เมื่อวันที่ 27 ธันวาคม 2562 ที่ผ่านมา ทางธนาคารแห่งประเทศไทย ได้ประกาศ แนวนโยบาย การรักษาความมั่นคงปลอดภัยของการให้บริการทางการเงินและขำระเงินบนอุปกรณ์เคลื่อนที่ เพื่อเป็นแนวทางบังคับใช้กับแอปพลิเคชั่น Mobile Banking ของธนาคารต่างๆ ซึ่งมีเนื้อหาน่าสนใจหลายข้อ อาทิ ไม่ให้ใช้งานบนอุปกรณ์ที่ Root หรือ Jailbreak รวมถึงเครื่องที่ใช้ระบบปฏิบัติการที่ตกรุ่นแล้ว
ในเอกสารของทางธนาคารแห่งประเทศไทย มีกำหนดมาตรการขั้นต่ำเกี่ยวกับระบบเอาไว้ 12 ข้อ เพื่อช่วยป้องกันความเสี่ยงจากภัยคุกคามไซเบอร์ ที่จะส่งผลกระทบกับผู้ใช้บริการ โดยผู้ให้บริการจะต้องดำเนินการปรับปรุงการรักษาความปลอดภัยในแอปพลิเคชั่นดังนี้
- ไม่อนุญาตให้เครื่องที่เปิดการเข้าถึงระบบปฏิบัติการ (rooted/jailbroken) เข้าใช้งานแอปพลิเคชัน
- ไม่อนุญาตให้อุปกรณ์ที่ใช้ระบบปฏิบัติการล้าสมัย (obsolete Operating System : OS) เข้าใช้งานแอปพลิเคชัน
- ขอสิทธิการเข้าถึงอุปกรณ์ (App Pernission) เท่าที่จำเป็น
- ป้องกัน source code ส่วนสำคัญ เช่น การโอนเงิน การพิสูจน์ตัวตน ไม่ให้ รั่วไหล
- ป้องกันไม่ให้มีช่องโหว่ที่จะถูกการฝังโค้ด (malicious code) บนแอปพลิเคชัน
- เข้ารหัสไฟล์ข้อมูลสำคัญที่เก็บไว้ในอุปกรณ์ เพื่อไม่ให้ข้อมูลของผู้ใช้รั่วไหล
- ผู้ใช้ต้องอัพเดตแอปพลิเคชันเป็นเวอร์ชันล่าสุดเท่านั้น จึงจะใช้งานได้
- ป้องกันเซิร์ฟเวอร์และเครือข่าย จากการโจมตี DDoS
- ป้องกันการถูกดักจับข้อมูล หรือเปลี่ยนแปลงข้อมูลระหว่างการรับส่ง โดยใช้วิธียืนยันตัวตนที่ปลอดภัย
- ป้องกันการสวมรอยการเข้าใช้งานของลูกค้า
- ป้องกันการถูกโจมตีเซิร์ฟเวอร์ด้วยการทำ SQL Injection, directory traversal
- ตรวจเช็คและป้องกันไม่ให้มีแอปปลอมขึ้นไปเผยแพร่ใน App Store และ Google Play
จากทั้ง 12 ข้อนี้ มีหลายข้อที่จะมีผลกระทบกับผู้ใช้งาน ก็คือ ข้อแรก ที่ห้ามมิให้เครื่องที่ทำการ Root หรือ Jailbreak ใช้งานแอปของธนาคารได้ ถ้าเรามองเรื่องของความปลอดภัยแล้ว ถือว่าเป็นเรื่องที่สำคัญ ทั้งกับตัวของผู้ใช้งานและธนาคาร โดยในเอกสารมีบอกรายละเอียดเกี่ยวกับแนวทางป้องกัน และให้ทางธนาคารอธิบายกับผู้ใช้ถึงความปลอดภัย
ข้อที่ 2 ที่ไม่ให้ใช้งานบนอุปกรณ์ที่ใช้ระบบปฏิบัติการล้าสมัย ความหมายก็คือ เครื่องที่ยังใช้ OS ที่ทางผู้ผลิตหยุดซัพพอร์ตในการทำอัพเดท Security Patch แล้ว สำหรับในบ้านเราตอนนี้ในหลายๆ แอปเริ่มไม่รองรับให้ใช้งานกับ Android 4.4 ที่ทาง Google ได้หยุดซัพพอร์ตด้านความปลอดภัยไปแล้ว ในแง่ของผู้ใช้ที่ยังคงใช้เครื่องรุ่นเก่าแล้วต้องการใช้งาน Mobile Banking ก็คือต้องซื้อเครื่องใหม่ที่เป็น OS ที่ปลอดภัย
สำหรับแนวทางที่ทางธนาคารแห่งประเทศไทยประกาศนี้ ยังมีอีกหลายส่วนที่จะกำหนดให้ทางแอปพลิเคชันปรับปรุง เพื่อเพิ่มความปลอดภัยในการทำธุรกรรมทางการเงินผ่านสมาร์ทโฟน มีกำหนดบังคับ 1 พฤษภาคม 2563 และสามารถเข้าไปอ่านประกาศตัวเต็มได้ ที่นี่
