تنشر منصة التكنولوجيا المالية والتحول الرقمي «تكنولدج»، تفاصيل القواعد المنظمة لخدمات منظومة الهوية المالية الرقمية للتعرف على عملاء البنوك والتحقق من هوياتهم إلكترونيًا eKYC التي أطلقها البنك المركزي.
وتستهدف التعليمات الجديدة إتاحة قدر أكبر من المرونة والأمان عند تقديم الخدمات والمنتجات المصرفية الإلكترونية للأفراد، مع وضع مجموعة واسعة من المتطلبات الرقابية والفنية والأمنية التي تحكم عمل البنوك وشركة الهوية المالية الرقمية «هوية» والوكلاء المصرفيين وكافة الأطراف المشاركة في المنظومة.
تفاصيل التعليمات
وتضع القواعد البنك في مركز المسؤولية عن عملية التعرف الإلكتروني على العميل والتحقق من هويته، حتى في الحالات التي يتم فيها الاستعانة بأطراف خارجية، بما يعكس توجهًا رقابيًا نحو عدم فصل المسؤولية عن البنك لمجرد الاستعانة بمقدم خدمة تقني أو وكيل مصرفي.
وتتيح المنظومة إنشاء هوية مالية رقمية للعميل، مرتبطة بتطبيق البنك والهاتف المحمول المستخدم في إجراء المعاملات المالية، بما يسمح باستخدامها في التعرف على العملاء والتحقق من هوياتهم والمصادقة الإلكترونية على المعاملات.
موافقة البنك المركزي شرط لإطلاق الخدمة
وتشترط القواعد على البنوك والجهات الراغبة في الاشتراك في المنظومة التقدم إلى البنك المركزي المصري للحصول على الموافقة اللازمة قبل تشغيل الخدمة، مع تقديم مجموعة من المستندات والتقييمات التي توضح دورة العمل، والبنية التحتية المستخدمة، وضوابط أمن المعلومات والأمن السيبراني، وخطة الربط الفني مع شركة الهوية المالية الرقمية، بالإضافة إلى بيانات تطبيق التحقق الإلكتروني من هوية العملاء.
كما يتعين على البنك تقديم خطة عمل لمدة ثلاث سنوات تتضمن عدد العملاء المستهدف تقديم الخدمة لهم، والمنتجات والخدمات التي سيتم تطبيقها، وخطة للتعريف بالخدمة وتفعيل استخدامها.
ولا يسمح بالإطلاق الفعلي للخدمة إلا بعد موافاة البنك المركزي بتقارير اختبارات الاختراق وتقييم نقاط الضعف على بيئة التشغيل الفعلية وبيئة الطوارئ، بما يشمل الأنظمة والتطبيقات والبنية التحتية وأساليب التأمين، والتأكد من معالجة الثغرات ذات الخطورة العالية والمتوسطة، والحصول على موافقة البنك المركزي على تفعيل الخدمة.
تشديد على الأمن السيبراني
وتولي القواعد أهمية كبيرة للأمن السيبراني، حيث تلزم البنوك باستخدام تقنيات تشفير تتناسب مع حساسية المعلومات وأهميتها، مع تطبيق ممارسات سليمة لإدارة مفاتيح التشفير، وفقًا للمعايير الدولية والتعليمات الصادرة عن البنك المركزي.
كما تفرض إجراء اختبارات اختراق متعمقة تحاكي الهجمات الفعلية على بيئتي التشغيل والطوارئ مرة واحدة على الأقل سنويًا، أو عند حدوث تغييرات في النظام، على أن تنفذ هذه الاختبارات جهة خارجية مستقلة، مع إعداد تقرير بنتائج الاختبار وخطة لمعالجة الثغرات المكتشفة.
وبالتوازي مع ذلك، يجب إجراء تقييم لنقاط الضعف بصورة دورية كل ثلاثة أشهر على الأقل، أو عند حدوث تغيير جوهري في البيئة التشغيلية أو بيئة الطوارئ، بهدف اكتشاف نقاط الضعف في بيئة تكنولوجيا المعلومات وتقييمها.
وتشمل هذه المتطلبات اختبار الثغرات الشائعة في الأنظمة، بما في ذلك الثغرات المرتبطة بالتطبيقات والأنظمة والبنية التحتية.
رقابة مشددة على الأطراف الثالثة
وتشدد القواعد الرقابية على مخاطر الأطراف الثالثة، حيث يتعين إجراء تقييم دوري لمخاطر الأمن السيبراني الخاصة بالموردين والوكلاء والشركاء التقنيين الذين يتعاملون مع بيانات الهوية المالية الرقمية، مع اشتراط حصولهم على الشهادات الأمنية المطلوبة وفقًا لمتطلبات البنك المركزي، ومراجعة نتائج تقييم المخاطر بصورة دورية.
كما تشترط إجراء اختبارات اختراق للبنية التحتية والأنظمة التكنولوجية وتقييم نقاط الضعف ومخاطر الأطراف الثالثة بصورة دورية، مع إعداد تقارير بالنتائج وعرضها على مجلس الإدارة من خلال لجنة أمن المعلومات أو المخاطر، وإخطار البنك المركزي بمخرجات هذه التقارير.
