Siết an toàn dữ liệu ngân hàng, mở rộng giám sát an ninh mạng với ví điện tử, Mobile Money

Ngân hàng Nhà nước Việt Nam (NHNN) đang xây dựng dự thảo Thông tư thay thế Thông tư 09/2020/TT-NHNN về an toàn hệ thống thông tin trong hoạt động ngân hàng. Dự thảo bổ sung nhiều yêu cầu liên quan đến bảo vệ dữ liệu khách hàng, phòng ngừa thất thoát thông tin, quản lý dịch vụ công nghệ thuê ngoài và duy trì hoạt động liên tục của hệ thống.

Việc sửa đổi được đặt ra trong bối cảnh các tổ chức tín dụng đẩy mạnh ứng dụng công nghệ số, sử dụng điện toán đám mây (Cloud), trí tuệ nhân tạo (AI), mở rộng kết nối giao diện lập trình ứng dụng mở (Open API) và thuê ngoài dịch vụ công nghệ. Những mô hình này giúp nâng cao hiệu quả vận hành, nhưng đồng thời làm gia tăng mức độ phụ thuộc vào bên thứ ba và mở rộng các nguy cơ đối với an toàn hệ thống, dữ liệu.

Cùng với đó, các hình thức tấn công mạng, mã độc tống tiền và nguy cơ lộ lọt thông tin ngày càng tinh vi, đòi hỏi các tổ chức hoạt động trong lĩnh vực tài chính - ngân hàng phải tăng cường năng lực phòng ngừa, phát hiện và ứng phó sự cố.

Tăng lớp bảo vệ dữ liệu, hạn chế nguy cơ thất thoát thông tin

Một trong những nội dung đáng chú ý của dự thảo là bổ sung các yêu cầu về phân loại, bảo vệ và mã hóa dữ liệu. Theo đó, các đơn vị phải phân loại thông tin, dữ liệu theo quy định của pháp luật về an ninh mạng và dữ liệu, đồng thời triển khai giải pháp chống thất thoát dữ liệu (Data Loss Prevention - DLP).

Các yêu cầu này được xây dựng trên cơ sở tham chiếu theo tiêu chuẩn quốc tế về quản lý an ninh thông tin (tiêu chuẩn ISO/IEC 27001:2022), chú trọng kiểm soát dữ liệu nhạy cảm trên hệ thống, mạng và các thiết bị thực hiện xử lý, lưu trữ hoặc truyền dẫn thông tin. Việc quản lý truy cập và bảo vệ dữ liệu trong quá trình vận hành hệ thống cũng được tăng cường.

Đối với hoạt động sao lưu, dự thảo bổ sung yêu cầu sử dụng công nghệ lưu trữ bất biến (immutable storage) hoặc cơ chế chống xóa, sửa đổi trái phép đối với bản sao lưu được lưu trữ tách biệt về mặt địa lý.

Quy định này hướng đến tăng khả năng bảo vệ dữ liệu trước các cuộc tấn công bằng mã độc tống tiền, trong đó tin tặc có thể mã hóa, phá hủy hoặc làm mất khả năng truy cập dữ liệu của tổ chức. Việc duy trì các bản sao lưu không thể bị tùy tiện sửa đổi, xóa bỏ có ý nghĩa quan trọng đối với khả năng khôi phục hoạt động sau sự cố.

Không chỉ tập trung vào phòng ngừa, dự thảo còn đặt ra yêu cầu duy trì hoạt động liên tục của hệ thống thông tin, bao gồm quản lý sự cố an ninh mạng, tổ chức sao lưu, khôi phục dữ liệu và bảo đảm khả năng vận hành khi phát sinh sự cố.

Kiểm soát chặt dịch vụ thuê ngoài, không chuyển trách nhiệm cho bên thứ ba

Một thay đổi đáng chú ý khác là việc bổ sung khung quản trị thuê ngoài công nghệ số, trong đó có dịch vụ điện toán đám mây.

Dự thảo làm rõ khái niệm thuê ngoài công nghệ số, thuê ngoài công nghệ số trọng yếu và trách nhiệm quản lý rủi ro đối với nhà cung cấp dịch vụ. Theo đó, các tổ chức phải xây dựng tiêu chí xác định hoạt động thuê ngoài trọng yếu, lựa chọn nhà cung cấp và đánh giá rủi ro trước khi sử dụng dịch vụ.

Việc quản lý không chỉ giới hạn ở nhà cung cấp trực tiếp mà còn mở rộng tới các nhà cung cấp dịch vụ thứ cấp, đặc biệt trong trường hợp dịch vụ có xử lý dữ liệu khách hàng hoặc được cung cấp từ bên ngoài lãnh thổ Việt Nam.

