Online Banking Sikkerhedsvejledning Internet-version Indhold Introduktion til Sikkerhedsvejledningen... 2 Sikkerhedsvejledningen... 2 Sikker brug af internettet... 2 Sikkerhedsløsninger i Online Banking... 3 Hvad er sikkerhed i Online Banking?... 3 Online Banking og certifikater... 3 Generelt om oprettelse af certifikater... 3 Certifikatplacering... 4 Begreber... 4 Mærke... 4 Startkode... 4 Nøglekort....4 Certifikat... 4 Den hemmelige nøgle og sammenhængen med sikkerhedskoden... 4 Online Banking og sikkerhedskoden... 5 Vigtigt at vide om sikkerhed... 5 Den personlige sikkerhedskode og nøglekortet... 5 Sikkerhedskoden... 5 Opbygning af sikkerhedskoden... 5 Ændring af sikkerhedskoden... 5 Gode råd om sikkerhedskoden... 6 Opbevaring af sikkerhedskoden... 6 Du har glemt din sikkerhedskode... 6 Nøglekortet....7 Misbrug og spærring... 7 Mistanke om misbrug af en brugers sikkerhedskode... 7 Spærring... 7 Afmelding... 7 Ophævelse af spærring... 7 Første gang du skal bruge Online Banking... 8 Om Online Banking og certifikater... 8 Generelt om oprettelse af brugere... 8 Sådan danner du dit hemmelige mærke... 8 Mærke indsendelse af mærkeblanket... 9 Opret certifikat... 11 Daglig forvaltning af brugere i Online Banking... 12 Nye brugere i Online Banking... 12 Fornyelse af certifikat... 12 Certifikaters gyldighedsperiode... 12 Ændring og afmelding af certifikater... 12 En bruger ændrer navn... 12 Afmelding af brugercertifikater... 12 Afmelding af Online Banking... 13 Sikkerhedskopiering... 13 Problemløsning... 13 Jeg kan ikke udskrive mærkeblanketten hvad gør jeg?... 13 Jeg har glemt min sikkerhedskode hvad gør jeg?... 13 Mit certifikat i flere forskellige Online Banking installationer... 14 1
Introduktion til Sikkerhedsvejledningen Vejledningen giver en beskrivelse af: hvad sikkerhed er oprettelse af brugere forretningsgange. Du kan også finde svar på spørgsmål i Online Bankings hjælpesystem, som omfatter en generel hjælp. Sikkerhedsvejledningen Når du har indgået en aftale med Sydbank om at benytte Online Banking, skal du være opmærksom på, at alle brugere, som bliver oprettet i Online Banking, skal være bekendt med sikkerhedsvejledningen. Sikker brug af internettet Når din computer er i kontakt med internettet, er den i princippet åben for alle andre brugere og servere, der også er aktive på internettet på samme tid. Der findes i dag mange forskellige teknikker til at sikre computeren mod virus og indbrud, men sikkerheden for, at andre ikke uretmæssigt får adgang til din computer, afhænger imidlertid i høj grad af virksomhedens it-sikkerhedspolitik og dig selv som bruger. Ved at være opmærksom på nogle få grundlæggende forhold, når du surfer på internettet eller modtager mail, kan du gøre meget for, at andre ikke får adgang til din computer, eller at du ikke modtager virus og lignende. Du bør derfor læse følgende 10 gode råd, inden du begynder at benytte Online Banking: 1. Brug altid et opdateret antivirusprogram, der automatisk tjekker filer, mails m.m., før de lagres. 2. Forvis dig om, at virksomhedens it-udstyr er beskyttet af en firewall. 3. Undlad at åbne vedhæftede filer i mails, hvis du er i tvivl om indholdet af den vedhæftede fil. Vær især kritisk over for uopfordrede mails, og vær ekstra forsigtig, når uopfordrede mails har vedhæftede filer lad være med at klikke på disse filer. 4. Når der kommunikeres sikkert over internettet, vises der enten en hængelås nederst til højre eller øverst i browseren. Klik på hængelåsen for at få vished om, hvem du kommunikerer med. Hvis certifikatet er udstedt af Sydbank, vil der stå: Udstedt til: portal4.erhverv.sydbank.dk. 5. Indstil browseren således, at den giver en advarsel, før noget downloades til pc en. Acceptér kun download fra sites/kilder, som du kender og finder troværdige. 6. Vælg passwords, der er svære at gætte, og hold dem hemmelige. 7. Opbevar kun fortrolige data på pc er, som du har kontrol over, og slet effektivt data, før en pc sælges. 8. Opdater altid browser, mail-program og operativsystem, så du altid har de nyeste versioner og dermed også har de nyeste sikkerhedsopdateringer. Benytter du også antispyware, skal du sikre dig, at disse programmer altid er opdateret. 2
