Siết an toàn dữ liệu và rủi ro thuê ngoài dịch vụ công nghệ tại các ngân hàng

Ngân hàng Nhà nước Việt Nam (NHNN) đang xây dựng dự thảo Thông tư thay thế Thông tư 09/2020/TT-NHNN của Thống đốc NHNN quy định về an toàn hệ thống thông tin trong hoạt động ngân hàng.

Việc sửa đổi một số quy định tại thông tư này được đặt ra trong bối cảnh các tổ chức tín dụng đẩy mạnh ứng dụng công nghệ số, sử dụng điện toán đám mây (Cloud), trí tuệ nhân tạo (AI), mở rộng kết nối giao diện lập trình ứng dụng mở (Open API) và thuê ngoài dịch vụ công nghệ.

Theo NHNN, sự phát triển của các mô hình này làm gia tăng mức độ phụ thuộc vào bên thứ ba, đồng thời phát sinh thêm rủi ro đối với an toàn hệ thống và dữ liệu.

Bên cạnh đó, các hình thức tấn công mạng, mã độc tống tiền và nguy cơ lộ lọt dữ liệu ngày càng tinh vi, đặt ra yêu cầu tăng cường khả năng phòng ngừa, phát hiện và xử lý sự cố tại các tổ chức hoạt động trong lĩnh vực tài chính - ngân hàng.

Trong bối cảnh đó, một trong những nội dung đáng chú ý của dự thảo là bổ sung các yêu cầu về phân loại, bảo vệ và mã hóa dữ liệu. Theo đó, các đơn vị phải thực hiện phân loại thông tin, dữ liệu theo quy định của pháp luật về an ninh mạng và dữ liệu, đồng thời triển khai các giải pháp chống thất thoát dữ liệu (Data Loss Prevention - DLP).

Các biện pháp này được xây dựng trên cơ sở tham chiếu tiêu chuẩn ISO/IEC 27001:2022, trong đó chú trọng kiểm soát dữ liệu nhạy cảm trên hệ thống, mạng và các thiết bị thực hiện xử lý, lưu trữ hoặc truyền dẫn thông tin.

Đối với hoạt động sao lưu, dự thảo đề xuất bổ sung yêu cầu sử dụng công nghệ lưu trữ bất biến (immutable storage) hoặc cơ chế chống xóa, sửa đổi trái phép đối với bản sao lưu được lưu trữ tách biệt về mặt địa lý. Theo cơ quan soạn thảo, quy định này nhằm tăng cường khả năng bảo vệ dữ liệu sao lưu trước các cuộc tấn công bằng mã độc tống tiền, trong đó dữ liệu có thể bị mã hóa hoặc phá hủy.

Ngoài việc bảo vệ dữ liệu, dự thảo còn chú trọng yêu cầu duy trì hoạt động liên tục của hệ thống thông tin.

Đặc biệt, NHNN muốn bổ sung khung quản trị thuê ngoài công nghệ số, trong đó có dịch vụ điện toán đám mây. Theo đó, các tổ chức phải xây dựng tiêu chí xác định hoạt động thuê ngoài trọng yếu, lựa chọn nhà cung cấp và thực hiện đánh giá rủi ro trước khi sử dụng dịch vụ. Việc quản lý cũng được mở rộng đối với các nhà cung cấp dịch vụ thứ cấp, đặc biệt trong trường hợp dịch vụ có xử lý dữ liệu khách hàng hoặc được cung cấp từ bên ngoài lãnh thổ Việt Nam.

Dự thảo đồng thời quy định trách nhiệm của Hội đồng quản trị, Ban điều hành trong phê duyệt, kiểm tra và giám sát hoạt động thuê ngoài công nghệ số. Đối với các hoạt động thuê ngoài trọng yếu, đơn vị phải xây dựng và định kỳ kiểm thử kịch bản, kế hoạch chấm dứt hoặc rút lui khỏi dịch vụ, bao gồm cả dịch vụ điện toán đám mây.

NHNN nhấn mạnh, việc sử dụng dịch vụ thuê ngoài không làm thay đổi trách nhiệm của tổ chức trong quá trình cung cấp dịch vụ tài chính, ngân hàng. Các đơn vị vẫn phải thực hiện quản lý, kiểm soát rủi ro đối với hoạt động và dịch vụ do bên thứ ba cung cấp.

Đáng chú ý, dự thảo còn đề xuất mở rộng yêu cầu vận hành trung tâm điều hành an ninh mạng (SOC), triển khai hệ thống quản lý thông tin và sự kiện an ninh (SIEM) để thu thập nhật ký tập trung. Ngoài các ngân hàng, yêu cầu này dự kiến áp dụng bắt buộc đối với cả các tổ chức cung ứng dịch vụ trung gian thanh toán và tổ chức cung ứng dịch vụ Tiền di động (Mobile Money) từ ngày 1/1/2028.

Theo NHNN, các tổ chức cung ứng dịch vụ trung gian thanh toán như ví điện tử, cổng thanh toán và dịch vụ Mobile Money có kết nối trực tiếp với ngân hàng, hệ thống chuyển mạch tài chính quốc gia và các đối tác thanh toán. Việc triển khai SOC/SIEM nhằm tăng cường giám sát, phát hiện các chuỗi hành vi bất thường, hỗ trợ xử lý nguy cơ an ninh mạng và hạn chế thời gian gián đoạn dịch vụ cung cấp cho khách hàng.

Ngoài ra, dự thảo đề xuất chuẩn hóa các yêu cầu kỹ thuật theo TCVN 14423:2026, bao gồm an toàn vật lý, an toàn mạng, quản trị truy cập, quản lý lỗ hổng bảo mật và phòng chống mã độc.

Theo kế hoạch, Thông tư mới dự kiến có hiệu lực từ ngày 1/3/2027. Đối với các hợp đồng sử dụng dịch vụ của bên thứ ba triển khai cho hệ thống thông tin từ cấp độ 3 trở lên đã ký kết trước thời điểm Thông tư có hiệu lực, dự thảo cho phép thời gian chuyển tiếp 12 tháng để các đơn vị rà soát, điều chỉnh và đáp ứng quy định mới.