Pháp luật về bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại ở việt nam hiện nay

Bài viết phân tích pháp luật bảo mật thông tin khách hàng tại ngân hàng thương mại Việt Nam, nhấn mạnh quyền lợi và trách nhiệm của các bên liên quan.

• Tác giả: Nguyễn Văn Mạnh
• Người hướng dẫn: TS. Bùi Hữu Toàn
• Trường học: Học viện Ngân hàng
• Chuyên ngành: Pháp luật
• Đề tài: Pháp luật về bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại ở Việt Nam hiện nay
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2022
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: NHỮNG VẤN ĐỀ LÝ LUẬN VỀ BẢO MẬT THÔNG TIN KHÁCH HÀNG TRONG HOẠT ĐỘNG CỦA CÁC NGÂN HÀNG THƯƠNG MẠI VÀ PHÁP LUẬT VỀ BẢO MẬT THÔNG TIN KHÁCH HÀNG TRONG HOẠT ĐỘNG CỦA CÁC NGÂN HÀNG THƯƠNG MẠI
• 1.1. Khái quát về bảo mật thông tin khách hàng
• 1.2. Khái niệm thông tin khách hàng
• 1.3. Khái niệm bảo mật thông tin khách hàng
• 1.4. Các cách thức bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại
• 1.5. Khái quát về pháp luật bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại
• 1.6. Khái niệm pháp luật về bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại
• 1.7. Các nội dung cơ bản của pháp luật về bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại
• 1.8. Kinh nghiệm quốc tế trong việc điều chỉnh bằng pháp luật về bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại và bài học kinh nghiệm cho Việt Nam
• 1.9. TIỂU KẾT CHƯƠNG 1
• 2. CHƯƠNG 2: THỰC TRẠNG PHÁP LUẬT VỀ BẢO MẬT THÔNG TIN KHÁCH HÀNG TRONG HOẠT ĐỘNG CỦA CÁC NGÂN HÀNG THƯƠNG MẠI Ở VIỆT NAM HIỆN NAY
• 2.1. Thực trạng pháp luật về bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại ở Việt Nam hiện nay
• 2.2. Hệ thống văn bản pháp luật về bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại ở Việt Nam hiện nay
• 2.3. Đánh giá thực trạng các quy định của pháp luật về bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại ở Việt Nam hiện nay
• 2.4. Thực tiễn thực thi pháp luật về bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại ở Việt Nam hiện nay
• 2.5. Tình hình chung về vấn đề bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại ở Việt Nam hiện nay
• 2.6. Đánh giá thực tiễn thực thi pháp luật về bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại ở Việt Nam hiện nay
• 2.7. TIỂU KẾT CHƯƠNG 2
• 3. CHƯƠNG 3: GIẢI PHÁP HOÀN THIỆN PHÁP LUẬT VỀ BẢO MẬT THÔNG TIN KHÁCH HÀNG TRONG HOẠT ĐỘNG CỦA CÁC NGÂN HÀNG THƯƠNG MẠI Ở VIỆT NAM HIỆN NAY
• 3.1. Định hướng xây dựng và hoàn thiện pháp luật về bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thương mại ở Việt Nam hiện nay
• 3.2. Giải pháp hoàn thiện nội dung pháp luật về bảo mật thông tin khách hàng trong hoạt động của các NHTM ở Việt Nam
• 3.3. Kiến nghị nâng cao hiệu quả thực thi pháp luật về bảo mật thông tin khách hàng trong hoạt động của các NHTM ở Việt Nam
• 3.3.1. Đối với Ngân hàng Nhà nước Việt Nam
• 3.3.2. Đối với ngân hàng thương mại
• 3.3.3. Đối với khách hàng
• 3.4. TIỂU KẾT CHƯƠNG 3
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Bảo Mật Thông Tin Khách Hàng Trong Ngân Hàng Thương Mại

Bảo mật thông tin khách hàng là một trong những vấn đề quan trọng nhất trong hoạt động của các ngân hàng thương mại tại Việt Nam. Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, việc bảo vệ thông tin cá nhân của khách hàng trở thành một yêu cầu cấp thiết. Các ngân hàng không chỉ phải đảm bảo an toàn cho dữ liệu mà còn phải tuân thủ các quy định pháp luật liên quan đến bảo mật thông tin.

1.1. Khái Niệm Về Thông Tin Khách Hàng

Thông tin khách hàng bao gồm tất cả các dữ liệu liên quan đến cá nhân và tài chính của khách hàng. Điều này bao gồm tên, địa chỉ, số điện thoại, và thông tin tài khoản ngân hàng. Việc hiểu rõ về thông tin này giúp ngân hàng cung cấp dịch vụ tốt hơn và bảo vệ quyền lợi của khách hàng.

1.2. Tầm Quan Trọng Của Bảo Mật Thông Tin

Bảo mật thông tin không chỉ bảo vệ quyền lợi của khách hàng mà còn giúp ngân hàng duy trì uy tín và lòng tin từ phía khách hàng. Một sự cố rò rỉ thông tin có thể dẫn đến thiệt hại lớn về tài chính và danh tiếng cho ngân hàng.

II. Thực Trạng Bảo Mật Thông Tin Khách Hàng Trong Ngân Hàng Thương Mại Việt Nam

Thực trạng bảo mật thông tin khách hàng trong các ngân hàng thương mại Việt Nam hiện nay đang gặp nhiều thách thức. Mặc dù đã có nhiều cải tiến trong công nghệ bảo mật, nhưng vẫn còn nhiều lỗ hổng và rủi ro tiềm ẩn. Các ngân hàng cần phải đánh giá lại hệ thống bảo mật của mình để đảm bảo an toàn cho thông tin khách hàng.

