Việc sửa đổi Thông tư số 09/2020/TT-NHNN ngày 21/10/2020 của Thống đốc NHNN quy định về an toàn hệ thống thông tin trong hoạt động ngân hàng được đặt ra trong bối cảnh các tổ chức tín dụng đẩy mạnh ứng dụng công nghệ số, sử dụng điện toán đám mây (Cloud), trí tuệ nhân tạo (AI), mở rộng kết nối giao diện lập trình ứng dụng mở (Open API) và thuê ngoài dịch vụ công nghệ. Theo NHNN, sự phát triển của các mô hình này làm gia tăng mức độ phụ thuộc vào bên thứ ba, đồng thời phát sinh thêm rủi ro đối với an toàn hệ thống và dữ liệu.
Bên cạnh đó, các hình thức tấn công mạng, mã độc tống tiền và nguy cơ lộ lọt dữ liệu ngày càng tinh vi, đặt ra yêu cầu tăng cường khả năng phòng ngừa, phát hiện và xử lý sự cố tại các tổ chức hoạt động trong lĩnh vực tài chính - ngân hàng.
Tăng cường bảo vệ dữ liệu khách hàng trong hoạt động ngân hàng theo dự thảo mới
Một trong những nội dung đáng chú ý của dự thảo là bổ sung các yêu cầu về phân loại, bảo vệ và mã hóa dữ liệu. Theo đó, các đơn vị phải thực hiện phân loại thông tin, dữ liệu theo quy định của pháp luật về an ninh mạng và dữ liệu, đồng thời triển khai các giải pháp chống thất thoát dữ liệu (Data Loss Prevention - DLP).
Các biện pháp này được xây dựng trên cơ sở tham chiếu tiêu chuẩn ISO/IEC 27001:2022, trong đó chú trọng kiểm soát dữ liệu nhạy cảm trên hệ thống, mạng và các thiết bị thực hiện xử lý, lưu trữ hoặc truyền dẫn thông tin. Dự thảo cũng hướng tới tăng cường quản lý truy cập, bảo vệ dữ liệu trong quá trình vận hành hệ thống thông tin.
Đối với hoạt động sao lưu, dự thảo đề xuất bổ sung yêu cầu sử dụng công nghệ lưu trữ bất biến (immutable storage) hoặc cơ chế chống xóa, sửa đổi trái phép đối với bản sao lưu được lưu trữ tách biệt về mặt địa lý. Theo cơ quan soạn thảo, quy định này nhằm tăng cường khả năng bảo vệ dữ liệu sao lưu trước các cuộc tấn công bằng mã độc tống tiền, trong đó dữ liệu có thể bị mã hóa hoặc phá hủy.
Ngoài việc bảo vệ dữ liệu, dự thảo còn chú trọng yêu cầu duy trì hoạt động liên tục của hệ thống thông tin. Các nội dung được đề cập bao gồm quản lý sự cố an ninh mạng, tổ chức sao lưu, khôi phục dữ liệu và bảo đảm khả năng vận hành của hệ thống khi phát sinh sự cố.
Một thay đổi khác liên quan trực tiếp đến hoạt động cung ứng dịch vụ ngân hàng số là việc bổ sung khung quản trị thuê ngoài công nghệ số, trong đó có dịch vụ điện toán đám mây. So với quy định hiện hành, dự thảo làm rõ khái niệm thuê ngoài công nghệ số, thuê ngoài công nghệ số trọng yếu và trách nhiệm quản lý rủi ro đối với nhà cung cấp dịch vụ.
Theo đề xuất, các tổ chức phải xây dựng tiêu chí xác định hoạt động thuê ngoài trọng yếu, lựa chọn nhà cung cấp và thực hiện đánh giá rủi ro trước khi sử dụng dịch vụ. Việc quản lý cũng được mở rộng đối với các nhà cung cấp dịch vụ thứ cấp, đặc biệt trong trường hợp dịch vụ có xử lý dữ liệu khách hàng hoặc được cung cấp từ bên ngoài lãnh thổ Việt Nam.
