电子银行风险管理原则

電電子子銀銀行行風風險險管管理理原原則則中華民國銀行商業同業公會全國聯合會中華民國九十三年十二月電子銀行風險管理原則中華民國銀行公會金融業務電子化委員會資安小組-1-目錄一、董事會（或常務董事會，下同）及高階管理階層應成立專責單位或指定專人，建立有效風險管理制度，包括風險管理政策及風險控管程序，以有效管理電子銀行業務風險。.....................................................................-2-二、銀行之關鍵性安全控管機制應經董事會及高階管理階層認可。................-2-三、董事會及高階管理階層應建立全面持續嚴謹之監督程序，以管理委外作業廠商所提供支援電子銀行業務之服務。................................................-2-四、銀行應採行適當的認證措施，建立客戶辨識及授權機制，以確保客戶在網際網路上進行該銀行業務交易的安全性。..............................................-3-五、銀行應採行交易認證法，加強電子銀行交易的不可否認性，釐清客我之責任與義務，進而建立客戶與銀行間的互信機制。........................................-3-六、銀行對於電子銀行系統、資料庫及應用程式，應採行適當的分工牽制機制。....-3-七、銀行對於電子銀行系統、資料庫及應用程式，應採行適當的授權控管及存取管理機制。......................................................................-4-八、銀行對於電子銀行交易、紀錄及資訊，應採行適當的措施，以維護資料之完整性。-4-九、銀行對於電子銀行全部交易，應留有清楚的稽核追蹤紀錄。..................-4-十、銀行對於電子銀行資料，應依其敏感性及傳送、儲存方式，採行適當的措施，以維護資料之機密性。..........................................................-4-十一、銀行對於本身之特性及狀態，應於電子銀行網頁提供足夠資訊，以供客戶在進行電子銀行交易時之參考。..................................................-4-十二、銀行對於所提供之電子銀行產品及服務，應採取適當措施以保護客戶資料隱私權。...................................................................-5-十三、銀行應建立一套有效之災變備援及業務復原計畫，以維護電子銀行服務之持續性。.....................................................................-5-十四、銀行應建立適當的緊急應變計畫，以維持電子銀行系統及服務之正常運作。..-5-電子銀行資安實務參考資料..................................................-7-電子銀行風險管理原則中華民國銀行公會金融業務電子化委員會資安小組-2-一、董事會（或常務董事會，下同）及高階管理階層應成立專責單位或指定專人，建立有效風險管理制度，包括風險管理政策及風險控管程序，以有效管理電子銀行業務風險。（一）對於擬提供新的電子銀行業務或產品，董事會及高階管理階層應確信已對銀行風險概況、經營策略、成本、效益進行分析，並能勝任管理此新開業務所帶來之風險。（二）高階管理階層應持續監督電子銀行系統可能問題或是安全漏洞。（三）應建立電子銀行業務風險管理授權及通報機制（影響銀行經營及聲譽之緊急突發事件，例如駭客入侵、客戶資料外洩），定期或於必要時將風險管理執行狀況及風險承擔情形向董事會及高階管理階層報告。