Version: 1.2 Side 1 af 6

Transkript

1 1. Efterleves en procedure hos Bank RA, som sikrer, at egne brugere bliver legitimerede brugere i henhold til gældende lov om forebyggende foranstaltninger mod hvidvask af udbytte og finansiering af terrorisme? Er disse procedurer tilrettelagt således, at legitimeringen af egne brugere ikke alene baseres på et OCES II Certifikat? 2. Tilbyder Bank RA mulighed for straksudstedelse af OCES II Certifikater ved fysisk fremmøde? Hvis ja, efterlever Bank RA så en procedure ved straksudstedelse for fysisk fremmøde, der sikrer, at Regler for NemID til netbank og offentlig digital signatur altid bliver udleveret ved udstedelsen? (bilag 5) Brugerne bliver oplyst om muligheden for at få separat Nøglekort til OCES II Certifikat? Bank RA er i stand til at dokumentere, at brugere, som har fået et straksudstedt OCES II Certifikat ved fysisk fremmøde, har accepteret Regler for NemID til netbank og offentlig digital signatur inden udstedelsen? 3. Tilbyder Bank RA mulighed for straksudstedelse af OCES II Certifikater ved fysisk fremmøde? Hvis ja, efterlever Bank RA så en procedure ved straksudstedelse af OCES II Certifikater for fysisk fremmøde, der sikrer, at: Nøglekort til straksudstedelse opbevares, tilknyttes brugeren og udleveres ved overholdelse af nedenstående minimumskrav: o Nøglekort og midlertidige adgangskoder opbevares sikkert, fx i aflåst skab eller skuffe, hvortil der er begrænset adgang. o RA-medarbejderen må kun tage det af brugeren ønskede antal nøglekort fra skabet ad gangen. o RA-medarbejderen må kun tage én midlertidig adgangskode til en specifik bruger ad gangen. 2, , , afs. 2 Version: 1.2 Side 1 af 6

2 4. Efterleves en procedure hos Bank RA, som sikrer, at der ved udstedelse af OCES II Certifikater er blevet forevist enten Eller 1) et behørigt billedlegitimationsdokument for alle nye brugere inden udstedelse af OCES II Certifikat. Behørig billeddokumentation skal indeholde CPR-nummer og omfatte: o Nationalt kørekort udstedt i et EU-/EØS-land o Pas o Forsvarets identitetskort (fra DK) o Natopas o Politilegitimationskort (fra DK) o Tidsubegrænset opholdstilladelse af typerne C,D eller F o Danske pengeinstitutters ID-kort. 2) For brugere, der ikke har billedlegitimation, to af følgende dokumenter: o Dåbs- eller navneattest o Sundhedskort (sygesikringskort) o Seneste årsopgørelse eller forskudsopgørelse fra Skat o Dokumentation for udbetaling af offentlig ydelse, der makismalt er tre måneder gammel. Mindst et af dokumenterne skal være dåbs- eller navneattest eller sundhedskort, og mindst et af de fremviste dokumenter skal indeholde oplysninger om CPR-nummer. Det skal samtidig sikres, at nøglekort i dette tilfælde ikke udleveres direkte, men fremsendes til brugerens folkeregisteradresse. Har Bank RA opbevaret dokumentation for og foretaget en fuldstændig og nøjagtig registrering af, hvilke dokumenter nye brugere har anvendt ved legitimeringen? Efterleves en procedure hos Bank RA, som sikrer, at brugerens oplysninger om: Navn Adresse CPR-nummer Bank RA revisionsinstruks kontrolleres i forhold til pålidelige legitimationsdokumenter udstedt af offentlig myndighed eller bank, kombineret med opslag i offentligt register. Version: 1.2 Side 2 af 6 2,

3 5. Efterleves en procedure hos Bank RA, der sikrer, at alle modtagne ansøgninger om OCES II Certifikater bliver sendt til Nets DanID hurtigst muligt og senest første arbejdsdag efter modtagelsen? 6. Opbevarer Bank RA behørig legitimationsdokumentation for de oplysninger, som Bank RA registrerer om brugere, som får udstedt et OCES II Certifikat på baggrund af Bank RA s erklæring om brugeres OCES-egnethed i løbende kalender år + fem år fra udstedelse af et OCES Certifikat? Efterlever Bank RA s dokumentation følgende krav? Ved kunder, hvor kundeforholdet er etableret før 1999: Har Bank RA dokumentation for, at kunden på tidspunktet for migreringen havde eller ved oprettelse af netbankaftale efterfølgende har, enten: Et Dankort Et internationalt debetkort (fx Visa Electron eller Maestro) To andre af følgende bankprodukter: o Betalingskonto (fx en lønkonto) o Udlånskonto o Internationalt kreditkort (fx Visa, Mastercard, American Express eller Eurocard)? Ved kunder, hvor kundeforholdet er etableret efter 1999, og før indgåelse af Bank RAaftalemigrering af bankens brugere: Har Bank RA dokumentation for, at den har overholdt legitimationskravene i henhold til enten Finansrådets retningslinjer eller Finanstilsynets vejledning vedrørende legitimering af kunder? Kan Bank RA fremlægge enten en kopi af fx kørekort eller pas eller fremvise systemmæssig dokumentation for, hvad kunden har forevist med præcis angivelse af type (art) og identifikationsnummer, fx pasnummer? Ved kunder, hvor kundeforholdet er etableret efter migrering af bankens brugere: Har Bank RA dokumentation for, at kunden har fremvist eller fremsendt de i ID 4 angivne legitimationsdokumenter? 2, , Version: 1.2 Side 3 af 6