Dự thảo đồng thời quy định trách nhiệm của Hội đồng quản trị, Ban điều hành trong phê duyệt, kiểm tra và giám sát hoạt động thuê ngoài công nghệ số. Đối với các hoạt động thuê ngoài trọng yếu, đơn vị phải xây dựng và định kỳ kiểm thử kịch bản, kế hoạch chấm dứt hoặc rút lui khỏi dịch vụ, bao gồm cả dịch vụ điện toán đám mây.
NHNN nhấn mạnh, việc sử dụng dịch vụ thuê ngoài không làm thay đổi trách nhiệm của tổ chức trong quá trình cung cấp dịch vụ tài chính, ngân hàng. Các đơn vị vẫn phải thực hiện quản lý, kiểm soát rủi ro đối với hoạt động và dịch vụ do bên thứ ba cung cấp.
Đáng chú ý, dự thảo còn đề xuất mở rộng yêu cầu vận hành trung tâm điều hành an ninh mạng (SOC), triển khai hệ thống quản lý thông tin và sự kiện an ninh (SIEM) để thu thập nhật ký tập trung. Ngoài các ngân hàng thương mại, yêu cầu này dự kiến áp dụng bắt buộc đối với các tổ chức cung ứng dịch vụ trung gian thanh toán và tổ chức cung ứng dịch vụ Tiền di động (Mobile Money) từ ngày 1/1/2028.
Theo NHNN, các tổ chức cung ứng dịch vụ trung gian thanh toán như ví điện tử, cổng thanh toán và dịch vụ Mobile Money có kết nối trực tiếp với ngân hàng, hệ thống chuyển mạch tài chính quốc gia và các đối tác thanh toán. Việc triển khai SOC/SIEM nhằm tăng cường giám sát, phát hiện các chuỗi hành vi bất thường, hỗ trợ xử lý nguy cơ an ninh mạng và hạn chế thời gian gián đoạn dịch vụ cung cấp cho khách hàng.
Về đối tượng áp dụng, dự thảo bổ sung các tổ chức cung ứng dịch vụ Tiền di động và doanh nghiệp cung ứng dịch vụ bưu chính công ích. Đồng thời, dự thảo phân định yêu cầu bảo đảm an toàn hệ thống thông tin phù hợp với quy mô của từng tổ chức.
Cụ thể, đối với quỹ tín dụng nhân dân có tổng tài sản dưới 300 tỷ đồng và tổ chức tài chính vi mô, dự thảo quy định thực hiện các yêu cầu tại Tiêu chuẩn quốc gia TCVN 14423:2026 về an ninh mạng đối với hệ thống thông tin, tương ứng với từng cấp độ hệ thống. Các đơn vị này cũng được khuyến khích áp dụng các quy định của Thông tư để bảo vệ hệ thống thông tin.
Ngoài ra, dự thảo đề xuất chuẩn hóa các yêu cầu kỹ thuật theo TCVN 14423:2026, bao gồm an toàn vật lý, an toàn mạng, quản trị truy cập, quản lý lỗ hổng bảo mật và phòng chống mã độc. Những yêu cầu đặc thù đối với hoạt động ngân hàng sẽ tiếp tục được quy định bổ sung trong Thông tư.
Theo kế hoạch, Thông tư mới dự kiến có hiệu lực từ ngày 1/3/2027. Đối với các hợp đồng sử dụng dịch vụ của bên thứ ba triển khai cho hệ thống thông tin từ cấp độ 3 trở lên đã ký kết trước thời điểm Thông tư có hiệu lực, dự thảo cho phép thời gian chuyển tiếp 12 tháng để các đơn vị rà soát, điều chỉnh và đáp ứng quy định mới.
Hiện các nội dung nêu trên đang trong quá trình lấy ý kiến để hoàn thiện dự thảo Thông tư thay thế Thông tư 09/2020/TT-NHNN.