ضوابط صارمة على الوكلاء المصرفيين
وحددت القواعد ضوابط تفصيلية للتعامل مع الوكلاء المصرفيين، الذين لا يجوز لهم ممارسة الأنشطة محل التعليمات إلا بعد حصول البنك على الموافقات اللازمة من البنك المركزي وإبرام عقود قانونية معتمدة تتضمن حقوق والتزامات كل طرف.
وفي حالة إتاحة التعرف الإلكتروني على العملاء من خلال الوكلاء، يلتزم البنك بالتأكد من أن تدخل الوكيل يقتصر على الحالات التي يتعذر فيها على المنظومة المعتمدة معالجة عملية التحقق آليًا، مثل حالات التشابه الشديد في البيانات أو الخصائص البيومترية.
كما لا يجوز استخدام الأجهزة الإلكترونية الخاصة بالوكيل لإنشاء الرقم التعريفي للهوية المالية الرقمية للعميل، وإنما يتم إنشاؤه من خلال تطبيق الهاتف المحمول الخاص بالبنك المشترك.
وتلزم القواعد البنوك باتخاذ إجراءات تمنع موظفي الوكلاء من استغلال تعاملهم المباشر مع العملاء للحصول على بياناتهم أو مستنداتهم أو معلوماتهم المالية خارج الغرض المصرح به، إلى جانب إخضاع موظفي الوكلاء للتوعية والتدريب الإلزامي بشأن سرية البيانات والعقوبات المترتبة على مخالفتها.
وتشترط كذلك تسجيل ومراقبة كافة المعاملات والإجراءات التي ينفذها موظفو الوكيل من خلال أنظمة معتمدة وقابلة للمراجعة.
سرية بيانات العملاء تمتد لما بعد انتهاء التعاقد
وتضع التعليمات مسؤوليات واضحة على الوكيل فيما يتعلق ببيانات العملاء، إذ تؤكد أن كافة البيانات والوثائق الخاصة بالعملاء تظل ملكًا للبنك صاحب عقد الوكالة، ولا يجوز للوكيل استخدامها أو مشاركتها مع أي طرف آخر.
كما يلتزم الوكيل بالحفاظ على سرية بيانات العملاء وعدم الإفصاح عنها سواء أثناء سريان عقد الوكالة أو بعد انتهائه.
وتتضمن الضوابط أيضًا إلزام الوكيل بوضع آلية واضحة لاستقبال شكاوى العملاء في مقرات تقديم الخدمة، على أن تتم إحالة الشكاوى إلى البنك للتعامل معها، فضلًا عن إخطار البنك فورًا عند إغلاق أي منفذ لتقديم الخدمة، سواء بصورة دائمة أو مؤقتة.
الخصوصية وحماية بيانات العملاء
وتضع القواعد حماية الخصوصية ضمن المتطلبات الأساسية قبل إطلاق الخدمة، حيث تلزم البنوك بإجراء تقييم لأثر الخصوصية Privacy Impact Assessment لتحديد ومعالجة المخاطر التي يمكن أن تؤدي إلى انتهاك خصوصية العملاء أو إساءة استخدام الهوية أو حدوث عمليات احتيال مرتبطة بها.
ويشمل التقييم تحديد مخاطر تسريب البيانات وسوء استخدامها والوصول غير المصرح به إليها، وتحديد الضوابط اللازمة للحد من هذه المخاطر، إلى جانب تحديد البيانات الشخصية التي سيتم جمعها أو معالجتها وكيفية استخدامها والجهات التي يمكنها الوصول إليها.
كما تشترط العقود المبرمة بين البنك وشركة الهوية المالية الرقمية ضمان سلامة وسرية وخصوصية وإتاحة بيانات العملاء التي يتم إتاحتها أو معالجتها أو تخزينها أو نقلها عبر المنظومة، مع اتباع وسائل آمنة للتخلص من البيانات عند انتهاء الغرض من الاحتفاظ بها.
وتلزم القواعد كذلك بإبلاغ العملاء بكيفية استخدام بياناتهم الشخصية وتخزينها ومعالجتها، والغرض من المعالجة، والجهات المخولة بالوصول إلى البيانات، ومدة الاحتفاظ بها.
تعزيز مكافحة الاحتيال وإدارة المخاطر
وتربط القواعد بين منظومة الهوية المالية الرقمية وإدارة مخاطر الاحتيال، بحيث لا تقتصر عملية التحقق من هوية العميل على إثبات شخصيته عند التسجيل، وإنما تمتد إلى رصد المخاطر المرتبطة بإساءة استخدام الهوية والبيانات.
وتشترط القواعد إجراء تقييم لمخاطر الخصوصية والاحتيال وتحديد الضوابط التي يمكن أن تحد من هذه المخاطر، مع إدراج هذه التقييمات ضمن منظومة إدارة المخاطر.
كما تتطلب الإجراءات الرقابية التعامل مع المخاطر المتعلقة بتسريب البيانات أو الوصول غير المصرح به أو سوء استخدام البيانات الشخصية.
