sama_gov_sa · guide · processed · 9 chunks
لا شك انه ينطوي علي الابتكار الرقمي خلق فرص كبيره لقطاع الاعمال والمستهلكين، وبالمقابل فانه يتضمن ابعادا جديده من التهديدات الناشيه والتي تتطلب تغيير النظره التقليديه حول المخاطر السيبرانيه. تاتي التعليمات المحدده من البنك المركزي السعودي بمجموعه من الضوابط والتي يجب علي المؤسسات الماليه تبنيها وتطبيقها من اجل الحفاظ علي المستوي اللازم من الحمايه لاصول المعلومات والخدمات الرقميه، ولتعزيز قدره المؤسسات الماليه الخاضعه لرقابته في تحديد المخاطر السيبرانيه ومعالجتها بشكل فعال. تنطبق الضوابط الوارده في هذه الوثيقه علي اي مؤسسه ماليه تقدم خدمات المحافظ الالكترونيه او منتجات التمويل او التمويل الجماعي او اي نموذج اعمال اخر في مجال التقنيه الماليه تحت اشراف البنك المركزي السعودي، مع الاخذ بعين الاعتبار امكانيه تطبيق المتطلبات بما يحقق الاهداف المطلوبه. 1.3. | يجب علي المؤسسه الماليه التاكد من ارتباط رقم الجوال او رقم الهويه الوطنيه/رقم الاقامه بطلب تسجيل واحد فقط.. 2.3. | يجب علي المؤسسه الماليه وضع اجراءات امنه للتحقق من المستخدمين. 3.3. | يجب ان تتضمن اجراءات التسجيل ما يلي: | ا. | فيما يخص منصات التمويل: اليه فعاله للمصادقه من قبل طرف مستقل وموثوق (1) . | ب. | فيما يخص منصات المحافظ الالكترونيه: اليه فعاله للمصادقه من قبل طرف مستقل وموثوق، مثل (النفاذ الوطني الموحد(NSSO)) باستخدام اسم المستخدم وكلمه المرور، وكلمه المرور لمره واحده. | ج. | فيما يخص نماذج الاعمال الاخري، يجب تطبيق ضوابط فعاله ضمن عمليه التسجيل/ بدء العلاقه، اخذا بعين الاعتبار ما يرد في النقاط (3.3.ا-ب). 4.3. | يجب علي المؤسسه الماليه التحقق من ان ملكيه رقم الجوال مسجله لنفس المستخدم، (مثل مطابقه الاسم مع الهويه الوطنيه) من خلال جهه موثوقه (مثل خدمه تحقق). 5.3. | يجب علي المؤسسه الماليه التاكد من ان عمليه التسجيل تتضمن التحقق من خلال اليه كلمه المرور لمره واحده (OTP). وان يتم ارسال كلمه المرور لمره واحده (OTP) الي رقم الجوال المتحقق منه وفق الضابط رقم (4.3).. 6.3. | يجب علي المؤسسات الماليه تطبيق ضوابط انتهاء مهله الجلسه (session timeout) لجميع كلمات المرور لمره واحده (OTP) الصادره. 7.3. | يجب ارسال رساله نصيه لاشعار المستخدمين عند التسجيل، وعند اعاده تسجيل الجهاز او تغيير حاله الحساب مثل الايقاف، واعاده التنشيط، وغير النشط. 8.3. | يجب ان يكون تطبيق المؤسسه الماليه مرتبط بجهاز واحد فقط للعميل. او تطبيق كلمه المرور لمره واحده (OTP) لكل عمليه تسجيل دخول، اضافه الي تعطيل امكانيه تسجيل الدخول المتزامن. 9.3. | يجب علي المؤسسه الماليه وضع اجراءات فعاله وامنه للمصادقه عند ايقاف حساب المستخدم وعند اعاده التنشيط وعند اعاده تسجيل الجهاز. 1 طرف موثوق: اي طرف مرخص له بمزاوله النشاط ذو العلاقه 1.4. | يجب علي المؤسسه الماليه تطبيق المتطلبات التنظيميه للامن السيبراني الصادره عن البنك المركزي السعودي. 2.4. | يجب علي المؤسسه الماليه استخدام متاجر التطبيقات الرسميه. 3.4. | يجب علي المؤسسه الماليه تطوير اليه لتقييد تثبيت تطبيقاتها علي الاجهزه التي تم تجاوز قيود الشركات المصنعه لها، علي سبيل المثال "Jailbreak" لنظام التشغيل iOS و"Root" لنظام التشغيل Android او اي نظام تشغيل مفتوح المصدر، مع مراعاه ان يتم تثبيت تطبيقاتها من خلال المتاجر الرسميه. 4.4. | يجب علي المؤسسه الماليه وضع التدابير للتعامل مع الطواري في حال وقوع الكوارث وضمان فعاليه اجراءات النسخ الاحتياطي والتعافي. 5.4. | يجب ان تشمل الشروط والاحكام خصوصيه البيانات، مع مراعاه موافقه العميل علي عرض اسم صاحب الحساب. 