Luận văn: Ảnh hưởng của bảo mật thông tin đến thanh toán thẻ tại BIDV Bảo Lộc

Luận văn: Ảnh hưởng của bảo mật thông tin đến thanh toán thẻ tại BIDV Bảo Lộc. Nghiên cứu chuyên sâu về bảo mật và hiệu quả hoạt động thanh toán thẻ.

• Tác giả: Mai Hữu Duyên
• Người hướng dẫn: TS. Trương Quốc Thụ
• Trường học: Trường Đại học Ngân hàng TP. Hồ Chí Minh
• Chuyên ngành: Tài chính - Ngân hàng
• Đề tài: Ảnh hưởng của bảo mật thông tin đến hoạt động thanh toán thẻ tại Ngân hàng TMCP Đầu tư và Phát triển Việt Nam – Chi nhánh Bảo Lộc
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2018
• Địa điểm: TP. Hồ Chí Minh

Tóm tắt

I. Vì sao bảo mật thanh toán thẻ BIDV Bảo Lộc là ưu tiên

Trong bối cảnh tội phạm công nghệ cao ngày càng gia tăng, việc bảo mật thông tin & thanh toán thẻ tại BIDV Bảo Lộc trở thành nền tảng cốt lõi để bảo vệ tài sản và duy trì niềm tin của khách hàng. Theo nghiên cứu của tác giả Mai Hữu Duyên trong luận văn "Ảnh hưởng của bảo mật thông tin đến hoạt động thanh toán thẻ tại Ngân hàng TMCP Đầu tư và Phát triển Việt Nam – Chi nhánh Bảo Lộc", hàng loạt sự cố tiền "bốc hơi" khỏi tài khoản đã gây ra nhiều lo ngại. Nghiên cứu chỉ ra rằng, việc đảm bảo an toàn cho các giao dịch không chỉ là trách nhiệm của ngân hàng mà còn là yếu tố sống còn quyết định đến uy tín và sự phát triển bền vững của chi nhánh. Một hệ thống bảo mật yếu kém có thể dẫn đến những tổn thất tài chính nghiêm trọng, ảnh hưởng trực tiếp đến thương hiệu và vị thế cạnh tranh của BIDV trên địa bàn. Do đó, việc đầu tư vào các giải pháp an ninh mạng ngân hàng và nâng cao nhận thức cho khách hàng là chiến lược không thể thiếu, giúp BIDV Bảo Lộc khẳng định cam kết về một dịch vụ tài chính an toàn, minh bạch và đáng tin cậy.

1.1. Bối cảnh an ninh mạng ngành ngân hàng hiện nay

Thực trạng an ninh mạng ngân hàng tại Việt Nam đang đối mặt với nhiều thách thức phức tạp. Các cuộc tấn công ngày càng tinh vi, không chỉ nhắm vào hệ thống lõi của ngân hàng mà còn trực tiếp vào người dùng cuối thông qua các hình thức lừa đảo (phishing), phần mềm độc hại (malware) và kỹ thuật xã hội (social engineering). Luận văn của Mai Hữu Duyên (2018) nhấn mạnh rằng tội phạm công nghệ cao liên tục tìm cách đánh cắp dữ liệu thẻ để in thẻ giả, rút tiền tại ATM hoặc thực hiện các giao dịch gian lận. Sự cố lộ lọt dữ liệu khách hàng không chỉ gây thiệt hại tài chính mà còn làm xói mòn niềm tin của công chúng. Đặc biệt, khảo sát được trích dẫn trong tài liệu cho thấy chỉ có 11% người dùng Việt Nam nhận thức rủi ro có thể đến từ chính mình, so với 60% trên thế giới. Điều này cho thấy lỗ hổng lớn về nhận thức, đòi hỏi các ngân hàng như BIDV phải đẩy mạnh truyền thông và các biện pháp cảnh báo lừa đảo qua thẻ.

1.2. Vai trò của bảo mật đối với uy tín thương hiệu BIDV

Uy tín là tài sản vô hình nhưng quan trọng nhất của một tổ chức tài chính. Đối với BIDV Bảo Lộc, việc bảo vệ thông tin tài khoản ngân hàng của khách hàng là yếu tố then chốt để xây dựng và củng cố uy tín. Mỗi giao dịch thẻ thành công và an toàn đều góp phần củng cố niềm tin. Ngược lại, chỉ một sự cố bảo mật nhỏ cũng có thể gây ra hiệu ứng lan truyền tiêu cực, làm suy giảm hình ảnh thương hiệu mà chi nhánh đã nỗ lực xây dựng. Tài liệu nghiên cứu đã chỉ rõ, ảnh hưởng của bảo mật thông tin tác động trực tiếp đến thương hiệu, doanh thu và chi phí hoạt động. Một khi khách hàng cảm thấy không an tâm, họ sẽ hạn chế sử dụng dịch vụ, dẫn đến sụt giảm doanh số thanh toán thẻ và các dịch vụ liên quan. Do đó, việc tuân thủ nghiêm ngặt chính sách bảo mật của BIDV và liên tục cập nhật công nghệ mới là cách hiệu quả nhất để khẳng định vị thế dẫn đầu và đáng tin cậy tại địa phương.

