《降低和纾减和互联网交易相关黑客入侵风险指引》.PDFVIP

《降低及紓減與互聯網交易相關的黑客入侵風險指引》 目錄 引言 1 1. 保護客戶的互聯網交易帳戶 1 2. 基礎設施保安管理 3 3. 網絡保安管理及監督 4 引言 1. 本指引由證券及期貨事務監察委員會（證監會）根據《證券及期貨條例》第399 條發表，當 中載明了有關降低或紓減與互聯網交易相關的黑客入侵風險的基本規定。 2. 本指引應連同（除其他條文外）《證券及期貨事務監察委員會持牌人或註冊人操守準則》 （《操守準則》）第18.4 至 18.7 段、附表7 第 1.1 、1.2.2 至 1.2.8 、1.3 及2.1 段一併閱 讀。就本指引而言，“互聯網交易”一詞的涵義與《操守準則》第 18.2(f)段所界定者相同， 即“透過持牌人或註冊人以互聯網為基礎的交易設施向該持牌人或註冊人傳送交易指示的安 排”。 3. 本指引適用於從事互聯網交易，並就以下活動獲證監會發牌或註冊的人：  第 1類受規管活動（證券交易）；  第2 類受規管活動（期貨合約交易）；  第3 類受規管活動（槓桿式外匯交易）。為免生疑問，本指引只適用於獲證監會發牌的 槓桿式外匯交易商；及／或  第9 類受規管活動 （提供資產管理），惟以那些以其互聯網為基礎的交易設施分銷所管 理的基金者為限。 4. 本指引並無法律效力，亦不應以任何方式被詮釋為可以凌駕於任何適用法律、守則或其他監 管規定的條文。然而，任何人如未能遵從本指引的精神，則可能對其適當人選資格造成負面 影響。 5. 本指引訂明的監控措施僅可降低或紓減與互聯網交易相關的黑客入侵風險，無法消除有關風 險。必須強調的是，該等監控措施只是持牌人或註冊人應達致的最低標準，及並非詳盡無 遺。持牌人或註冊人應實施與其架構、業務運作及需要相稱而足夠及有效的措施。 1. 保護客戶的互聯網交易帳戶 1.1. 雙重認證1 持牌人或註冊人應就客戶的互聯網交易帳戶的登入程序實施雙重認證。 持牌人或註冊人應評估及實施與其業務模式相稱的雙重認證解決方案。 1.2. 實施監察及監督機制 持牌人或註冊人應實施有效的監察及監督機制，以偵測未經授權而接達客戶的互聯網交易帳 戶的情況。 1 雙重認證指使用以下任何兩項元素的認證機制：客戶所知的、客戶所有的及客戶是誰。 1 1.3. 即時通知客戶 持牌人或註冊人應在客戶的互聯網交易帳戶內出現某些客戶活動後，立即通知有關客戶（例 如透過電子郵件、短訊服務或其他推播通知）。這些活動至少應包括： (a) 登入系統； (b) 重設密碼； (c) 執行交易； (d) 向第三方帳戶轉移資金 （除非該等帳戶在資金轉移前已就轉移資金目的向該持牌人或 註冊人進行登記）；及 (e) 更改客戶和帳戶的相關資料。 向客戶發出通知的途徑，應與登入系統時所使用者不同（如第1.1 段所述）。 客戶只可選擇不收取“執行交易”的通知。在此情況下，持牌人或註冊人應向客戶作出充分 的風險披露，及客戶應簽立一份聲明，以確認其明白不收取有關通知所涉及的風險。 1.4. 數據加密 持牌人或註冊人應以強效的加密程式： (a) 將敏感資料，例如客戶登入資料（即使用者名稱和密碼）及交易數據，在內部網絡與 客戶裝置之間傳輸時加密；及 (b) 保護儲存於其互聯網交易系統的客戶登入密碼。 1.5. 保護客戶的登入密碼 持牌人或註冊人應訂立並實施有效的政策及程序