巴塞爾銀行董事會和管理層監(jiān)督(編輯修改稿)
2025-05-14 05:46 本頁面
【文章內(nèi)容簡介】 序，但是這些程序的內(nèi)容還需要引起管理層的特別注意，因為電子銀行業(yè)務造成的安全問題的難度在日益增大。下列問題尤其顯著：身份認證、不可否認性、數(shù)據(jù)和交易的完整性、職責的分解、授權控制、審計跟蹤的維持、對關鍵銀行信息的保密。原則4：對于與銀行通過互聯(lián)網(wǎng)發(fā)生業(yè)務往來的客戶，銀行應該采取適當?shù)拇胧?，對其身份和授權情況進行認證。銀行必須能夠確認某一特定通訊、交易或進入請求是否合法，相應地，銀行應該使用可靠的方法來審核新客戶的身份和授權情況，同時也要審核尋求開展電子交易的老客戶的身份和授權情況。在賬戶開立時對客戶身份進行審核可以減少諸如盜用身份、欺詐賬戶和洗錢等方面的風險。如果銀行不能對客戶的身份作適當認證，就可能導致未經(jīng)授權的人員進入電子銀行賬戶，出現(xiàn)欺詐、秘密信息泄露或無意卷入犯罪活動，并且最終給銀行造成經(jīng)濟損失和聲譽損害。在一個完全開放的電子網(wǎng)絡環(huán)境中，確認和認證進入銀行系統(tǒng)的人員的身份和授權情況，可能是一項非常艱巨的任務。網(wǎng)絡黑客可能通過許多技術盜用合法用戶的授權，還可以通過使用嗅探器，來占用合法授權人員的線路，進行有害或犯罪性質(zhì)的業(yè)務。此外，黑客可以通過修改身份認證數(shù)據(jù)庫繞過認證控制程序。因此，銀行必須擁有正式的政策和程序，使用各種適當?shù)姆椒?，確保銀行能夠正確地對個人、代理人或系統(tǒng)的身份和授權情況進行認證，使用的方法既要獨特又要盡量切實可行，并且能夠阻止非授權的個人和系統(tǒng)的進入。銀行可以用來進行認證的方法有很多種，其中包括個人身份號碼、密碼、智能卡、生物測量技術和數(shù)字證書。這些方法可以單獨使用或合并使用。一般來說，多種認證方法同時使用會更安全。銀行管理層必須對整個電子銀行系統(tǒng)或其某些組成部分所帶來的風險進行評估分析，在此基礎上決定采用何種身份認證方法。風險分析應該包括評估電子銀行系統(tǒng)（如資金轉(zhuǎn)移、賬單支付、貸款發(fā)放、賬戶匯總等）的交易能力、所儲存的電子銀行數(shù)據(jù)的敏感度和價值以及客戶使用認證方法的難易程度。在跨境電子銀行業(yè)務中，完善的客戶認證和授權程序非常重要。因為在與國外客戶進行電子交易時，可能會出現(xiàn)許多其他方面的難題，包括身份模仿的風險，對潛在客戶的資信狀況進行有效審查的難度則更大。在認證方法的不斷發(fā)展的同時，應該鼓勵銀行跟蹤和采用該領域中的業(yè)界穩(wěn)健做法，以確保：審查進入電子銀行顧客賬戶或敏感系統(tǒng)的身份認證數(shù)據(jù)庫不被篡改和毀損。任何篡改都可以被及時發(fā)現(xiàn)，并且對這些篡改企圖進行審計跟蹤。對個人、代理或系統(tǒng)的身份認證數(shù)據(jù)庫所進行的增加、刪除或修改都需要事先經(jīng)認證資源適當授權。應該采取適當措施，控制電子銀行系統(tǒng)連接，例如，防止未知的第三方取代已有的客戶。在整個通訊期間，經(jīng)過認證的電子銀行通訊線路一直保持安全狀態(tài)。如果因安全原因而中斷通訊線路，再次進入時應該要求重新認證。原則5：銀行應該使用促進交易不可否認性和明確電子銀行交易責任的認證方法。不可否認性包含產(chǎn)生原始憑證或傳送電子信息以保護傳送人免受數(shù)據(jù)接收人的虛假否認，或者保護接收人免受數(shù)據(jù)傳送人的虛假否認。在諸如信用卡或證券交易等傳統(tǒng)交易中，否認交易的風險已經(jīng)比較嚴重。電子銀行業(yè)務中的此項風險變得更加突出，因為電子銀行業(yè)務中對交易各方的身份和授權情況進行有效認證的難度大，并且存在可能出現(xiàn)修改或劫持電子交易的潛在可能，另外電子銀行用戶還可能宣稱有關交易被欺詐性地修改過。為了解決這些突出問題，銀行需要按照電子銀行交易的重要性和類型作出合理的努力，以確保：電子銀行系統(tǒng)在設計時，盡量減少授權用戶進行意外交易的可能性，也不應要求客戶完全了解他們所進行的交易的相關風險。所有交易各方都經(jīng)過有效認證，并維持對認證渠道的控制。財務交易數(shù)據(jù)不能被隨便修改，并且任何修改可以被發(fā)現(xiàn)。銀行已經(jīng)開始使用各種技術來幫助建立不可否認性機制，以確保電子銀行交易的保密性和完整性。這些技術包括使用公鑰加密體系的數(shù)字證書。銀行可以向客戶或交易對象發(fā)放數(shù)字證書，以保證其獨特的身份識別和認證，減少交易否認的風險。雖然有些國家的客戶有權按照特定法律條款否認某些交易，但是有些國家已經(jīng)進行立法，認可數(shù)字簽字的法律效力。隨著相關技術的不斷發(fā)展，越來越多的國家可能在法律上認可數(shù)字簽字技術。原則6：在電子銀行系統(tǒng)、數(shù)據(jù)庫和應用程序中銀行應該采取適當?shù)拇胧?，以保證有效地分解職責。內(nèi)部控制的基本措施之一就是職責分解，這樣做可以減少操作程序和系統(tǒng)中的欺詐風險，確保有關交易和銀行資產(chǎn)得到正當授權、記錄和保護。職責分解可以確保數(shù)據(jù)的準確性和完整性，也可以用于防止個人欺詐行為。如果對職責已經(jīng)做了充分的分解，那么欺詐只有通過共謀才能實現(xiàn)。因為通過電子系統(tǒng)進行交易時，交易對象的身份很容易被掩飾或偽造，因此在提供電子銀行服務時，有必要對現(xiàn)行的職責分解方法進行修改。此外，在電子銀行業(yè)務中，許多操作交易職能已經(jīng)被壓縮得越來越一體化了。因此，需要對傳統(tǒng)的職責分解控制措施作重新檢查
公司管理相關推薦
鄂ICP備17016276號-1