（四）對於有辦理國際性之電子銀行業務，應確信已進行嚴謹的風險分析，並遵守相關國之金融相關法規及規範。二、銀行之關鍵性安全控管機制應經董事會及高階管理階層認可。（一）建立適當之授權管理、實體存取安全控制及合適之安全控管設備，以提供內、外部使用者適當之安全介面及限制。（二）有效之安全控管機制應包含設置負責監督安控機制之專責人員、落實執行銀行資訊安全政策及定期檢測安全管制措施。三、董事會及高階管理階層應建立全面持續嚴謹之監督程序，以管理委外作業廠商所提供支援電子銀行業務之服務。（一）銀行對於電子銀行系統及應用程式之委外處理者，應完全瞭解其所帶來之風險。（二）在訂約之前應詳細審核評估委外作業廠商之專業、信譽及財務能力。（三）合約至少應載明下列事項，以確保委外服務品質。１、具體之委外事項及內容。２、委外作業廠商應建立內部控制機制，定期與不定期進行內部考核，委外事項如有不能履行、履行困難或履行困難之虞者，對於銀行負有立即通知之義務。３、銀行於必要時，得於事前通知委外作業廠商後終止契約。４、委外作業廠商同意主管機關得依銀行法第四十五條規定辦理。５、委外作業廠商對外不得以銀行名義辦理受託處理事項。（四）對於電子銀行業務委外事項其風險管理、安控機制及資料保密機制應符合銀行本身的標準。（五）對於電子銀行業務委外事項要定期實施內部及外部稽核。電子銀行風險管理原則中華民國銀行公會金融業務電子化委員會資安小組-3-（六）對於電子銀行業務委外事項應建立一套適當之緊急應變計畫。四、銀行應採行適當的認證措施，建立客戶辨識及授權機制，以確保客戶在網際網路上進行該銀行業務交易的安全性。（一）確認客戶電子銀行帳戶為重要的步驟，若無適當的認證措施，可能導致非法個人存取電子銀行帳戶，進而導致銀行財物及信譽之損失。（二）銀行可以採用下列認證措施：PINs、passwords、smartcards、biometrics、digitalcertificates及OTP(OneTimePassword)動態密碼。（三）銀行宜採行相關認證及安控措施，以確保下列事項：１、運用於存取電子銀行客戶帳號或敏感性系統之認證資料庫，應確保避免被竄改或破壞；而對於企圖竄改或破壞資料之行為，系統應能偵測及留存稽核追蹤紀錄。２、凡是新增、刪除或變更個人、代理者、系統之認證資料，均需經過認證辨識及授權，才可修改認證系統資料庫。３、銀行應有適當措施，保護電子銀行系統之連結，以防不明或不法之第三者取代正常客戶，而使客戶權益受損。４、經認證之電子銀行系統連線應全程保持安全性，當發生安全事件時，此類連線應重新認證客戶身份及權限。五、銀行應採行交易認證法，加強電子銀行交易的不可否認性，釐清客我之責任與義務，進而建立客戶與銀行間的互信機制。（一）銀行應依交易類別及交易風險高低建立交易面安全設計，例如可使用數位簽章、PKI等機制。（二）電子銀行系統應設計能夠降低有權使用者發出無意的交易，及讓客戶充分了解他們所發出交易所可能帶來的風險；全部交易攸關者應透過認證系統被確認無誤；財務交易資料應確保無法被更改，及任何更改動作是會被偵測到。六、銀行對於電子銀行系統、資料庫及應用程式，應採行適當的分工牽制機制。（一）於交易處理程序及系統,任一員工或委外作業廠商不能單獨輸入、授權及完成任何交易。（二）對於原始靜態資料（包含網頁內容）及負責檢核資料完整性要符合分工牽制原則。（三）必須經過測試確信電子銀行系統符合且無法規避分工牽制機制。電子銀行風險管理原則中華民國銀行公會金融業務電子化委員會資安小組-4-（四）開發電子銀行系統及管理使用電子銀行系統皆應符合分工牽制原則。七、銀行對於電子銀行系統、資料庫及應用程式，應採行適當的授權控管及存取管理機制。為了維持分工牽制，銀行必須嚴謹控制授權和存取之權限，在電子銀行系統對於授權和存取權之管理可採集中管理或分散管理方式。八、銀行對於電子銀行交易、紀錄及資訊，應採行適當的措施，以維護資料之完整性。