II. Top 3 rủi ro bảo mật thông tin thanh toán thẻ phổ biến

Hoạt động thanh toán thẻ luôn tiềm ẩn những rủi ro có thể gây tổn thất cho cả khách hàng và ngân hàng. Việc nhận diện và hiểu rõ các nguy cơ này là bước đầu tiên để xây dựng một hệ thống phòng thủ hiệu quả. Luận văn thạc sĩ của Mai Hữu Duyên đã hệ thống hóa các rủi ro chính trong quá trình phát hành, sử dụng và thanh toán thẻ. Trong đó, nổi bật là các nguy cơ liên quan đến việc làm giả thẻ, đánh cắp thông tin từ các giao dịch và lỗ hổng từ chính ý thức của người dùng. Mỗi rủi ro đều có những đặc điểm và phương thức tấn công riêng, đòi hỏi các giải pháp quản lý rủi ro giao dịch đa tầng, từ công nghệ của ngân hàng đến hành vi của người sở hữu thẻ. Việc phân tích kỹ lưỡng các mối đe dọa này giúp BIDV Bảo Lộc chủ động triển khai các biện pháp phòng ngừa, giảm thiểu tối đa thiệt hại và đảm bảo môi trường giao dịch thẻ an toàn tại PGD BIDV Bảo Lộc.

2.1. Nguy cơ từ thẻ giả và hành vi lừa đảo tinh vi

Thẻ giả là một trong những rủi ro nghiêm trọng nhất, được tạo ra bởi các tổ chức tội phạm sau khi đánh cắp thông tin từ thẻ thật. Thông tin này có thể bị lấy cắp qua các thiết bị skimming gắn tại máy ATM, POS hoặc từ các cơ sở dữ liệu bị rò rỉ. Kẻ gian sử dụng thông tin thu thập được để tạo ra thẻ giả với dải từ được mã hóa lại và thực hiện các giao dịch gian lận. Theo quy định của các tổ chức thẻ quốc tế, ngân hàng phát hành thường phải chịu trách nhiệm cho các tổn thất từ giao dịch thẻ giả. Bên cạnh đó, các hình thức lừa đảo trực tuyến ngày càng tinh vi, giả mạo email, tin nhắn từ ngân hàng để yêu cầu khách hàng cung cấp thông tin thẻ, mật khẩu và mã OTP. Những hành vi này đòi hỏi ngân hàng phải có hệ thống giám sát giao dịch bất thường và liên tục đưa ra cảnh báo lừa đảo qua thẻ cho người dùng.

2.2. Rủi ro do thất lạc thẻ và lộ thông tin cá nhân

Việc khách hàng làm mất hoặc bị đánh cắp thẻ vật lý là tình huống rất phổ biến, chiếm tỷ lệ lớn trong các loại rủi ro. Khi thẻ bị thất lạc, nếu chủ thẻ không thông báo kịp thời cho ngân hàng, kẻ gian có thể lợi dụng để thực hiện các giao dịch mua sắm, đặc biệt là các giao dịch không yêu cầu mã PIN như thanh toán tại một số trang web hoặc cửa hàng. Mặc dù công nghệ thẻ chip EMV đã giảm thiểu nguy cơ sao chép dữ liệu, việc sử dụng trái phép thẻ bị mất vẫn có thể xảy ra. Do đó, quy trình khóa thẻ BIDV khẩn cấp đóng vai trò cực kỳ quan trọng. Khách hàng cần được hướng dẫn để hành động nhanh chóng ngay khi phát hiện mất thẻ, thông qua ứng dụng BIDV SmartBanking, tổng đài hoặc trực tiếp tại phòng giao dịch, nhằm ngăn chặn kịp thời các thiệt hại tài chính không đáng có.