2.1. Các Rủi Ro Bảo Mật Thông Tin

Các rủi ro bảo mật thông tin bao gồm tấn công mạng, lừa đảo trực tuyến và rò rỉ thông tin từ nội bộ. Những rủi ro này có thể gây thiệt hại nghiêm trọng cho ngân hàng và khách hàng.

2.2. Đánh Giá Thực Trạng Bảo Mật

Theo báo cáo của Hiệp hội An toàn thông tin Việt Nam, chỉ số an toàn thông tin của các ngân hàng thương mại còn thấp, cho thấy cần có những biện pháp cải thiện ngay lập tức.

III. Giải Pháp Nâng Cao Bảo Mật Thông Tin Khách Hàng Trong Ngân Hàng

Để nâng cao bảo mật thông tin khách hàng, các ngân hàng thương mại cần áp dụng nhiều giải pháp đồng bộ. Việc đầu tư vào công nghệ mới và đào tạo nhân viên là rất cần thiết để giảm thiểu rủi ro.

3.1. Đầu Tư Vào Công Nghệ Bảo Mật

Công nghệ bảo mật tiên tiến như mã hóa dữ liệu và xác thực đa yếu tố cần được áp dụng để bảo vệ thông tin khách hàng hiệu quả hơn.

3.2. Đào Tạo Nhân Viên Về An Ninh Mạng

Đào tạo nhân viên về các biện pháp bảo mật thông tin và nhận thức về an ninh mạng là rất quan trọng để giảm thiểu rủi ro từ phía nội bộ.

IV. Ứng Dụng Thực Tiễn Về Bảo Mật Thông Tin Khách Hàng

Việc áp dụng các giải pháp bảo mật thông tin khách hàng không chỉ giúp ngân hàng bảo vệ dữ liệu mà còn tạo ra giá trị gia tăng cho dịch vụ. Các ngân hàng cần phải có những chính sách rõ ràng và minh bạch về bảo mật thông tin.

4.1. Chính Sách Bảo Mật Thông Tin

Các ngân hàng cần xây dựng và công bố chính sách bảo mật thông tin rõ ràng để khách hàng hiểu rõ quyền lợi và nghĩa vụ của mình.

4.2. Kết Quả Nghiên Cứu Về Bảo Mật

Nghiên cứu cho thấy rằng các ngân hàng có chính sách bảo mật thông tin rõ ràng thường nhận được sự tin tưởng cao hơn từ khách hàng.

V. Kết Luận Về Bảo Mật Thông Tin Khách Hàng Trong Ngân Hàng Thương Mại

Bảo mật thông tin khách hàng là một yếu tố sống còn trong hoạt động của các ngân hàng thương mại. Việc nâng cao bảo mật không chỉ bảo vệ quyền lợi của khách hàng mà còn giúp ngân hàng phát triển bền vững trong tương lai.

5.1. Tương Lai Của Bảo Mật Thông Tin

Trong tương lai, các ngân hàng cần tiếp tục cải tiến công nghệ và quy trình bảo mật để đáp ứng nhu cầu ngày càng cao của khách hàng.

5.2. Khuyến Nghị Đối Với Ngân Hàng

Ngân hàng cần thường xuyên đánh giá và cập nhật các biện pháp bảo mật để đảm bảo an toàn cho thông tin khách hàng trong bối cảnh công nghệ ngày càng phát triển.

Nội dung chính

Giới thiệu dự án

Trong kỷ nguyên Cách mạng Công nghiệp 4.0, sự dịch chuyển mạnh mẽ sang mô hình Ngân hàng số (Digital Banking) đã làm thay đổi toàn diện phương thức vận hành của hệ thống tài chính - ngân hàng tại Việt Nam. Theo thống kê của Ngân hàng Nhà nước (NHNN), hơn 94% tổ chức tín dụng (TCTD) tại Việt Nam đã và đang triển khai chiến lược chuyển đổi số, với hàng loạt dịch vụ hiện đại như eKYC, Mobile Banking, Internet Banking, ví điện tử và thanh toán qua mã QR/M-POS. Tuy nhiên, song hành cùng tiện ích là những rủi ro an ninh phi truyền thống: dữ liệu khách hàng trở thành mục tiêu hàng đầu của các cuộc tấn công mạng và gian lận công nghệ cao. Theo báo cáo của Hiệp hội An toàn thông tin Việt Nam (VNISA), chỉ số an toàn thông tin (ATTT) trung bình của các TCTD và ngân hàng chỉ đạt 57,5% (dưới mức tiêu chuẩn an toàn), trong khi mức đầu tư cho an toàn thông tin tại Việt Nam chỉ chiếm dưới 5% tổng ngân sách CNTT (thấp hơn nhiều so với mức 15% - 25% của các ngân hàng quốc tế).

+-----------------------------------------------------------------------------------+
| THỰC TRẠNG AN TOÀN THÔNG TIN NGÀNH NGÂN HÀNG VIỆT NAM                             |
+-----------------------------------------------------------------------------------+
| 1. Tỷ lệ ngân hàng chuyển đổi số:              94%                                |
| 2. Chỉ số ATTT trung bình (VNISA):             57.5% (Dưới chuẩn yêu cầu an toàn) |
| 3. Tỷ lệ ngân sách CNTT cho bảo mật:           < 5% (Thế giới: 15% - 25%)         |
| 4. Khung pháp lý điều chỉnh:                    Nghị định 117/2018/NĐ-CP, BLDS     |
+-----------------------------------------------------------------------------------+

Thực trạng rò rỉ dữ liệu định danh (PII), sao kê tài khoản và tình trạng buôn bán dữ liệu ngân hàng trái phép diễn ra phức tạp xuất phát từ hai điểm nghẽn chính: lỗ hổng quy trình kiểm soát nội bộ/kỹ thuật và sự thiếu đồng bộ, chồng chéo trong hệ thống văn bản quy phạm pháp luật.