9. Benytter du trådløst netværk, skal du huske at slå kryptering til. På www.it-borger.dk, under punkterne sikkerhed, sådan beskytter du dig og dit udstyr og det trådløse netværk, kan du læse mere om, hvordan du beskytter trådløse netværk. 10. Tag jævnligt backup af væsentlige filer. Sikkerhedsløsninger i Online Banking Online Banking er udstyret med en opdateret sikkerhedsteknologi. Løsningen består af en række delkomponenter, som tilsammen udgør et meget sikkert koncept: Kommunikationen er beskyttet med en kraftig kryptering (128-bit SSL). Du giver dig til kende med et kundenummer, et brugernummer og en sikkerhedskode, som kun du kender samt en nøgle fra et nøglekort. Første gang, du logger på Online Banking, skal du anvende et mærke, som du selv har lavet, og nøglekortet skal aktiveres. Der bliver udstedt et certifikat til alle brugere. Certifikatet benyttes til at give alle økonomisk forpligtende transaktioner og filtransmissioner en digital signatur. Hvad er sikkerhed i Online Banking? Sikkerheden i Sydbanks Online Banking har til formål at beskytte al datakommunikation mellem dig og Sydbank. For at opnå dette benytter Online Banking sig af kryptering og elektroniske signaturer. Krypteringen sikrer, at det kun er afsender og modtager, som kan læse indholdet af filen. Filerne krypteres med afsenders offentlige nøgle, og da det kun er muligt at dekryptere (afkryptere) filerne ved hjælp af modtagers hemmelige nøgle, er det kun modtageren, som kan læse filernes indhold. Elektroniske signaturer påføres filerne ved hjælp af brugerens hemmelige nøgle. Underskriften kan kun læses, ved at den dekrypteres (afkrypteres) med den samme brugers offentlige nøgle. Den elektroniske signatur sikrer dels, at modtager ved, hvem der har sendt filen, dels at modtager ikke kan læse filen, hvis der er ændret i den undervejs. Online Banking og certifikater Generelt om oprettelse af certifikater Før en bruger kan anvende Online Banking, skal han have udstedt et elektronisk certifikat. For at kunne udstede et certifikat til brugeren, skal banken være sikker på, at brugeren er den, han udgiver sig for at være. Dette sker ved hjælp af to ting: 1. et mærke, som kun brugeren kender 2. en startkode, som er sendt direkte til brugeren fra banken. 3
Certifikatplacering I forbindelse med oprettelsen skal du vælge, hvor den enkelte brugers certifikat skal placeres. Placeringen afhænger blandt andet af virksomhedens politik for tilgængelighed og sikkerhedskopiering. På den internetbaserede udgave af Online Banking foreslår systemet, at certifikaterne placeres på lokaldrevet. Benytter brugeren standardforslaget, medfører det, at bruger kun kan benytte Online Banking på den lokale maskine. Ønsker virksomheden, at alle brugercertifikater placeres centralt, skal hver bruger selv sørge for at angive korrekt drev og mappe. Begreber Mærke Brugeren skal vælge et hemmeligt mærke, som indtastes i Sydbanks Mærkeprogram. Det er vigtigt, at bruger kan huske det valgte mærke, da det skal bruges senere. Mærkeprogrammet har to formål: Mærket er hemmeligt for andre end brugeren Mærkeprogrammet udskriver en mærkeblanket. På blanketten skal brugerens identitet attesteres. Hemmeligholdelsen sker, ved at mærket omregnes til en mærkekontrolværdi. Startkode