2.3. Lỗ hổng bảo mật từ phía người dùng và hệ thống

Một rủi ro đáng kể khác đến từ chính hành vi của người dùng và các lỗ hổng tiềm ẩn trong hệ thống. Nhiều người dùng có thói quen đặt mật khẩu yếu, dễ đoán, ghi mật khẩu ra giấy, hoặc chia sẻ mã xác thực giao dịch OTP cho người khác. Đây là những hành động tạo cơ hội cho kẻ gian chiếm đoạt tài khoản. Như nghiên cứu đã chỉ ra, nhận thức về tự bảo vệ của khách hàng tại Việt Nam còn hạn chế. Về phía hệ thống, các lỗ hổng bảo mật trong phần mềm, ứng dụng ngân hàng hoặc website nếu không được vá kịp thời có thể bị tin tặc khai thác để xâm nhập. Do đó, việc bảo mật ứng dụng BIDV SmartBanking và thường xuyên cập nhật hệ thống là nhiệm vụ bắt buộc. Đồng thời, giáo dục khách hàng về các nguyên tắc an toàn thanh toán thẻ BIDV là một giải pháp mang tính chiến lược và bền vững.

III. Cách BIDV Bảo Lộc bảo vệ thông tin thanh toán thẻ 24 7

Để đối phó với các rủi ro an ninh mạng, BIDV Bảo Lộc đã triển khai một hệ thống bảo mật đa lớp, kết hợp giữa công nghệ hiện đại và quy trình vận hành chặt chẽ. Trọng tâm của chiến lược này là bảo vệ dữ liệu khách hàng ở mọi điểm tiếp xúc, từ lúc phát hành thẻ cho đến khi thực hiện giao dịch. Thay vì chỉ phản ứng khi sự cố xảy ra, chi nhánh chủ động áp dụng các công nghệ phòng ngừa tiên tiến nhất trong ngành ngân hàng. Việc chuyển đổi sang công nghệ thẻ chip EMV là một bước tiến quan trọng, giúp chống lại việc sao chép dữ liệu thẻ. Song song đó, các lớp xác thực mạnh mẽ được tích hợp vào mọi kênh giao dịch, đặc biệt là trên nền tảng số. Những nỗ lực này không chỉ tuân thủ các quy định của Ngân hàng Nhà nước mà còn thể hiện cam kết của BIDV trong việc mang lại trải nghiệm an toàn thanh toán thẻ BIDV tối ưu cho mọi khách hàng tại Bảo Lộc.

3.1. Ứng dụng công nghệ thẻ chip EMV chống sao chép dữ liệu

Công nghệ thẻ chip EMV (viết tắt của Europay, MasterCard, Visa) là tiêu chuẩn bảo mật toàn cầu cho thẻ thanh toán. Khác với thẻ từ truyền thống lưu trữ dữ liệu tĩnh, mỗi giao dịch bằng thẻ chip sẽ tạo ra một mã giao dịch động, duy nhất và không thể tái sử dụng. Điều này khiến cho việc sao chép thông tin từ thẻ chip để tạo thẻ giả trở nên gần như bất khả thi. Việc BIDV tiên phong áp dụng công nghệ này cho toàn bộ hệ thống thẻ của mình đã tạo ra một lá chắn vững chắc, giảm thiểu đáng kể rủi ro skimming. Khi thực hiện giao dịch thẻ an toàn tại PGD BIDV Bảo Lộc hoặc bất kỳ điểm chấp nhận thẻ nào, con chip điện tử sẽ tương tác với máy POS để xác thực, đảm bảo rằng thẻ được sử dụng là thẻ thật và hợp lệ. Đây là nền tảng công nghệ cốt lõi giúp bảo vệ thông tin tài chính của khách hàng một cách hiệu quả.

3.2. Tăng cường xác thực giao dịch OTP và bảo mật 2 lớp 2FA

Để gia tăng an toàn cho các giao dịch trực tuyến và trên ứng dụng di động, BIDV áp dụng nghiêm ngặt cơ chế bảo mật 2 lớp (2FA). Lớp bảo mật đầu tiên là mật khẩu đăng nhập mà chỉ người dùng biết. Lớp thứ hai là mã xác thực giao dịch OTP (One-Time Password) được gửi qua SMS hoặc tạo ra bởi ứng dụng Smart OTP. Mã OTP chỉ có hiệu lực một lần trong một khoảng thời gian rất ngắn, giúp đảm bảo rằng ngay cả khi kẻ gian biết được mật khẩu, chúng cũng không thể thực hiện giao dịch tài chính nếu không có mã xác thực này. Giải pháp này giúp bảo mật ứng dụng BIDV SmartBanking một cách toàn diện, ngăn chặn hiệu quả các truy cập trái phép. Việc yêu cầu xác thực OTP cho các giao dịch quan trọng như chuyển tiền, thanh toán hóa đơn giá trị cao là một quy trình bắt buộc, giúp bảo vệ tài khoản của khách hàng khỏi các âm mưu chiếm đoạt từ xa.