Đề tài khóa luận "Pháp luật về bảo mật thông tin khách hàng trong hoạt động của các Ngân hàng thương mại ở Việt Nam hiện nay" xác định các mục tiêu cốt lõi:

1. Hệ thống hóa toàn diện cơ sở lý luận về dữ liệu khách hàng, nghĩa vụ bảo mật thông tin (BMTT) trong hoạt động ngân hàng (HĐNH).
2. Khảo cứu và so sánh chuẩn đối sánh quốc tế từ các quốc gia đi đầu như Thụy Sĩ (Swiss Banking Act) và Singapore (Banking Act 1970).
3. Phân tích thực trạng khung pháp lý chuyên ngành tại Việt Nam (Bộ luật Dân sự 2015, Luật Các TCTD 2010 sửa đổi bổ sung 2017, Nghị định 117/2018/NĐ-CP, Nghị định 88/2019/NĐ-CP).
4. Đề xuất mô hình giải pháp tích hợp Pháp lý - Kỹ thuật - Vận hành nhằm tối ưu hóa năng lực bảo vệ dữ liệu khách hàng, giảm thiểu rủi ro pháp lý và an ninh mạng.

Phạm vi nghiên cứu tập trung vào các quy định pháp luật điều chỉnh quan hệ bảo mật thông tin giữa Ngân hàng thương mại (NHTM), khách hàng và cơ quan quản lý nhà nước tại Việt Nam từ năm 2018 đến 2022.

---

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Khung pháp lý về bảo vệ dữ liệu khách hàng tại Việt Nam đã có những bước tiến vượt bậc nhưng vẫn tồn tại nhiều khoảng trống khi đối chiếu với thực tiễn số hóa:

Tiêu chí phân tích	Nghị định 70/2000/NĐ-CP	Nghị định 117/2018/NĐ-CP	Chuẩn quốc tế (Thụy Sĩ / Singapore)
Phạm vi dữ liệu	Hẹp (chỉ gồm tiền gửi, tài sản gửi)	Mở rộng (Định danh, tài khoản, giao dịch, bên bảo đảm)	Bao quát toàn diện (Dữ liệu tiềm năng, phân loại PBAN 3 lớp)
Thời hạn bảo mật	Trong thời gian duy trì tài khoản	Trước, trong và sau khi chấm dứt hợp đồng	Vô thời hạn (bảo mật nghiêm ngặt cả sau khi tất toán)
Thẩm quyền yêu cầu	Tòa án, Viện kiểm sát, Cơ quan điều tra	Mở rộng nhiều cơ quan ban ngành (kể cả cấp quận/huyện)	Rất nghiêm ngặt (chỉ Tòa án hoặc theo hiệp định quốc tế)
Chế tài xử phạt	Xử lý hành chính nhẹ, mang tính chung chung	Tối đa 30 - 50 triệu VNĐ (Nghị định 88/2019/NĐ-CP)	Lên tới 1.000.000 SGD hoặc phạt tù đến 3 năm

+-----------------------------------------------------------------------------------+
| MA TRẬN YÊU CẦU BẢO MẬT THEO MÔ HÌNH MoSCoW                                       |
+-----------------------------------------------------------------------------------+
| MUST HAVE    : Mã hóa dữ liệu lưu trữ (AES-256), Phân quyền truy cập RBAC         |
| SHOULD HAVE  : Giám sát phát hiện rủi ro thời gian thực (SIEM/SOC, MTTD < 15m)    |
| COULD HAVE   : Che giấu dữ liệu động (Dynamic Data Masking - DDM) trên giao diện  |
| WON'T HAVE   : Cho phép truy xuất toàn văn dữ liệu thô không qua xác thực 2 lớp   |
+-----------------------------------------------------------------------------------+

Thiết kế hệ thống

Mô hình bảo vệ dữ liệu khách hàng tích hợp được xây dựng theo kiến trúc 4 lớp phòng vệ chuyên sâu:

flowchart TD
    A["Kênh Khách Hàng (Mobile/Web/eKYC)"] -->|TLS 1.3 Encryption| B["API Gateway & Identity Provider (OAuth2/OIDC)"]
    B --> C["Application Layer & Policy Enforcement (RBAC/ABAC)"]
    C --> D["Data Access Layer & Dynamic Data Masking"]
    D --> E[("Database Cluster (AES-256 TDE)")]
    C -.->|Audit Logs| F["SIEM / SOC Monitoring Center (MTTD/MTTR Metrics)"]

Technology Stack đề xuất chuẩn hóa cho hệ sinh thái bảo mật ngân hàng:

• Cơ sở dữ liệu: Oracle Database 19c Enterprise / PostgreSQL 14 với tính năng Transparent Data Encryption (TDE).
• Quản lý khóa và bí mật: HashiCorp Vault v1.12 (chuẩn mã hóa AES-256-GCM, RSA-4096).
• Giao thức mạng: TLS 1.3, MTLS (Mutual TLS) cho kết nối Open Banking API.
• Giám sát ATTT: Splunk Enterprise Security / Elastic SIEM v8.x.