4 7. Kan Bank RA, på anmodning fra Nets DanID, fremlægge dokumentation for, hvilke konkrete procedurer og legitimationsbeviser der har ligget til grund for Bank RA s legitimering af bruger, jf. bankaftalen? 8. Efterleves en procedure hos Bank RA, som sikrer, at nøglekort og midlertidig adgangskode kun bliver udleveret til bruger ved fysisk fremmøde og ved legitimering med billedlegitimation? 9. Efterleves en procedure hos Bank RA, som sikrer, at Nets DanID ved udstedelsen af OCES II Certifikat uden fysisk fremmøde bliver bedt om at fremsende nøglekort og midlertidig adgangskode til brugerens folkeregisteradresse? 10. Efterleves en procedure hos Bank RA, som sikrer, at Nets DanID ved udstedelse af OCES II Certifikat ved fysisk fremmøde, hvor bruger ikke legitimerer sig med billedlegitimation, bliver bedt om at fremsende nøglekort og midlertidig adgangskode til brugerens folkeregisteradresse? 11. Efterleves en procedure hos Bank RA, som sikrer, at når Bank RA alene har registreret en anden adresse end brugerens folkeregisteradresse, så kan udstedelse af OCES II Certifikat alene initieres ved fysisk fremmøde og legitimering ved fremvisning af billedlegitimation? 12. Efterleves en procedure hos Bank RA, som sikrer, at brugere uden folkeregisteradresse ikke får udstedt et OCES II Certifikat, samt at disse brugere bliver registreret som værende ikke-ocesegnede i de relevante systemer? 13. Efterleves en procedure hos Bank RA i forbindelse med support, som sikrer, at kravene til autentifikation, jf. bilag 8, overholdes? Har Bank RA efterlevet krav om at sende ansøgninger om midlertidig adgangskode videre til Nets DanID senest første arbejdsdag, efter at Bank RA har modtaget ansøgningen? 14. Har alle Bank RA-medarbejdere, der kan udstede et OCES II Certifikat, enten gennemgået det uddannelsesprogram, som Nets DanID tilbyder, eller modtaget tilsvarende niveau af uddannelse i legitimering og registrering ved udstedelsen? 2, , , , , , , , Version: 1.2 Side 4 af 6

5 15. Opbevarer Bank RA dokumentationen for legitimering sikkert og beskyttet for den angivne opbevaringsperiode, således at dokumentation ikke kan forvanskes, slettes, ændres eller komme til andres kendskab? Opbevares elektronisk dokumentation i henhold til egne sikkerhedsforskrifter? Opfylder disse sikkerhedsforskrifter anerkendte standardkrav, fx DS 484, ISO eller tilsvarende, herunder krav til sikkerhedskopiering af dokumentation med regelmæssige mellemrum? Efterlever Bank RA nedenstående krav kravene til datakommunikation mellem Nets DanID og Bank RA: RA anvender MPLS (Multi Protocol Label Switching) som bærenetværk. RA har etableret et separat netværk til Nets DanID. Oven på MPLS-netværket kører MQ (Message Queue) og webservicetrafik. Der bruges en SSL (Secure Socket Layer)-forbindelse til MQ-trafikken mellem Nets DanID's Queue Manager (MQ-server) og den enkelte Datacentrals Queue Manager. Webservices er sikret via tovejs-ssl. 16. Efterleves en procedure hos Bank RA, som sikrer, at der sker betryggende spærring. Bank RA skal straks spærre Nøglekortet, hvis Bruger oplyser, at andre har fået eller kan have fået kendskab til Nøgler på Nøglekortet, f.eks. hvis brevet med Nøglekortet ikke er intakt Bruger har mistet sit Nøglekort (bortkomne Nøglekort, som genfindes, skal destrueres). Bank RA skal straks spærre Brugers Adgangskode, hvis Bruger anmoder om det eller oplyser, at andre har fået eller kan have fået kendskab til Adgangskoden der er foretaget handlinger med NemID, der tyder på misbrug, f.eks. at der er foretaget handlinger, som Bruger ikke selv har udført en Bruger, der benytter IVR-løsningen, har mistet den telefon, som Brugeren modtager Nøgler på, eller oplyser, at hans telefonlinje bliver misbrugt. Bank RA skal straks spærre Brugers NemID, hvis Bank RA får mistanke om, at identiteten er falsk eller opnået på falsk grundlag. 2, , 1.12 Version: 1.2 Side 5 af 6

6 17. Efterleves en procedure hos Bank RA, som sikrer, at der ikke udleveres nøglekort og midlertidig adgangskode til brugere, som ikke er registrerede som kunde i banken? 18. Efterleves en procedure hos Bank RA, som sikrer, at kuverten med nøglekort og kuvert med midlertidig adgangskode er intakte, inden de udleveres til brugeren? 19. Har Bank RA sikret sig, at de beskrevne krav i Bank RA-aftalen til henholdsvis svag og stærk autentifikation er implementeret i bankens forretningsgange for brugersupport? 20. Er du/i i forbindelse med revisionen blevet bekendt med eventuel manglende overholdelse af kravene i tilslutningsaftalen hos Bank RA? 21. Er du/i i forbindelse med revisionen blevet bekendt med forhold eller fra ledelsen, fra datacentralen eller fra andre blevet informeret om forhold, der giver dig/jer anledning til at vurdere, at den samlede system-, data- og driftssikkerhed ikke er og fungerer betryggende for perioden? 7, afsnit 3 7, afsnit 3.1 7, afsnit 3.2 8, afsnit Version: 1.2 Side 6 af 6