EBA欧洲银行-Guidelines-on-the-security-measures-under-PSD2-28EBA-GL-2017-1729_BG_16页_284kb

总结：EBA/GL/2017/17 - 指南

核心内容

本指南由欧洲银行管理局（EBA）发布，旨在为支付服务提供商（PSP）提供关于如何遵守《支付服务指令（EC）2015/2366》和《支付服务指令（EC）2007/64/EC》的详细指导。指南涵盖了支付服务安全、风险管理、合规性、系统安全、数据保护、客户身份验证、反洗钱（AML）及反恐融资（CTF）等多个方面。

主要观点

• 合规性与报告义务：PSP必须遵守《支付服务指令（EC）2015/2366》的相关规定，并在规定期限内提交报告，确保所有措施符合指令要求。
• 风险管理：PSP需要建立并实施有效的风险管理措施，包括对操作风险、安全风险和系统风险的识别、评估和监控。
• 客户身份验证：必须确保客户身份验证流程的安全性和有效性，防止身份冒用和欺诈行为。
• 数据保护：PSP需确保支付服务相关数据的保密性、完整性和可用性，符合《通用数据保护条例（GDPR）》等数据保护法规。
• 反洗钱与反恐融资：PSP应建立反洗钱和反恐融资措施，确保其符合相关法律要求，并定期审查和更新。
• 系统安全：需确保支付系统和相关技术的安全性，防止未经授权的访问和数据泄露。
• 内部控制与审计：PSP应建立内部控制机制，并定期进行审计，以确保所有措施的有效性。
• 培训与意识：员工需接受相关培训，以提高对支付服务安全风险的认识和应对能力。

关键信息

1. 报告义务

• 提交报告：PSP需在2018年3月12日前提交报告，确保所有措施符合指令要求。
• 报告内容：报告需包括所有相关措施、流程和政策，以及对安全风险的评估和管理。
• 报告方式：报告需通过电子邮件发送至 compliance@eba.europa.eu，并注明文件标题为“EBA/GL/2017/17”。

2. 风险管理

• 风险类型：包括操作风险、安全风险和系统风险。
• 风险管理措施：PSP需建立风险评估和监控机制，确保所有风险得到妥善管理。
• 内部审计：需定期进行内部审计，以验证风险管理措施的有效性。

3. 客户身份验证

• 验证流程：PSP需确保客户身份验证流程的安全性和有效性。
• 验证方法：包括文档验证、生物识别、行为分析等。
• 验证责任：PSP需对验证过程进行监督，确保符合相关法规。

4. 数据保护

• 数据安全：PSP需确保支付服务相关数据的保密性、完整性和可用性。
• 数据处理：需遵守GDPR等数据保护法规，确保数据处理的合法性和透明度。
• 数据存储：需采取适当措施保护数据存储，防止未经授权的访问和数据泄露。

5. 反洗钱与反恐融资

• 措施要求：PSP需建立反洗钱和反恐融资措施，确保其符合相关法律要求。
• 监控与报告：需监控可疑交易，并向相关监管机构报告。
• 培训与意识：员工需接受相关培训，以提高对反洗钱和反恐融资风险的认识和应对能力。

6. 系统安全

• 安全措施：PSP需确保支付系统和相关技术的安全性，防止未经授权的访问和数据泄露。
• 安全评估：需定期进行安全评估，以验证系统安全措施的有效性。
• 安全更新：需定期更新系统安全措施，以应对新的安全威胁。

7. 内部控制与审计

• 内部控制：PSP需建立内部控制机制，以确保支付服务的安全性和合规性。
• 内部审计：需定期进行内部审计，以验证内部控制措施的有效性。
• 审计报告：需向相关监管机构提交内部审计报告，以证明合规性。

8. 培训与意识

• 员工培训：PSP需对员工进行相关培训，以提高对支付服务安全风险的认识和应对能力。
• 培训内容：包括安全措施、风险管理、数据保护等。
• 培训频率：需定期进行培训，以确保员工了解最新的安全要求和措施。

结构清晰的要点

• 合规性与报告义务：PSP需在2018年3月12日前提交报告，确保所有措施符合指令要求。
• 风险管理：PSP需建立并实施有效的风险管理措施，包括对操作风险、安全风险和系统风险的识别、评估和监控。
• 客户身份验证：需确保客户身份验证流程的安全性和有效性，防止身份冒用和欺诈行为。
• 数据保护：需遵守GDPR等数据保护法规，确保支付服务相关数据的保密性、完整性和可用性。
• 反洗钱与反恐融资：需建立反洗钱和反恐融资措施，确保其符合相关法律要求，并定期审查和更新。
• 系统安全：需确保支付系统和相关技术的安全性，防止未经授权的访问和数据泄露。
• 内部控制与审计：需建立内部控制机制，并定期进行审计，以验证措施的有效性。
• 培训与意识：需对员工进行相关培训，以提高对支付服务安全风险的认识和应对能力。