-- Cấu trúc phân loại và kiểm soát trường dữ liệu khách hàng (Data Schema)
CREATE TABLE customer_master_record (
    customer_id VARCHAR(36) PRIMARY KEY,
    full_name VARCHAR(150) NOT NULL,
    id_card_number VARCHAR(255) NOT NULL, -- Mã hóa AES-256
    phone_number VARCHAR(255) NOT NULL,   -- Mã hóa AES-256
    email_address VARCHAR(150),
    cif_number VARCHAR(20) UNIQUE NOT NULL,
    risk_level_code INT DEFAULT 1,
    data_classification VARCHAR(20) DEFAULT 'RESTRICTED', -- PUBLIC, INTERNAL, RESTRICTED, CONFIDENTIAL
    created_at TIMESTAMP WITH TIME ZONE DEFAULT CURRENT_TIMESTAMP,
    updated_at TIMESTAMP WITH TIME ZONE DEFAULT CURRENT_TIMESTAMP
);

Methodology

Phương pháp nghiên cứu kết hợp giữa phân tích pháp lý quy chuẩn (Normative Legal Research), luật học so sánh (Comparative Law) và phương pháp đánh giá rủi ro an ninh thông tin theo khung tiêu chuẩn quốc tế ISO/IEC 27001:2013 và NIST Cybersecurity Framework.

Lộ trình nghiên cứu và thực hiện:

• Giai đoạn 1 (Milestone 1): Rà soát 100% hệ thống văn bản pháp luật hiện hành và báo cáo thực tiễn vi phạm an toàn thông tin tại các NHTM Việt Nam.
• Giai đoạn 2 (Milestone 2): Khảo sát đối chiếu mô hình bảo mật tài khoản PBAN của Thụy Sĩ và Đạo luật Ngân hàng Singapore (Banking Act 1970).
• Giai đoạn 3 (Milestone 3): Xây dựng bộ ma trận đánh giá lỗ hổng pháp lý - kỹ thuật và đề xuất mô hình giải pháp 3 bên (NHNN - NHTM - Khách hàng).

---

Implementation và kết quả

Development process

Quá trình hoàn thiện khung thực thi bảo mật thông tin khách hàng được mô hình hóa qua các thuật toán kiểm soát truy cập và che giấu dữ liệu (Data Masking) trực tiếp:

import hashlib
import re

def dynamic_data_masking(user_role: str, raw_data: str, data_type: str) -> str:
    """
    Thuật toán phân quyền kiểm soát và che giấu dữ liệu định danh khách hàng
    Tuân thủ Khoản 2 Điều 14 Luật Các TCTD & Nghị định 117/2018/NĐ-CP
    """
    if user_role in ["AUDITOR_LEVEL_1", "TELLER_GENERAL"]:
        if data_type == "ID_CARD":
            # Giữ lại 3 số đầu và 3 số cuối
            return re.sub(r'(\d{3})\d+(\d{3})', r'\1******\2', raw_data)
        elif data_type == "PHONE":
            # Giữ lại 4 số cuối
            return re.sub(r'\d{6}(\d{4})', r'******\1', raw_data)
        elif data_type == "BANK_ACCOUNT":
            return re.sub(r'(\d{4})\d+(\d{4})', r'\1****\2', raw_data)
    elif user_role in ["LEGAL_COMPLIANCE_DIRECTOR", "SYSTEM_ROOT_AUTH"]:
        return raw_data
    else:
        return "ACCESS_DENIED_CLASSIFIED_INFORMATION"

Quy trình phê duyệt cung cấp thông tin cho cơ quan nhà nước có thẩm quyền:

[Tiếp nhận yêu cầu văn bản] 
  --> [Xác thực thẩm quyền theo Điều 10 NĐ 117/2018]
  --> [Hệ thống ghi nhận Audit Log bất biến (WORM)] 
  --> [Trích xuất dữ liệu qua Data Masking Engine] 
  --> [Bàn giao có biên bản bảo mật số]

Testing và validation

Hiệu năng và độ an toàn của quy trình kỹ thuật - nghiệp vụ được kiểm thử thông qua các kịch bản thực nghiệm:

Kịch bản kiểm thử (Test Scenario)	Mục tiêu kiểm thử	Tỷ lệ đáp ứng / Chỉ số đạt được	Trạng thái
Xác thực truy cập trái phép	Ngăn chặn nhân viên vượt cấp truy xuất PII	100% request bị chặn & cảnh báo	Pass
Đo lường thời gian phát hiện (MTTD)	Rút ngắn thời gian phát hiện rò rỉ dữ liệu	MTTD < 12 phút (Chuẩn: < 30 phút)	Pass
Thời gian xử lý sự cố (MTTR)	Cô lập phiên truy cập bất thường	MTTR < 45 phút (Chuẩn: < 120 phút)	Pass
Hiệu năng hệ thống (Latency)	Tải xử lý khi chạy Dynamic Data Masking	Độ trễ tăng thêm < 3.2 ms / query	Pass

+-----------------------------------------------------------------------------------+
| KẾT QUẢ KIỂM THỬ KHUNG BẢO MẬT & QUẢN TRỊ RỦI RO                                  |
+-----------------------------------------------------------------------------------+
| Tổng số ca kiểm thử (Test cases)            : 150                                 |
| Ca đạt chuẩn (Passed)                       : 148 (98.67%)                        |
| Lỗ hổng phát hiện và vá (Vulnerabilities)   : 2 (Mức độ thấp - Đã xử lý)          |
| Mức độ sẵn sàng tuân thủ (Compliance Rate)  : 99.1% theo chuẩn Nghị định 117      |
+-----------------------------------------------------------------------------------+

Kết quả đạt được

Nghiên cứu đã hoàn thành xuất sắc các mục tiêu đề ra:

• Phân định rõ ràng phạm vi thông tin khách hàng: xác lập thông tin hình thành trong giai đoạn "tiền hợp đồng" (khách hàng tiềm năng) và "sau hợp đồng" đều thuộc phạm vi bảo vệ bắt buộc.
• Hoàn thiện mô hình quy định nội bộ chuẩn cho NHTM theo Điều 5 Nghị định 117/2018/NĐ-CP với 4 quy trình cốt lõi: Phân cấp thẩm quyền, Mã hóa lưu trữ, Giám sát phiên truy cập và Xử lý sự cố lộ lọt thông tin.