Brugeren modtager en startkode fra banken i en forseglet kuvert. Koden skal kun bruges første gang, brugeren logger ind i Online Banking. Sammen med mærket giver den en sikkerhed for, at brugeren er den, han udgiver sig for at være. Nøglekort Brugeren modtager et nøglekort fra banken. Første gang brugeren logger ind i Online Banking, skal nøglekortet aktiveres. Nøglekortet har et nøglekortnummer, som er tilknyttet brugeren. Nøglekortet skal bruges, hver gang en bruger logger på Online Banking. Certifikat Når brugeren første gang logger på Online Banking, skal han indtaste sit hemmelige mærke og den tilsendte startkode samt aktivere sit nøglekort. Hvis mærket og startkoden er korrekte, udstedes der et elektronisk certifikat. Brugeren skal samtidig angive en sikkerhedskode til certifikatet, og sikkerhedskoden skal fremover bruges i Online Banking. Den hemmelige nøgle og sammenhængen med sikkerhedskoden Brugerens hemmelige nøgle bruges til at danne den elektroniske signatur, og signaturen er unik for hver betaling, der signeres. Den hemmelige nøgle er beskyttet af en sikkerhedskode, som kun brugeren kender. Brugerens hemmelige nøgle forbliver i virksomheden og kendes således ikke af andre personer, heller ikke af banken. 4
Derfor er det meget vigtigt, at brugeren ikke videregiver sin sikkerhedskode til den hemmelige nøgle sikkerhedskoden er strengt personlig. Brugeren kan til enhver tid frit ændre den personlige sikkerhedskode i Online Banking. Dette anbefales at gøre: med jævne mellemrum og i henhold til virksomhedens it-sikkerhedspolitik så snart der er mistanke om, at en anden bruger kan have set indtastningen af sikkerhedskoden. Læs også om den personlige sikkerhedskode nedenfor. Online Banking og sikkerhedskoden Sikkerhedskoden til Online Banking benyttes således til: at logge på Online Banking sammen med nøglekortet at godkende betalinger. Vigtigt at vide om sikkerhed Den personlige sikkerhedskode og nøglekortet Sikkerhedskoden Brugeren vælger selv sin sikkerhedskode. Sikkerhedskoden er strengt personlig og må ikke overdrages eller vises til andre. Er der behov for, at andre skal have adgang til systemet, f.eks. i ferieperioder, skal Sydbank oprette nye brugernumre og fuldmagter til disse nye brugere også selv om der kun er tale om en midlertidig ordning. Vi anbefaler derfor, at virksomheden, i forbindelse med oprettelse og afmelding af brugere i Online Banking, tager højde for ferier og sygdom blandt brugerne. Opbygning af sikkerhedskoden Sikkerhedskoden kan bestå af både tal og store/små bogstaver. Den skal indeholde mindst 8 og maksimalt 16 karakterer. Læs mere i afsnittet Gode råd om sikkerhedskoden. Ændring af sikkerhedskoden Brugeren kan til enhver tid selv ændre sin sikkerhedskode i Online Banking. Det er virksomhedens ansvar at fastlægge regler for, hvor tit brugerne skal ændre sin sikkerhedskode. Vejledning til ændring af sikkerhedskoden kan findes i hjælpefunktionen i Online Banking. 5
Gode råd om sikkerhedskoden Når du laver din egen sikkerhedskode, skal tre ting være opfyldt: Sikkerhedskoden skal være relativ lang. Jo længere en sikkerhedskode er, jo flere muligheder skal uvedkommende gennemgå, før de kommer til den rigtige kombination. Sikkerhedskoden skal være nem at huske. Hvis man ikke kan huske sikkerhedskoden, skriver man den ofte ned, hvilket uundgåeligt indebærer en sikkerhedsrisiko. Sikkerhedskoden skal være svær at gætte. Man bør afholde sig fra at bruge personlige numre og navne som sikkerhedskode. Undgå at bruge din egen, dine børns fødselsdage eller personnumre som sikkerhedskode. Det er heller ikke en god ide at bruge din nærmeste families eller venners navne. Du bør heller ikke bruge tekst, som er i umiddelbar nærhed