Việt Nam: Ngân hàng Nhà nước siết quy định an toàn dữ liệu với các tổ chức tín dụng

Ngân hàng Nhà nước đang lấy ý kiến dự thảo Thông tư thay thế Thông tư 09/2020/TT-NHNN, bổ sung yêu cầu về phân loại, bảo vệ và mã hóa dữ liệu khách hàng, đồng thời phòng ngừa thất thoát, lộ lọt thông tin.

Dự thảo được xây dựng trong bối cảnh các tổ chức tín dụng đẩy mạnh điện toán đám mây, trí tuệ nhân tạo, mở rộng kết nối giao diện lập trình ứng dụng mở và thuê ngoài dịch vụ công nghệ. Theo Ngân hàng Nhà nước, các mô hình này làm tăng mức độ phụ thuộc vào bên thứ ba và phát sinh thêm rủi ro đối với an toàn hệ thống và dữ liệu. Cơ quan này cũng nêu các hình thức tấn công mạng, mã độc tống tiền và nguy cơ lộ lọt dữ liệu ngày càng tinh vi.

Theo dự thảo, các đơn vị phải phân loại thông tin, dữ liệu theo quy định pháp luật về an ninh mạng và dữ liệu, triển khai giải pháp chống thất thoát dữ liệu, tham chiếu tiêu chuẩn ISO/IEC 27001:2022, chú trọng kiểm soát dữ liệu nhạy cảm trên hệ thống, mạng và thiết bị, tăng cường quản lý truy cập. Với hoạt động sao lưu, dự thảo yêu cầu dùng công nghệ lưu trữ bất biến hoặc cơ chế chống xóa, sửa đổi trái phép đối với bản sao lưu lưu trữ tách biệt về mặt địa lý, nhằm bảo vệ dữ liệu trước tấn công bằng mã độc tống tiền.

Dự thảo bổ sung khung quản trị thuê ngoài công nghệ số, gồm dịch vụ điện toán đám mây, làm rõ khái niệm thuê ngoài công nghệ số, thuê ngoài công nghệ số trọng yếu và trách nhiệm quản lý rủi ro với nhà cung cấp. Các tổ chức phải xây dựng tiêu chí xác định hoạt động thuê ngoài trọng yếu, lựa chọn nhà cung cấp, đánh giá rủi ro trước khi sử dụng dịch vụ; việc quản lý mở rộng tới nhà cung cấp thứ cấp, đặc biệt khi dịch vụ xử lý dữ liệu khách hàng hoặc cung cấp từ ngoài lãnh thổ Việt Nam. Hội đồng quản trị, Ban điều hành chịu trách nhiệm phê duyệt, kiểm tra, giám sát; hoạt động thuê ngoài trọng yếu phải có kịch bản, kế hoạch chấm dứt hoặc rút lui được kiểm thử định kỳ.

Dự thảo mở rộng yêu cầu vận hành trung tâm điều hành an ninh mạng và triển khai hệ thống quản lý thông tin và sự kiện an ninh để thu thập nhật ký tập trung, bắt buộc từ ngày 1/1/2028 với tổ chức cung ứng dịch vụ trung gian thanh toán và tổ chức cung ứng dịch vụ Tiền di động, bên cạnh ngân hàng thương mại. Dự thảo bổ sung tổ chức cung ứng dịch vụ Tiền di động và doanh nghiệp cung ứng dịch vụ bưu chính công ích vào đối tượng áp dụng, đồng thời phân định yêu cầu theo quy mô: quỹ tín dụng nhân dân có tổng tài sản dưới 300 tỷ đồng và tổ chức tài chính vi mô thực hiện theo Tiêu chuẩn quốc gia TCVN 14423:2026. Thông tư mới dự kiến có hiệu lực từ ngày 1/3/2027, với 12 tháng chuyển tiếp cho hợp đồng bên thứ ba đã ký đối với hệ thống thông tin từ cấp độ 3 trở lên.