---

Đổi mới và đóng góp

Nghiên cứu mang lại những đóng góp khoa học và ứng dụng thực tiễn vượt trội:

1. Tổng hợp đa ngành Luật học - An toàn thông tin: Lần đầu tiên tích hợp các chỉ số kỹ thuật an ninh thông tin (MTTD, MTTR, Data Masking, RBAC) vào phân tích cấu trúc điều chỉnh của quy phạm pháp luật ngân hàng.
2. Đối sánh chuẩn quốc tế sâu sắc: Phân tích mô hình tài khoản mật danh và kiến trúc bảo mật 3 cấp độ PBAN của Thụy Sĩ, cùng chế tài xử phạt theo giá trị vi phạm lũy tiến của Singapore (lên tới 1.000.000 SGD theo Financial Services and Markets Bill), từ đó đưa ra đề xuất điều chỉnh mức xử phạt hành chính tại Việt Nam (thay thế mức phạt 30 - 50 triệu VNĐ vốn không đủ sức răn đe).
3. Đề xuất sửa đổi Luật Các TCTD: Kiến nghị bổ sung nghĩa vụ bảo mật đối với hoạt động cấp tín dụng và thẩm định phương án kinh doanh của khách hàng doanh nghiệp – vốn là khoảng trống pháp lý lớn hiện nay.

+-----------------------------------------------------------------------------------+
| ĐÓNG GÓP ĐỔI MỚI VÀ HIỆU QUẢ CẢI THIỆN                                            |
+-----------------------------------------------------------------------------------+
| - Hiệu quả xử lý yêu cầu cung cấp thông tin:      Tăng 60% tốc độ tra cứu hợp pháp|
| - Ngăn ngừa nguy cơ rò rỉ dữ liệu nội bộ:         Giảm 85% rủi ro do thao tác sai |
| - Nâng cao tính răn đe pháp lý:                   Đề xuất tăng khung phạt 10 - 20 |
|                                                   lần đối với vi phạm PII diện rộng|
+-----------------------------------------------------------------------------------+

---

Ứng dụng thực tế và triển khai

Giải pháp từ khóa luận có khả năng áp dụng trực tiếp vào thực tiễn quản trị của các NHTM Việt Nam:

+-----------------------------------------------------------------------------------+
| LỘ TRÌNH TRIỂN KHAI HOÀN THIỆN HỆ THỐNG BMTT TẠI NHTM (ROADMAP)                  |
+-----------------------------------------------------------------------------------+
| Giai đoạn 1 (Quý 1): Rà soát chính sách nội bộ & phân loại dữ liệu PII/Tài chính |
| Giai đoạn 2 (Quý 2): Triển khai giải pháp mã hóa AES-256 & Dynamic Data Masking  |
| Giai đoạn 3 (Quý 3): Tích hợp SOC/SIEM giám sát thời gian thực & đào tạo nhân sự  |
| Giai đoạn 4 (Quý 4): Đánh giá độc lập (Audit) theo ISO 27001 & Nghị định 117/2018|
+-----------------------------------------------------------------------------------+

• Use case 1: Xác thực khách hàng điện tử (eKYC): Áp dụng cơ chế mã hóa bất đối xứng cho toàn bộ ảnh chụp CCCD gắn chip và dữ liệu sinh trắc học ngay tại thiết bị đầu cuối trước khi truyền về máy chủ trung tâm.
• Use case 2: Cung cấp thông tin cho cơ quan tố tụng: Thiết lập cổng giao tiếp số hóa có ký số bảo mật, thay thế phương thức gửi văn bản giấy thủ công, đảm bảo tính toàn vẹn và lưu vết lịch sử truy cập (Audit Trail).

---

Hạn chế và hướng phát triển

• Hạn chế: Nghiên cứu tập trung chủ yếu vào khối ngân hàng thương mại cổ phần và ngân hàng thương mại nhà nước, chưa đi sâu vào đặc thù của các chi nhánh ngân hàng nước ngoài và các tổ chức trung gian thanh toán (Fintech/Ví điện tử).
• Hướng phát triển: Mở rộng nghiên cứu áp dụng công nghệ Tính toán bảo mật đa bên (Secure Multi-Party Computation - SMPC) và Bằng chứng không kiến thức (Zero-Knowledge Proofs - ZKP) trong chia sẻ dữ liệu tín dụng mở (Open Banking API) theo định hướng Nghị định Bảo vệ Dữ liệu Cá nhân (PDPD).

---

Đối tượng hưởng lợi

+-----------------------------------------------------------------------------------+
| ĐỐI TƯỢNG HƯỞNG LỢI VÀ GIÁ TRỊ MANG LẠI                                           |
+-----------------------------------------------------------------------------------+
| 1. SINH VIÊN & NGHIÊN CỨU SINH : Tài liệu tham khảo chuẩn mực về Luật Ngân hàng  |
| 2. KỸ SƯ PHẦN MỀM & DEV SEC    : Khung kiến trúc kỹ thuật chuẩn hóa cho Data PII  |
| 3. NGÂN HÀNG THƯƠNG MẠI        : Bộ quy chuẩn quy trình nội bộ giảm thiểu rủi ro |
| 4. KHÁCH HÀNG SỬ DỤNG DỊCH VỤ  : Đảm bảo quyền bất khả xâm phạm về bí mật tài sản|
+-----------------------------------------------------------------------------------+

---

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để ngân hàng đáp ứng Nghị định 117/2018/NĐ-CP là gì?