af computeren, så som bogtitler eller navnet på en butik, du kan se ud af vinduet. Du bør heller ikke bruge en sikkerhedskode, som du benytter til andre systemer. Hvis koden kan brydes i ét system, er det nærliggende, at en ondsindet person vil prøve koden af på flere af de systemer, du benytter. Endelig skal du undgå at bruge sikkerhedskoder, som er lette at aflæse, når du indtaster den, eksempelvis 1111111111111111. Opbevaring af sikkerhedskoden Du skal kunne huske din sikkerhedskode, eller sagt på en anden måde: Du må ikke skrive den ned nogen steder, så andre kan få adgang til koden. Det siger sig selv, at hvis du har skrevet den ned på en seddel og klistret den på skærmen, så du altid har den lige ved hånden, kan andre også nemt få adgang til Online Banking og foretage dispositioner på dine vegne. Det er dit ansvar som bruger, at du ikke giver andre mulighed for at tilegne sig din sikkerhedskode. Husk også at skjule dine hænder, når du indtaster sikkerhedskoden, så andre ikke har mulighed for at aflæse koden. Oplys aldrig sikkerhedskoden til andre, heller ikke dine kollegaer. Oplys den heller ikke til personer, som udgiver sig for at være eksempelvis fra politiet eller fra banken og beder dig oplyse sikkerhedskoden. Banken vil aldrig bede om din sikkerhedskode. Du har glemt din sikkerhedskode Har du glemt din sikkerhedskode, kan du ikke benytte Online Banking. Sikkerhedskoden kan ikke rekonstrueres. Derfor skal du igen oprette et nyt certifikat. Det betyder, at du skal bruge dit mærke igen og banken skal sende dig en ny startkode. Såfremt du heller ikke kan huske dit mærke, skal du indsende en ny mærkeblanket til banken. Kontakt Hotline for at få tilsendt ny startkode med posten. 6
Nøglekortet Når brugeren logger på Online Banking, skal han bruge en nøgle fra nøglekortet sammen med sikkerhedskoden. Der udsendes automatisk et nyt nøglekort, før det gamle er brugt op. Det gamle nøglekort må ikke smides væk, før det nye er taget i brug. Brugeren kan bestille flere nøglekort i Online Banking. Af sikkerhedshensyn bruges hver nøgle kun én gang og i vilkårlig rækkefølge. Nøglekortet er personligt og skal opbevares forsvarligt. Misbrug og spærring Mistanke om misbrug af en brugers sikkerhedskode Opstår der mistanke om misbrug af en brugers sikkerhedskode, skal der straks ske ét af følgende: den pågældende bruger skal ændre sin sikkerhedskode certifikatet skal spærres eller afmeldes. Spærring Der er flere muligheder for at spærre kunden eller brugeren i Online Banking: Brugeren kan spærre for kunden/brugeren i Online Banking-systemet i Online Bankings åbningstid Kunden/brugeren kan spærre for kunden og brugeren ved at kontakte Hotline på tlf. 74 36 25 10 i Hotlines åbningstid Via Spærreservice. Kontakt Spærreservice, som er åbent 24 timer i døgnet, tlf. 75 94 50 93. Spærreservice kan ikke besvare tekniske spørgsmål der skal du kontakte Hotline. Ved en spærring modtager kunden eller brugeren en skriftlig bekræftelse på spærringen. Afmelding For at inaktivere et certifikat, d.v.s. gøre det kompromitterede certifikat ugyldigt, skal brugeren kontakte Hotline i åbningstiden på tlf. 74 36 25 10. Ophævelse af spærring Sammen med bekræftelsen på spærringen følger en blanket til brug for ophævelse af spærringen. Blanketten skal sendes til Sydbank, når kunden/brugeren ønsker at ophæve spærringen. Såfremt brugeren ikke kan huske sit mærke, skal brugeren endvidere indsende en ny mærkeblanket. Dette kan brugeren gøre i Sydbanks Mærkeprogram. Bemærk, at hverken Hotline eller Spærreservice kan ophæve spærringer. 7
