化了。因此，需要對(duì)傳統(tǒng)的職責(zé)分解控制措施作重新檢查
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1