IV. Hướng dẫn giao dịch thẻ an toàn tại PGD BIDV Bảo Lộc

Bên cạnh các giải pháp công nghệ từ ngân hàng, ý thức và hành động của người dùng đóng vai trò quyết định trong việc đảm bảo an toàn cho tài khoản. BIDV Bảo Lộc luôn khuyến khích khách hàng chủ động trang bị các kiến thức cơ bản để tự bảo vệ mình. Luận văn của Mai Hữu Duyên cũng nhấn mạnh tầm quan trọng của việc truyền thông để nâng cao nhận thức người dùng. Việc nắm rõ các quy trình xử lý sự cố, các phương pháp bảo vệ thông tin cá nhân và nhận biết các dấu hiệu lừa đảo sẽ giúp khách hàng giảm thiểu rủi ro. Các hướng dẫn này không chỉ giới hạn ở việc sử dụng thẻ vật lý tại ATM hay POS, mà còn bao gồm cả các giao dịch trên không gian mạng. Thực hiện đúng các khuyến cáo từ ngân hàng là cách tốt nhất để đảm bảo mọi hoạt động bảo mật thông tin & thanh toán thẻ tại BIDV Bảo Lộc đạt hiệu quả cao nhất.

4.1. Quy trình khóa thẻ BIDV khẩn cấp khi có sự cố

Khi phát hiện thẻ bị mất, thất lạc hoặc nghi ngờ có giao dịch gian lận, hành động nhanh chóng là yếu tố quan trọng nhất. BIDV cung cấp nhiều kênh để khách hàng thực hiện việc khóa thẻ BIDV khẩn cấp một cách dễ dàng. Cách nhanh nhất là đăng nhập vào ứng dụng BIDV SmartBanking, chọn mục Dịch vụ thẻ và thực hiện khóa thẻ ngay lập tức. Ngoài ra, khách hàng có thể gọi đến tổng đài 24/7 của BIDV (1900 9247) và làm theo hướng dẫn của nhân viên tổng đài. Một phương án khác là đến trực tiếp phòng giao dịch BIDV gần nhất để yêu cầu hỗ trợ. Việc khóa thẻ sẽ tạm thời vô hiệu hóa mọi chức năng thanh toán của thẻ, ngăn chặn kẻ gian lợi dụng để thực hiện các giao dịch trái phép. Sau khi khóa thẻ thành công, khách hàng có thể yêu cầu phát hành lại thẻ mới để tiếp tục sử dụng dịch vụ.

4.2. Các khuyến cáo và cảnh báo lừa đảo qua thẻ từ BIDV

BIDV thường xuyên cập nhật và gửi đến khách hàng các cảnh báo lừa đảo qua thẻ với những thủ đoạn mới nhất. Khách hàng cần tuân thủ các nguyên tắc sau: Tuyệt đối không cung cấp thông tin thẻ (số thẻ, ngày hết hạn, mã CVV) và mật khẩu, mã OTP cho bất kỳ ai, kể cả người tự xưng là nhân viên ngân hàng. Luôn cảnh giác với các email, tin nhắn, cuộc gọi lạ yêu cầu cung cấp thông tin hoặc truy cập vào các đường link đáng ngờ. Khi giao dịch tại ATM/POS, cần che tay khi nhập mã PIN và kiểm tra kỹ khe đọc thẻ, bàn phím để phát hiện các thiết bị lạ. Đồng thời, chỉ thực hiện giao dịch trên các website uy tín, có giao thức bảo mật 'https://'. Việc nâng cao cảnh giác và nhận biết sớm các dấu hiệu lừa đảo là chìa khóa để bảo vệ thông tin tài khoản ngân hàng một cách chủ động.

4.3. Tìm hiểu chính sách bảo mật của BIDV cho khách hàng

Việc hiểu rõ chính sách bảo mật của BIDV giúp khách hàng nắm được quyền lợi và trách nhiệm của mình. Chính sách này quy định rõ cách thức ngân hàng thu thập, sử dụng, lưu trữ và bảo vệ thông tin cá nhân của khách hàng. BIDV cam kết áp dụng các biện pháp kỹ thuật và quy trình nghiêm ngặt để mã hóa thông tin khách hàng, đảm bảo dữ liệu không bị truy cập, sử dụng hay tiết lộ trái phép. Chính sách cũng nêu rõ trách nhiệm của khách hàng trong việc bảo mật thông tin đăng nhập, mã PIN và các yếu tố xác thực khác. Khi có tranh chấp hoặc sự cố xảy ra, các điều khoản trong chính sách bảo mật sẽ là cơ sở pháp lý để hai bên giải quyết. Khách hàng có thể tham khảo chi tiết chính sách này trên website chính thức của BIDV hoặc tại các phòng giao dịch để có cái nhìn toàn diện về cam kết an toàn của ngân hàng.