Første gang du skal bruge Online Banking I det følgende kan du læse om, hvordan du som bruger tager Online Banking i brug for første gang. Inden du kan anvende Online Banking, skal banken have modtaget og registreret Aftale om tilslutning til Online Banking, Fuldmagter til Online Banking og Mærkeblanket. Det første, du som bruger skal gøre, er at oprette dit certifikat. Om Online Banking og certifikater Du foretager oprettelse og vedligeholdelse af dit certifikat i Online Banking. Herudover skal du bruge Sydbanks mærkeprogram til at danne et mærke. Generelt om oprettelse af brugere Hver bruger modtager en forseglet kuvert med oplysning om kundenummer, brugernummer og en startkode. Disse oplysninger skal brugeren benytte i Online Banking til at oprette et personligt certifikat. Oprettelsen er beskrevet detaljeret nedenfor. For at få oprettet et certifikat til Online Banking skal du: have en startkode fra banken i en forseglet kuvert danne et hemmeligt mærke i Sydbanks mærkeprogram og sende mærkeblanketten til banken. Derudover skal du aktivere dit nøglekort. Nøglekortet har et nøglekortnummer, så nøglekortet bliver tilknyttet din bruger. Disse tre oplysninger skal sikre, at banken kan stole på, at du er den, du udgiver dig for at være, når du benytter Online Banking. Sådan danner du dit hemmelige mærke Brug Sydbanks Mærkeprogram, når du skal danne dit hemmelige mærke. Du skal have den forseglede kuvert med koder/brugervejledningen klar. Den indeholder nogle af de oplysninger, som du skal indtaste for at danne dit mærke. 8
Mærke indsendelse af mærkeblanket Start Online Banking via sydbank.dk, klik på Log på Online Banking. Du får først vist login-billedet: I login-billedet skal du vælge Ny bruger under fanen Vejledning. Dernæst får du vist billedet til at danne mærke: klik på knappen Dan mærke. 9
Først vises et skærmbillede med instruktioner om, hvad du skal til at foretage dig. Klik på knappen Dan mærke. Der kommer nu en Vejledning. Klik på Næste nede i højre hjørne for at komme videre til Kundeoplysninger. Indtast kundeoplysninger. Kundenummeret finder du i oplysningerne fra den forseglede kuvert/brugervejledning. Klik på Næste. Indtast brugeroplysninger. Brugernummeret finder du ligeledes i oplysningerne fra den forseglede kuvert/brugervejledning. Klik derefter på Næste. I brugeroplysningerne skal du indtaste dit mærke. For en sikkerheds skyld skal du indtaste mærket to gange. Klik derefter på Næste. 10
Herefter skal du udskrive mærkeblanketten: Du skal underskrive mærkeblanketten som bruger. Derefter skal en tegningsberettiget person i virksomheden eller en person, som er bemyndiget til at underskrive mærkeblanketter, attestere din identitet. Send den underskrevne mærkeblanket til banken, som registrerer oplysningerne fra blanketten. Bemærk: Det er vigtigt, at du kan huske det mærke, du indtastede. Du skal ikke bruge kontrolværdien. Til gengæld skal banken bruge den, da den ikke må kende dit mærke. Kontrolværdien beregnes automatisk ud fra det hemmelige mærke. Opret certifikat Når banken har modtaget og registreret oplysningerne fra mærkeblanketten, kan du starte Online Banking for at oprette dit certifikat. Indtast kundenummer, brugernummer og startkode. Klik på Log på. Følg instruktionen på skærmen. 11
Daglig forvaltning af brugere i Online Banking Nye brugere i Online Banking Når virksomheden skal oprette en ny bruger i Online Banking, skal den først kontakte banken. Banken sender nye fuldmagter og en oversigt over de brugere, der er registreret i banken. Den nye bruger kan så danne sig et mærke ved at klikke på Ny bruger i Online Bankings login-billede. Når banken har modtaget og registreret fuldmagten og mærket, sendes en forseglet kuvert med en startkode samt et nøglekort. Den nye bruger kan nu oprette sit certifikat i Online Banking og aktivere sit nøglekort. Herefter er systemet klar til brug. Fornyelse