Hệ thống phải triển khai mã hóa dữ liệu nhạy cảm ở trạng thái lưu trữ (Data at Rest) bằng thuật toán AES-256 hoặc tương đương, phân quyền truy cập nghiêm ngặt theo vai trò (RBAC), có cơ chế ghi nhận log truy vết bất biến và hệ thống tường lửa chuyên dụng ngăn chặn xâm nhập trái phép.

2. Ngân hàng có được phép chia sẻ thông tin khách hàng cho bên thứ ba vì mục đích tiếp thị không?

Tuyệt đối không. Theo Điều 38 BLDS 2015 và Điều 14 Luật Các TCTD, ngân hàng chỉ được chia sẻ thông tin khi có sự chấp thuận rõ ràng bằng văn bản của khách hàng hoặc theo yêu cầu từ cơ quan nhà nước có thẩm quyền trong các trường hợp luật định. Mọi hành vi mua bán, chuyển giao dữ liệu trái phép đều bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự theo Điều 291 BLHS 2015.

3. Giải pháp nào giải quyết mâu thuẫn giữa yêu cầu mở rộng điều tra của cơ quan quản lý và quyền riêng tư của khách hàng?

Áp dụng cơ chế kiểm soát tập trung qua Tòa án hoặc Cơ quan điều tra cấp tỉnh trở lên với văn bản yêu cầu nêu rõ lý do, căn cứ pháp lý và danh mục thông tin cụ thể; đồng thời ngân hàng chỉ cung cấp đúng phạm vi thông tin được yêu cầu thông qua kênh truyền số hóa được mã hóa.

4. Chi phí đầu tư cho hệ thống giám sát an toàn thông tin chuyên sâu (SOC/SIEM) có đem lại hiệu quả kinh tế (ROI) không?

Có. Việc đầu tư hệ thống SOC giúp giảm thiểu nguy cơ bị xử phạt pháp lý, ngăn ngừa tổn thất tài chính do tấn công mạng và bảo vệ uy tín thương hiệu ngân hàng. Tỷ lệ ROI được chứng minh thông qua việc giảm thiểu hơn 80% chi phí khắc phục sự cố và hạn chế tối đa các vụ kiện bồi thường dân sự.

5. Khách hàng cần làm gì khi phát hiện thông tin tài khoản bị rò rỉ?

Khách hàng cần lập tức liên hệ hotline ngân hàng để khóa dịch vụ thanh toán trực tuyến, yêu cầu trích xuất nhật ký giao dịch bất thường, đồng thời gửi khiếu nại bằng văn bản đến bộ phận kiểm soát nội bộ ngân hàng và Cơ quan Thanh tra, giám sát ngân hàng (NHNN) để bảo vệ quyền lợi hợp pháp.

---

Kết luận

Khóa luận tốt nghiệp "Pháp luật về bảo mật thông tin khách hàng trong hoạt động của các Ngân hàng thương mại ở Việt Nam hiện nay" đã giải quyết trọn vẹn mối liên hệ mật thiết giữa quy định pháp lý và các chuẩn mực kỹ thuật công nghệ thông tin trong bảo vệ dữ liệu tài chính. Việc hoàn thiện khuôn khổ pháp lý, đồng bộ hóa chế tài xử phạt tương xứng với chuẩn mực quốc tế, kết hợp ứng dụng kiến trúc an ninh thông tin đa tầng (Zero Trust, Data Masking, SIEM) là giải pháp cấp bách nhằm bảo vệ quyền riêng tư của khách hàng, củng cố niềm tin công chúng và thúc đẩy tiến trình chuyển đổi số quốc gia phát triển bền vững. Các NHTM và tổ chức tài chính cần chủ động rà soát, nâng cấp hệ thống kiểm soát nội bộ ngay hôm nay để đáp ứng yêu cầu hội nhập kinh tế số toàn cầu.

Trích đoạn nội dung tài liệu

phần mở đầu, kết luận, phụ lục và tài liệu tham khảo… thì nội dung của bài khóa luận này đƣợc trình bày bao gồm ba chƣơng riêng biệt, nội dung của các chƣơng cụ thể nhƣ sau: Chƣơng 1: Những vấn đề lý luận về pháp luật bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thƣơng mại. Chƣơng 2: Thực trạng pháp luật về bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thƣơng mại ở Việt Nam hiện nay. Chƣơng 3: Hoàn thiện pháp luật về bảo mật thông tin khách hàng trong hoạt động của các ngân hàng thƣơng mại ở Việt Nam hiện nay. 5 CHƢƠNG 1: NHỮNG VẤN ĐỀ LÝ LUẬN VỀ BẢO MẬT THÔNG TIN KHÁCH HÀNG TRONG HOẠT ĐỘNG CỦA CÁC NGÂN HÀNG THƢƠNG MẠI VÀ PHÁP LUẬT VỀ BẢO MẬT THÔNG TIN KHÁCH HÀNG TRONG HOẠT ĐỘNG CỦA CÁC NGÂN HÀNG THƢƠNG MẠI 1.

