شدد البنك المركزي المصري على مجموعة من الضوابط المتعلقة بمخاطر التشغيل وضمان استمرارية العمل في خدمات الهوية المالية الرقمية، مع إلزام البنوك بمراجعة العمليات والأنظمة المستخدمة بشكل دوري، والتأكد من الالتزام بالمعايير والسياسات المعمول بها، إلى جانب تحليل الثغرات ووضع التوصيات اللازمة لتحسين الأداء ومستويات الأمان.
كما ألزم البنك البنوك، في حال خروج أي برنامج أو نظام من الخدمة، بالتخلص الآمن من البيانات المالية وتدميرها بما يضمن استحالة استرجاعها مرة أخرى من جميع الخوادم والأنظمة التكنولوجية.
وطالب بإعداد سجل للأحداث العارضة المرتبطة بالخدمات المقدمة وتفاصيلها، مع إعداد تقرير دوري يُعرض على الإدارة العليا ضمن تقرير مخاطر التشغيل، لاتخاذ الإجراءات المناسبة لتلافي تكرار تلك الأحداث.
وأكد البنك المركزي ضرورة إبلاغه بأي أحداث أمن معلومات أو حوادث سيبرانية بصورة صحيحة، وبحد أقصى 6 ساعات من اكتشاف الحادث، وتشمل الحالات التي تستوجب الإبلاغ هجمات الاحتيال لتسريب أو إفشاء هوية مستخدمي النظام أو وثائق اعتماد الشخصية، مثل التصيد الاحتيالي وبرمجيات التجسس والبرمجيات الخبيثة وبرمجيات الفدية.
وتشمل كذلك حالات الدخول غير المصرح به إلى أنظمة تكنولوجيا المعلومات بالبنك لتسريب بيانات مستخدمي الخدمات، وأي عمليات تخريبية للبيانات المتعلقة بالأنظمة لا يمكن استرجاعها، بالإضافة إلى التوقف الكلي المتعمد أو العارض للخدمات لفترة تتجاوز هدف وقت الاسترجاع المحدد من جانب البنك.
كما ألزم البنك البنوك بالإبلاغ عن أي حوادث أمن معلومات أو هجمات سيبرانية تتعلق بالبنية التحتية الرقمية للشركة أو الخدمات الرقمية المقدمة، مع الالتزام بتنفيذ التوصيات الواردة في التحذيرات الأمنية الصادرة عن مركز الاستجابة لطوارئ الحاسب الآلي للقطاع المالي، وإرسال الردود والتحديثات بصورة شهرية خلال الأسبوع الأول من كل شهر.
وفي حالة وجود توقف مخطط جزئي أو كلي للخدمات قد يؤثر على إتاحتها للعملاء، يتعين على البنك إخطار البنك المركزي قبل موعد التوقف بـ48 ساعة على الأقل، على أن يتضمن الإخطار تاريخ ووقت بدء الانقطاع وانتهائه، وحجم تأثر العملاء والخدمات، والإجراءات المتبعة لاستخدام مقر التعافي من الكوارث أثناء فترة الانقطاع.
وشدد البنك المركزي كذلك على ضرورة تطبيق البنوك والوكلاء المصرفيين سياسة الفصل بين المهام والرقابة الثنائية، لمنع قيام أي موظف بأعمال غير مصرح له بها، بما يشمل إدارة حسابات المستخدمين وتنفيذ المعاملات وحفظ وإدارة مفاتيح التشفير وإدارة وتشغيل الأنظمة، مع مسؤولية البنك عن التأكد من التزام الوكلاء المصرفيين بهذه الإجراءات.