السجلات والاحتفاظ بالبيانات
ويلتزم البنك المشترك بالاحتفاظ، وفقًا للمدد المحددة قانونًا، بكافة البيانات المتعلقة بالتعرف على العملاء والتحقق من هوياتهم من خلال المنظومة المعتمدة، بالإضافة إلى المستندات الإضافية التي تم الحصول عليها إلكترونيًا وسجلات المعاملات التي تتم على حسابات العملاء.
ويعزز ذلك قدرة البنك والجهات الرقابية على مراجعة مسار عملية التعرف على العميل والتحقق من هويته والرجوع إلى البيانات والسجلات عند الحاجة.
اشتراطات تعاقدية موسعة مع «هوية»
وتفرض التعليمات أن تتضمن العقود المبرمة بين البنك وشركة الهوية المالية الرقمية مجموعة واسعة من الضوابط، من بينها تحديد مسؤوليات الأطراف، واتفاقيات عدم الإفصاح، واتفاقيات مستوى الخدمة SLA، وتحديد مدد تنفيذ الخدمات وإجراءات التصعيد والعقوبات عند عدم الالتزام.
كما يجب أن تتضمن العقود إجراءات واضحة للإبلاغ عن خروقات البيانات، وإخضاع الأنظمة والعمليات لنظام إدارة المخاطر وسياسات الخصوصية وأمن المعلومات المعتمدة لدى البنك.
وتحتفظ القواعد للبنك المركزي المصري بحق الاطلاع والرقابة والتفتيش على النظم الداخلية لشركة الهوية المالية الرقمية، سواء من خلال عمليات تفتيش مخططة أو غير مخططة، بما يعزز الرقابة المباشرة على البنية التكنولوجية للمنظومة ومقدمي الخدمات المرتبطين بها.
متطلبات قبل التشغيل
وقبل الإطلاق، يتعين على البنك تقديم تقييم لمخاطر الخدمة يوضح أن الضوابط المقترحة قادرة على خفض المخاطر إلى المستوى المقبول، إلى جانب إجراء تقييم لمخاطر الأمن السيبراني واعتماده من السلطة المختصة داخل البنك.
كما يتعين استيفاء تقييم من إدارة الالتزام، وتقديم تقرير SOC Type 1 من جهة معتمدة قبل الإطلاق، ثم تقرير SOC Type 2 خلال ستة أشهر من بدء الخدمة.
وتعكس هذه المتطلبات توجهًا نحو إخضاع منظومة الهوية المالية الرقمية ليس فقط لاختبارات فنية، ولكن أيضًا لمراجعات مستقلة للضوابط الداخلية والرقابة وإدارة المخاطر.
توعية العملاء جزء من المنظومة الرقابية
ولا تقتصر مسؤولية البنوك على تأمين الأنظمة، إذ تتضمن القواعد متطلبات واضحة لتوعية العملاء بالمخاطر الأمنية.
ومن أبرزها التأكيد على العملاء بعدم الإفصاح عن كلمات المرور لأي شخص، بما في ذلك موظفو البنك أو الوكلاء، بهدف الحد من مخاطر الهندسة الاجتماعية، إلى جانب توعيتهم بالإجراءات الواجب اتباعها عند اكتشاف اطلاع شخص آخر على وسائل التحقق الخاصة بهم، وإبلاغ البنك فورًا في حالة فقدان الهاتف المحمول المرتبط بالمنظومة.
الهدف العام للتعليمات
وتشير القواعد في مجملها إلى انتقال التعامل الرقابي مع التعرف الإلكتروني على العملاء من مجرد كونه إجراءً لتسهيل فتح الحسابات والخدمات عن بُعد إلى اعتباره منظومة متكاملة لإدارة المخاطر.
فالإطار الجديد يجمع بين التحقق من هوية العميل، وأمن المعلومات، والأمن السيبراني، وحماية البيانات والخصوصية، ومكافحة الاحتيال، وإدارة مخاطر الأطراف الثالثة، واستمرارية الأعمال، والرقابة على الوكلاء، والاحتفاظ بالسجلات، إلى جانب الرقابة المباشرة للبنك المركزي على المنظومة ومقدمي الخدمات.
ويبرز من التعليمات بشكل خاص ثلاثة اتجاهات رقابية رئيسية: أولها تحميل البنك مسؤولية واضحة عن الخدمة حتى عند الاستعانة بأطراف خارجية، وثانيها رفع مستوى المتطلبات الفنية والأمنية قبل التشغيل وأثناءه، وثالثها تعزيز قدرة البنك المركزي على الرقابة والتفتيش والحصول على تقارير الاختبارات والتقييمات بصورة مستمرة.
وبذلك تسعى القواعد إلى تحقيق معادلة تجمع بين التوسع في استخدام الخدمات المصرفية الرقمية وتسهيل وصول العملاء إليها، وبين فرض ضوابط مشددة تحمي الهوية والبيانات والأموال وتحد من مخاطر الاحتيال والاختراقات السيبرانية.
التعليمات كاملة