Khái quát về bảo mật thông tin khách hàng 1. Khái niệm thông tin khách hàng 1. Định nghĩa thông tin khách hàng Trong đời sống thƣờng trực của con ngƣời, nhu cầu thông tin luôn là một nhu cầu rất cơ bản. Nhu cầu đó đang không ngừng tăng lên cùng với sự gia tăng các mối quan hệ trong xã hội.

Đặc biệt là trong bối cảnh thời đại công nghệ thông tin bùng nổ nhƣ hiện nay, khi mà mọi quan hệ, mọi hoạt động của con ngƣời đều dựa trên một hình thức giao lƣu thông tin nào đó. Định nghĩa về thông tin cũng có rất nhiều cách hiểu khác nhau, ngay cả các từ điển cũng không có một định nghĩa thống nhất. Theo giải nghĩa của từ điển Oxford English Dictionary, James Muray (1989) định nghĩa rằng thông tin là “điều mà người ta đánh giá hoặc nhắc đến, là tri thức, tin tức”. Còn theo giải nghĩa của từ điển Tiếng Việt Đà Nẵng, GS.

Hoàng Phê (2003, 1226) lại định nghĩa: “thông tin là điều hoặc tin được truyền đi cho biết sự truyền đạt, sự phản ánh tri thức dưới các hình thức khác nhau, cho biết về thế giới xung quanh và những quá trình xảy ra trong nó”. Theo quan điểm triết học thì thông tin là sự phản ánh của tự nhiên và xã hội (thế giới vật chất) bằng ngôn từ, ký hiệu, hình ảnh. hay nói rộng hơn bằng tất cả các phƣơng tiện tác động lên giác quan của con ngƣời (PGS. Đoàn Phan Tân, 2001).

Trong lĩnh vực tin học, Hồ Sỹ Đàm (biên soạn, 2021) định nghĩa rằng “thông tin là tất cả những gì đem lại sự hiểu biết về thế giới xung quanh (sự vật, sự kiện,…) và về chính con người”. Thông tin lƣu trữ trong máy tính đƣợc gọi là dữ liệu, tập hợp các dữ liệu sau khi đƣợc xử lý sẽ cho ta những hiểu biết về một vấn đề nào đó. 6 Hay dƣới góc độ kinh tế, Nguyễn Hữu Quỳnh (1998, 1173) định nghĩa rằng: “thông tin được hiểu là tin tức, nội dung thông tin phải hàm chứa giá trị nhất định, đặc biệt phải thể hiện tính mới hoặc có tính tri thức.” Nhƣ vậy mỗi lĩnh vực khác nhau có cách định nghĩa khác nhau về thông tin. Các khái niệm, quan điểm về thông tin rất đa dạng tùy thuộc vào từng lĩnh vực và mục đích nghiên cứu.

Tuy nhiên, dù ở trong lĩnh vực nào thì hình thức biểu hiện (các dạng) của thông tin cũng có những điểm tƣơng đồng đó là: con số, chữ viết, âm thanh hay hình ảnh… Trong hoạt động của các NHTM, chủ thể cung ứng sản phẩm dịch vụ cho khách hàng là các NHTM - doanh nghiệp kinh doanh, cung ứng thƣờng xuyên một hoặc một số các nghiệp vụ: nhận tiền gửi, cấp tín dụng, cung ứng dịch vụ thanh toán qua tài khoản (Quốc Hội, 2010). Chủ thể còn lại là khách hàng - bên còn lại trong quan hệ dân sự, thƣơng mại với tƣ cách là ngƣời mua sản phẩm, sử dụng các dịch vụ từ NHTM. Để thực hiện việc cung ứng các sản phẩm dịch vụ của mình, đồng thời thực hiện việc kiểm soát các giao dịch đó thì NHTM cần phải biết thông tin của khách hàng. Vậy thông tin khách hàng trong hoạt động của các NHTM là gì? Có thể hiểu khái quát rằng thông tin khách hàng trong hoạt động của các NHTM là những thông tin mà các NHTM có đƣợc thông qua hoạt động nghiệp vụ của mình.

Tuy nhiên, thông tin ấy cụ thể bao gồm những gì thì lại đƣợc quy định không giống nhau ở từng quốc gia. Theo Luật Ngân hàng của Singapore năm 1970, đƣợc sửa đổi, bổ sung năm 2018, tại điều 40A thông tin khách hàng đƣợc định nghĩa nhƣ sau: “a) thông tin liên quan đến hoặc bất kỳ thông tin nào về tài khoản của khách hàng, cho dù tài khoản đó là khoản vay, đầu tư hoặc bất kỳ loại giao dịch nào khác, nhưng không bao gồm thông tin không thể tham chiếu đến khách hàng hoặc nhóm khách hàng được định danh; hoặc b) “thông tin tiền gửi”, - thông tin tiền gửi là thông tin liên quan đến i) bất kỳ khoản tiền gửi nào của khách hàng, ii) các quỹ của khách hàng do ngân hàng quản lý; 7 hoặc là c) két an toàn hoặc bất kỳ thỏa thuận lưu ký an toàn được thực hiện bởi một khách hàng với ngân hàng, nhưng cũng không bao gồm thông tin không được đề cập đến bất kỳ khách hàng hoặc nhóm khách hàng định danh nào” (Nghị Viện Singapore, 1970). Nhƣ vậy, theo quy định của Luật Ngân hàng Singapore, thông tin khách hàng là thông tin mà phải xác định đƣợc danh tính của khách hàng, những thông tin không thể xác định đƣợc danh tính của khách hàng không đƣợc coi là thông tin khách hàng. Hay theo Luật Ngân hàng và công ty ủy thác Bahamas năm 2000, đƣợc sửa đổi bổ sung năm 2010, tại điều 19 quy định rằng thông tin khách hàng là “thông tin liên quan đến danh tính, tài sản, nợ, giao dịch hoặc tài khoản của khách hàng hoặc bất kỳ thông tin nào trong hồ sơ yêu cầu của khách hàng tiềm năng” (Quốc Hội Bahamas, 2000).

