Việt Nam: NHNN đề xuất bắt buộc trung tâm an ninh mạng từ 1/1/2028

Ngân hàng Nhà nước dự kiến bắt buộc các tổ chức trung gian thanh toán và tổ chức cung ứng dịch vụ ví điện tử, Tiền di động phải triển khai trung tâm điều hành an ninh mạng (SOC/SIEM) từ ngày 1/1/2028.

Yêu cầu này nằm trong dự thảo Thông tư sửa đổi Thông tư 09/2020/TT-NHNN về an toàn hệ thống thông tin trong hoạt động ngân hàng, mở rộng ngoài các ngân hàng thương mại sang các tổ chức cung ứng dịch vụ trung gian thanh toán như ví điện tử, cổng thanh toán. Theo NHNN, các đơn vị này có kết nối trực tiếp với ngân hàng, hệ thống chuyển mạch tài chính quốc gia và các đối tác thanh toán; việc triển khai SOC/SIEM nhằm tăng cường giám sát, phát hiện các chuỗi hành vi bất thường và hạn chế thời gian gián đoạn dịch vụ cung cấp cho khách hàng.

Dự thảo bổ sung các yêu cầu về phân loại, bảo vệ và mã hóa dữ liệu, triển khai giải pháp chống thất thoát dữ liệu (DLP) trên cơ sở tham chiếu tiêu chuẩn ISO/IEC 27001:2022. Với hoạt động sao lưu, dự thảo đề xuất sử dụng công nghệ lưu trữ bất biến hoặc cơ chế chống xóa, sửa đổi trái phép đối với bản sao lưu được lưu trữ tách biệt về mặt địa lý, nhằm bảo vệ dữ liệu trước các cuộc tấn công bằng mã độc tống tiền. Dự thảo cũng bổ sung khung quản trị thuê ngoài công nghệ số, gồm dịch vụ điện toán đám mây, yêu cầu xây dựng tiêu chí xác định hoạt động thuê ngoài trọng yếu, lựa chọn nhà cung cấp và đánh giá rủi ro trước khi sử dụng dịch vụ; việc quản lý mở rộng tới nhà cung cấp thứ cấp có xử lý dữ liệu khách hàng hoặc cung cấp dịch vụ từ ngoài lãnh thổ Việt Nam.

Hội đồng quản trị và Ban điều hành chịu trách nhiệm phê duyệt, kiểm tra, giám sát hoạt động thuê ngoài công nghệ số; với hoạt động thuê ngoài trọng yếu, đơn vị phải định kỳ kiểm thử kịch bản chấm dứt hoặc rút lui khỏi dịch vụ, kể cả dịch vụ điện toán đám mây. NHNN nhấn mạnh việc sử dụng dịch vụ thuê ngoài không làm thay đổi trách nhiệm của tổ chức trong quá trình cung cấp dịch vụ tài chính, ngân hàng. Dự thảo bổ sung tổ chức cung ứng dịch vụ Tiền di động và doanh nghiệp cung ứng dịch vụ bưu chính công ích vào đối tượng áp dụng, đồng thời phân định yêu cầu theo quy mô: quỹ tín dụng nhân dân có tổng tài sản dưới 300 tỷ đồng và tổ chức tài chính vi mô thực hiện theo Tiêu chuẩn quốc gia TCVN 14423:2026, được khuyến khích áp dụng thêm quy định của Thông tư.

Thông tư mới dự kiến có hiệu lực từ ngày 1/3/2027, với thời gian chuyển tiếp 12 tháng cho hợp đồng sử dụng dịch vụ bên thứ ba đã ký trước thời điểm này đối với hệ thống thông tin từ cấp độ 3 trở lên. Các nội dung trên đang được lấy ý kiến để hoàn thiện dự thảo Thông tư thay thế Thông tư 09/2020/TT-NHNN.