（一）資料完整性係指保證資訊於傳輸或儲存時，非經正常授權不能被更動。（二）當電子銀行透過開放式網路進行交易，銀行應採取適當之措施，以保護電子銀行業務交易、紀錄、資訊的正確性、完整性及可靠性，不論資料是在網際網路傳輸或是存在銀行內部資料庫或者傳輸、儲存在第三服務提供者。九、銀行對於電子銀行全部交易，應留有清楚的稽核追蹤紀錄。下列電子銀行交易型態，必須要有清楚的稽核追蹤紀錄：（一）客戶帳戶之開戶、變更及結清帳戶資料。（二）任何與帳務有關之交易。（三）任何超出客戶原有限額之交易。（四）系統存取權之異動。十、銀行對於電子銀行資料，應依其敏感性及傳送、儲存方式，採行適當的措施，以維護資料之機密性。（一）經由適當授權及認證過的個人、代理者或系統，才可存取銀行機密資料及紀錄。（二）電子銀行機密性資料在透過網際網路或內部網路傳輸時必須要有安全保護措施，以防止未經授權之瀏覽及修改。（三）對限閱資料之存取都要留存紀錄，且能確信該紀錄無法被竄改。十一、銀行對於本身之特性及狀態，應於電子銀行網頁提供足夠資訊，以供客戶在進行電子銀行交易時之參考。（一）為降低法律及信譽風險，銀行應在電子銀行網站上提供足夠資訊，讓客戶了電子銀行風險管理原則中華民國銀行公會金融業務電子化委員會資安小組-5-解銀行網站所提供之服務內容及其影響。（二）銀行網站提供之資訊包括：１、銀行名稱、總行地址、營業據點等。２、客戶申訴管道或客戶服務中心。３、客戶存款保障等資訊。十二、銀行對於所提供之電子銀行產品及服務，應採取適當措施以保護客戶資料隱私權。保護客戶資料隱私權是銀行之基本責任，為避免因誤用或揭露未經客戶授權之機密資料，造成侵犯客戶資料隱私權而導致銀行在法律及信譽上之風險，銀行應採取下列措施:（一）電子銀行服務對保護客戶資料隱私權之政策及標準，應遵守相關法令規定。（二）明確公告電子銀行所提供的產品及服務之客戶資料隱私權政策及標準。（三）讓客戶知道允許銀行將客戶相關資料提供給第三者可能會導致其隱私權下降。（四）使用客戶資料不能超越客戶授權的範圍。（五）委外作業廠商對保護客戶資料隱私權之政策及標準，應符合銀行的標準。十三、銀行應建立一套有效之災變備援及業務復原計畫，以維護電子銀行服務之持續性。銀行應建立一套業務持續營運計畫，減少及避免緊急事件所造成之衝擊，以維持電子銀行系統及服務之可用性。（一）應依電子商務市場動態及客戶可接受程度，來分析規劃電子銀行系統所需容量及將來規模。（二）經由壓力測試及定期的檢核，估計電子銀行交易處理之容量。（三）重要之電子銀行業務處理程序及傳輸系統已建立災變備援及業務復原計畫並定期測試。十四、銀行應建立適當的緊急應變計畫，以維持電子銀行系統及服務之正常運作。（一）電子銀行系統及服務之緊急應變計畫，須因應在不同緊急情境下，對不同業務、地理位置等，皆能適時恢復正常運作，且應評估風險發生時對銀行之衝擊，計劃範圍亦應包含委外作業廠商所提供之服務。電子銀行風險管理原則中華民國銀行公會金融業務電子化委員會資安小組-6-（二）緊急事件之發生應有明確之評估及認定機制，包括事件發生所帶來之危機、事件之重要性及服務中斷之信譽風險；另外監控連線支援作業和定期分析客戶抱怨事項，可幫助確認現有安控機制之漏洞。（三）對於市場及大眾傳播媒體所關心之安控漏洞、線上攻擊及網路銀行系統失敗之情事，要建立適當之溝通及聯絡策略。（四）重要的安控缺失或服務中斷事件應建立緊急通報程序，通報主管機關。（五）要設置緊急事件處理小組，小組人員須經過充分專業訓練，以分析、解釋、處理相關結果的意義及重要性。（六）要有明確之指揮體系，處理內部或委外業務之緊急事件，並適時通報董事會。（七）對於重要電子銀行業務中斷及業務復原，應即時對外公告。（八）應蒐集及保留法律證據紀錄，以協助電子銀行緊急事件之追蹤檢討及提供法律訴訟之佐證。電子銀行風險管理原則中華民國銀行公會金融業務電子化委員會資安小組-7-電子銀行資安實務參考資料（一）安控機制健全實務作法：１、對於客戶、銀行內部使用者及委外作業廠商