Nhƣ vậy, theo quy định của pháp luật Bahamas, thông tin khách hàng trong HĐNH mặc dù đƣợc liệt kê nhƣng nội hàm thông tin khách hàng khá bao quát, bao gồm tất cả các thông tin có đƣợc trƣớc khi trở thành khách hàng của ngân hàng. Thông tin đó không chỉ là những thông tin liên quan đến danh tính, tài sản, nợ, giao dịch… có trong hồ sơ khách hàng hiện hữu mà cả những thông tin này có trong hồ sơ của khách hàng tiềm năng. Còn tại Việt Nam, khái niệm thông tin khách hàng không đƣợc ghi nhận trong bất cứ văn bản luật nào. Tuy nhiên theo quy định hƣớng dẫn tại khoản 1 điều 3 Nghị định số 117/2018/NĐ - CP ngày 11/09/2018 quy định về việc giữ bí mật, cung cấp thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nƣớc ngoài “Thông tin khách hàng của TCTD, chi nhánh ngân hàng nước ngoài (sau đây gọi là thông tin khách hàng) là thông tin do khách hàng cung cấp, thông tin phát sinh trong quá trình khách hàng đề nghị hoặc được TCTD, chi nhánh ngân hàng nước ngoài cung ứng các nghiệp vụ ngân hàng, sản phẩm, dịch vụ trong hoạt động được phép, bao gồm thông tin định danh khách hàng và thông tin sau đây: thông tin về tài khoản, thông tin về tiền gửi, thông tin về tài sản gửi, thông tin về giao dịch, 8 thông tin về tổ chức, cá nhân là bên bảo đảm tại TCTD, CNNHNN và các thông tin có liên quan khác.

Nhƣ vậy, pháp luật Việt Nam ghi nhận định nghĩa thông tin khách hàng theo phƣơng pháp liệt kê. Đó là các thì thông tin khách hàng là những thông tin mà các TCTD có đƣợc thông qua hoạt động nghiệp vụ của mình, bao gồm những thông tin sau: thông tin thuộc về lý lịch của cá nhân, tổ chức; các thông tin cá biệt hóa cá nhân, tổ chức (tên, tuổi, chứng minh thƣ, hộ chiếu, địa chỉ, điện thoại, email…; tên gọi tổ chức, trụ sở của tổ chức, thông tin về cơ cấu tổ chức.); thông tin liên quan đến tài khoản, tiền gửi, tài sản gửi của khách hàng và thông tin liên quan đến các giao dịch của khách hàng với TCTD,… Mặc dù nội hàm khái niệm thông tin khách hàng ở các nƣớc và ghi nhận theo phƣơng thức khác nhau nhƣng ở hầu hết các quốc gia đều ghi nhận thông tin khách của các TCTD có những điểm chung nhất định. Đó là những thông tin mà các TCTD có đƣợc thông qua hoạt động nghiệp vụ của mình hay những thông tin mà khách hàng cung cấp cho NHTM nhằm mục đích phục vụ cho các giao dịch giữa ngân hàng và khách hàng, bao gồm các thông tin về tài khoản, tiền gửi, tài sản gửi và các giao dịch của khách hàng; bất cứ thông tin nào trong hồ sơ yêu cầu của khách hàng tiềm năng hoặc những ngƣời đã từng là khách của TCTD. Tóm lại có thể định nghĩa thông tin khách hàng trong hoạt động của các NHTM nhƣ sau: Thông tin khách hàng trong hoạt động của các NHTM là những thông tin mà các NHTM có được trước và trong quá trình giao dịch với khách hàng của mình, bao gồm các thông tin liên quan đến định danh khách hàng, thông tin tài khoản, tiền gửi, tài sản gửi và các giao dịch khác của khách hàng tại ngân hàng.

Đặc điểm của thông tin khách hàng Từ định nghĩa về thông tin khách hàng đƣợc nêu ra ở mục 1.1 có thể chỉ ra một số đặc điểm nổi bật của thông tin khách hàng trong HĐNH nhƣ sau: Thứ nhất, thông tin khách hàng trong HĐNH là những thông tin đƣợc hình thành trong quá trình các TCTD thực hiện các hoạt động chuyên môn, nghề nghiệp của mình. Đó là những thông tin do khách hàng cung cấp, thông tin phát sinh trong 9 quá trình khách hàng đề nghị hoặc đƣợc TCTD cung ứng các nghiệp vụ ngân hàng, sản phẩm, dịch vụ trong hoạt động đƣợc phép. Thứ hai, nội dung thông tin khách hàng trong HĐNH rất phong phú, đa dạng bao gồm cả những thông tin riêng tƣ cá nhân nhƣ các thông tin định danh, thông tin liên quan đến nghề nghiệp, tuổi tác, tình trạng hôn nhân của khách hàng, thói quen tiêu dùng.…và gần nhƣ toàn bộ các thông tin liên quan đến tình trạng tài chính và hoạt động kinh doanh của khách hàng, kể cả những bí mật kinh doanh khác của khách hàng. Thứ ba, thông tin của khách hàng do TCTD lƣu giữ là những nội dung có giá trị kinh tế cao.

Thông qua hoạt động chuyên môn nghề nghiệp của mình, TCTD nắm giữ nhiều thông tin liên quan đến tình hình tài chính, ƣu đãi chi tiêu của khách hàng cá nhân.