6.4. | يجب علي المؤسسه الماليه اجراء برنامج توعوي دوري لجميع المستخدمين، وان يتضمن التوعيه بالشروط والاحكام والممارسات العامه مثل مشاركه المعلومات السريه (كلمه المرور او كلمه المرور لمره واحده (OTP)). 7.4. | يجب علي المؤسسه الماليه وضع سياسه للحسابات غير النشطه. 8.4. | يجب تطبيق التحقق من خلال المصادقه متعدده العوامل (MFA) عند كل عمليه تسجيل دخول. 9.4. | يجب تطبيق اليه كلمه المرور لمره واحده (OTP) عند اجراء العمليات التاليه: | ا. | التحويل من محفظه الي محفظه اخري (للعمليه الاولي لكل مستفيد كحد ادني) اقل من (القيمه المحدده) 1 . | ب. | اجراء اي عمليه في متجر السوق الالكتروني. | ج. | سداد الفواتير وفواتير المرافق والخدمات الحكوميه (لاول مره كحد ادني لكل فاتوره)؛ | د. | اعاده تعيين كلمه المرور؛ | ه. | اعاده تنشيط المحافظ؛ | و. | العمليات ذات المخاطر المرتفعه بناء علي تقييم وحالات استخدام المؤسسه الماليه. 10.4. | يجب ارسال كلمه المرور لمره واحده (OTP) من خلال قناه واحده، والاستعانه بقناه اخري مختلفه للعمليات التاليه: | ا. | اي معامله بين المحافظ تتجاوز (القيمه المحدده) كحد يومي (لاول مره كحد ادني لكل مستفيد) | ب. | التحويل الي رقم الحساب المصرفي (IBAN) (للعمليه الاولي لكل مستفيد كحد ادني). | ج. | التحويل الدولي (لاول مره كحد ادني لكل مستفيد) | د. | العمليات عاليه المخاطر بناء علي تقييم وحالات استخدام المؤسسه الماليه. 11.4. | يجب ارسال اشعار عبر الرسايل النصيه الي المستخدمين بشان جميع العمليات والتغييرات في حساب المستخدم. 12.4. | يجب علي المؤسسه الماليه ان تاخذ بعين الاعتبار العمل علي حالات استخدام وسيناريوهات شامله، ومصممه خصيصا لنموذج اعمالها لمكافحه الاحتيال المالي؛ وذلك علي سبيل المثال لا الحصر: | ا. | مراقبه سلوكيات جميع المستخدمين للكشف عن اي حالات غير اعتياديه بناء علي افضل الممارسات؛ | ب. | اداره سلوكيات استخدام الجهاز؛ 13.4. | يجب علي المؤسسه الماليه وضع اجراءات للتعامل مع حالات الاحتيال، مع الاخذ بعين الاعتبار خطوات التحقيق وايقاف الحسابات. 14.4. | يجب علي المؤسسه الماليه وضع اجراءات لحمايه "خصوصيه البيانات" و"امن البيانات" للحسابات. وتتضمن هذه البيانات علي سبيل المثال لا الحصر "عرض اسم مالك الحساب". 15.4. | يجب علي المؤسسه الماليه التاكد ان محتوي الرسايل النصيه واضح ومباشر، وان ينص علي الغرض منها واسم المؤسسه الماليه. 16.4. | يجب علي المؤسسات الماليه عكس جميع الضوابط الوارده في هذه الوثيقه ضمن السياسات الداخليه المعتمده من مجلس ادارتها، والعمل علي مراجعه السياسات وفق اجراءات دوريه. 2 سيتم التعميم بالقيمه المحدده في المذكره. وتخضع القيمه المحدده للمراجعه دوريا وسيتم الابلاغ رسميا في حاله تغييرها. يجب علي المؤسسات الماليه التمويليه تطبيق الضوابط الوارده ادناه، بالاضافه الي الضوابط المذكوره اعلاه. 1.5. | يجب علي المؤسسه الماليه تطبيق اجراءات للتحقق من ارتباط رقم الحساب المصرفي (IBAN) بمقدم طلب التمويل. 2.5. | يجب علي المؤسسه الماليه التعامل مع مزود خدمه معتمد وموثوق به للتصديق الرقمي. (يرجي الرجوع الي الملحق«ا» للمزيد من التفاصيل) 3.5. | التاكد من التطبيق الامن لاجراءات انشاء وحفظ واداره السند التنفيذي باستخدام جهه وطنيه موثوقه (مثل نافذ). 4.5. | يجب علي المؤسسه الماليه تطبيق اجراء الاتصال علي العميل لتاكيد طلب التمويل. 5.5. | يجب اشعار العميل عبر الرسايل النصيه عند: | ا. | قديم الطلب من قبل المستخدم. | ب. | الموافقه علي طلب التمويل او رفضه. تحل هذه الوثيقه محل التعليمات التاليه الصادره سابقا عن البنك المركزي السعودي: | • | الضوابط الامنيه للمحفظه الالكترونيه، الاصدار 1.0 تشير هذه الوثيقه الي تعليمات البنك المركزي السعودي الصادره وفق التعميم التالي: | • | بشان التصديق الرقمي للمنتجات لعملاء شركات التمويل وفق التعميم، 42011675، وتاريخ 1442/02/27؛