af certifikat Certifikaters gyldighedsperiode Dit certifikat har en gyldighedsperiode på 2 år. Inden certifikatet udløber, skal du forny det. Du bliver automatisk adviseret om udløbet 2 måneder før udløbsdatoen. Følg instruktionerne på skærmen, når du skal forny certifikatet. Vær opmærksom på, at hvis du anvender dit certifikat på andre maskiner, skal du huske at kopiere certifikatet til de øvrige maskiner. Det er vigtigt at forny certifikatet inden den udløbsdato, som systemet viser. Hvis du ikke fornyr certifikatet, inden det udløber, skal du oprette et helt nyt certifikat. Ændring og afmelding af certifikater En bruger ændrer navn Hvis en bruger ændrer navn, skal brugerens certifikatoplysninger ligeledes ændres. Dette sker ved at kontakte Hotline på telefon 74 36 25 10. Når banken har registreret brugerens nye navn, skal brugeren efterfølgende forny sit certifikat. Afmelding af brugercertifikater En brugers certifikat kan afmeldes af kunden eller af brugeren enten skriftligt til Sydbank eller ved at kontakte Hotline på telefon 74 36 25 10. Du kan også kontakte Spærreservice, som er åbent 24 timer i døgnet, på telefon 75 94 50 93. Spærreservice kan ikke besvare tekniske spørgsmål kontakt i stedet Hotline. En brugers certifikat er inaktivt efter en afmelding. Brugeren kan ikke længere benytte certifikatet og dermed Online Banking. 12
En afmelding skal altid ske, hvis: virksomheden ikke længere ønsker, at en bruger anvender Online Banking en bruger forlader virksomheden virksomheden ophører med at eksistere. Afmelding af Online Banking Afmelding af aftalen om tilslutning til Online Banking skal ske skriftligt til banken, og afmeldingen sker i overensstemmelse med vilkår for Online Banking. Når aftalen afmeldes, afmeldes også de tilknyttede brugere. Sikkerhedskopiering Når I bruger Online Banking, er det kun certifikaterne, der ligger lokalt på virksomhedens maskiner. I skal derfor kun tage en sikkerhedskopi af certifikaterne. Skulle uheldet alligevel være ude, er det altid muligt at danne et nyt certifikat, men det kræver, at brugerne kan deres mærke, eller at de laver et nyt og får tilsendt ny startkode. Læs mere i afsnittene Sådan danner du dit hemmelige mærke og Opret certifikat Problemløsning Jeg kan ikke udskrive mærkeblanketten hvad gør jeg? I tilfælde af at der ikke er koblet en printer til dit system, eller du på anden vis ikke kan få mærkeblanketten udskrevet, skal du gøre følgende: kontakt banken og få tilsendt en blank mærkeblanket (med post/fax) overfør kontrolværdierne fra skærmbilledet til blanketten underskriv blanketten send blanketten til banken. Jeg har glemt min sikkerhedskode hvad gør jeg? Din sikkerhedskode kan ikke rekonstrueres, og banken kender den heller ikke. Derfor er du nødt til at oprette et nyt certifikat. Du skal bruge et mærke og en startkode for at oprette certifikatet. Kontakt banken for at bestille en ny startkode. Har du glemt dit mærke, skal du i login-billedet klikke på fanen Ny bruger. Her kan du danne et nyt mærke. Send mærkeblanketten i underskrevet stand til banken. 13
Når mærkeblanketten er modtaget og registreret i banken, og du har din nye startkode, kan du oprette certifikatet. Læs mere i afsnittet Opret certifikat. Mit certifikat i flere forskellige Online Banking installationer Benytter du Online Banking på en maskine, der ikke er tilsluttet et netværk, kan du som udgangspunkt kun benytte den maskine, hvor dit certifikat er placeret. Hvis certifikatet findes i flere kopier, og certifikatet fornys eller helt erstattes af en nyt, skal du selv sørge for at kopiere det nye certifikat til de øvrige maskiner. Med nøglekortet kan du benytte Online Banking fra flere computere uden at være afhængig af dit certifikat 14