Dự thảo đồng thời đề cao trách nhiệm của Hội đồng quản trị, Ban điều hành trong phê duyệt, kiểm tra và giám sát hoạt động thuê ngoài công nghệ số. Đối với hoạt động thuê ngoài trọng yếu, đơn vị phải xây dựng và định kỳ kiểm thử kịch bản, kế hoạch chấm dứt hoặc rút lui khỏi dịch vụ, bao gồm cả dịch vụ điện toán đám mây.

Điều này đặt ra yêu cầu các tổ chức không chỉ đánh giá năng lực và mức độ an toàn của nhà cung cấp khi bắt đầu hợp tác, mà còn phải chuẩn bị phương án xử lý trong trường hợp dịch vụ gặp sự cố, gián đoạn hoặc không còn đáp ứng yêu cầu.

NHNN nhấn mạnh, việc sử dụng dịch vụ thuê ngoài không làm thay đổi trách nhiệm của tổ chức trong quá trình cung cấp dịch vụ tài chính, ngân hàng. Các đơn vị vẫn phải quản lý, kiểm soát rủi ro đối với hoạt động và dịch vụ do bên thứ ba cung cấp.

Ví điện tử, Mobile Money phải tăng cường giám sát an ninh mạng

Đáng chú ý, dự thảo đề xuất mở rộng yêu cầu vận hành trung tâm điều hành an ninh mạng (SOC), triển khai hệ thống quản lý thông tin và sự kiện an ninh (SIEM) để thu thập nhật ký tập trung.

Ngoài các ngân hàng thương mại, yêu cầu này dự kiến áp dụng bắt buộc đối với tổ chức cung ứng dịch vụ trung gian thanh toán và tổ chức cung ứng dịch vụ Tiền di động (Mobile Money) từ ngày 1/1/2028.

Theo NHNN, các tổ chức cung ứng dịch vụ trung gian thanh toán như ví điện tử, cổng thanh toán và dịch vụ Mobile Money có kết nối trực tiếp với ngân hàng, hệ thống chuyển mạch tài chính quốc gia và các đối tác thanh toán. Việc triển khai SOC/SIEM nhằm tăng cường giám sát, phát hiện các chuỗi hành vi bất thường, hỗ trợ xử lý nguy cơ an ninh mạng và hạn chế thời gian gián đoạn dịch vụ.

Đây là yêu cầu đáng chú ý đối với các tổ chức cung ứng dịch vụ thanh toán số, khi phạm vi hoạt động và kết nối ngày càng mở rộng. Việc tăng cường giám sát an ninh mạng không chỉ nhằm bảo vệ hạ tầng kỹ thuật mà còn góp phần bảo đảm an toàn dữ liệu, giao dịch và quyền lợi khách hàng.

Về đối tượng áp dụng, dự thảo bổ sung các tổ chức cung ứng dịch vụ Tiền di động và doanh nghiệp cung ứng dịch vụ bưu chính công ích. Đồng thời, các yêu cầu bảo đảm an toàn hệ thống thông tin được phân định phù hợp với quy mô của từng tổ chức.

Cụ thể, đối với quỹ tín dụng nhân dân có tổng tài sản dưới 300 tỷ đồng và tổ chức tài chính vi mô, dự thảo quy định thực hiện các yêu cầu tại Tiêu chuẩn quốc gia TCVN 14423:2026 về an ninh mạng đối với hệ thống thông tin theo cấp độ. Các đơn vị này cũng được khuyến khích áp dụng các quy định của Thông tư để bảo vệ hệ thống thông tin.

Dự thảo đồng thời chuẩn hóa các yêu cầu kỹ thuật theo TCVN 14423:2026, bao gồm an toàn vật lý, an toàn mạng, quản trị truy cập, quản lý lỗ hổng bảo mật và phòng chống mã độc. Những yêu cầu đặc thù đối với hoạt động ngân hàng sẽ tiếp tục được quy định bổ sung trong Thông tư.

Theo kế hoạch, Thông tư mới dự kiến có hiệu lực từ ngày 1/3/2027. Đối với các hợp đồng sử dụng dịch vụ của bên thứ ba triển khai cho hệ thống thông tin từ cấp độ 3 trở lên đã ký kết trước thời điểm Thông tư có hiệu lực, dự thảo cho phép thời gian chuyển tiếp 12 tháng để các đơn vị rà soát, điều chỉnh và đáp ứng quy định mới.

Hiện các nội dung trên đang trong quá trình lấy ý kiến để hoàn thiện dự thảo Thông tư thay thế Thông tư 09/2020/TT-NHNN.