Nội dung chính

Tổng quan nghiên cứu

Thị trường thanh toán không dùng tiền mặt tại Việt Nam chứng kiến tốc độ chuyển đổi số mạnh mẽ với hàng triệu giao dịch điện tử được xử lý mỗi ngày. Tuy nhiên, nhận thức an toàn thông tin của người dùng trong nước còn nhiều khoảng trống đáng lo ngại khi chỉ có khoảng 11% người được khảo sát nhận thức được rủi ro xuất phát từ phía khách hàng, thấp hơn nhiều so với tỷ lệ 60% theo tiêu chuẩn quốc tế. Tình trạng lộ lọt dữ liệu thẻ, gian lận công nghệ cao và các vụ việc tiền tự động bị rút trong đêm diễn ra với tần suất ngày càng phức tạp. Thực trạng này đặt ra thách thức lớn đối với uy tín thương hiệu và tính bền vững của hệ thống ngân hàng thương mại.

Nghiên cứu tập trung giải quyết bài toán cân bằng giữa việc mở rộng doanh số dịch vụ thẻ và thiết lập cơ chế kiểm soát rủi ro bảo mật thông tin tại Ngân hàng Thương mại Cổ phần Đầu tư và Phát triển Việt Nam – Chi nhánh Bảo Lộc (BIDV Bảo Lộc). Mục tiêu cụ thể là hệ thống hóa cơ sở lý luận về an toàn thông tin, đánh giá thực trạng bảo mật và lượng hóa mức độ tác động của bảo mật thông tin đến kết quả kinh doanh thẻ trong giai đoạn 5 năm từ năm 2013 đến năm 2017.

Ý nghĩa của công trình nghiên cứu thể hiện qua việc cung cấp bức tranh thực nghiệm toàn diện về quản trị rủi ro thẻ tại một địa bàn cấp thành phố trực thuộc tỉnh. Kết quả nghiên cứu là căn cứ thực tiễn giúp ngân hàng giảm thiểu tỷ lệ thất lạc, làm giả dữ liệu thẻ (vốn chiếm xấp xỉ 49% các vụ việc phát sinh rủi ro), đồng thời tối ưu hóa chi phí đầu tư công nghệ nhằm bảo vệ nguồn vốn và duy trì tỷ lệ tăng trưởng khách hàng ổn định trên 15% mỗi năm.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu vận dụng mô hình bảo mật thông tin kinh điển theo tiêu chuẩn quốc tế (Mô hình CIA Triad) gồm 3 trụ cột cốt lõi: Tính bảo mật (Confidentiality), Tính toàn vẹn (Integrity) và Tính sẵn sàng (Availability). Khung lý thuyết này được đối chiếu chặt chẽ với các quy định pháp lý chuyên ngành tại Việt Nam, bao gồm Thông tư 18/2018/TT-NHNN về an toàn hệ thống thông tin trong hoạt động ngân hàng và Thông tư 19/2016/TT-NHNN quy định về hoạt động thẻ ngân hàng.

Hệ thống phân cấp an toàn thông tin được xây dựng dựa trên 3 mức độ quan trọng:

• Mức độ 1: Hệ thống thông tin thông thường phục vụ tác nghiệp nội bộ không chứa dữ liệu mật.
• Mức độ 2: Hệ thống quan trọng vận hành 24/7, xử lý trực tuyến giao dịch tài chính của khách hàng và không được phép ngừng trệ quá 4 giờ làm việc.
• Mức độ 3: Hệ thống đặc biệt quan trọng thuộc hạ tầng liên ngân hàng quốc gia.

Các khái niệm trọng tâm được chuẩn hóa trong nghiên cứu bao gồm: Thẻ ghi nợ (Debit Card), Thẻ tín dụng (Credit Card) với các phân khúc hạn mức tín dụng từ 10 triệu đồng đối với thẻ Chuẩn đến hơn 80 triệu đồng đối với thẻ Platinum, Thiết bị chấp nhận thẻ tại điểm bán (máy POS/EDC) và Đơn vị chấp nhận thẻ (ĐVCNT).

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp kết hợp giữa dữ liệu định tính và dữ liệu định lượng:

• Nguồn dữ liệu thứ cấp: Thu thập toàn bộ báo cáo tài chính, báo cáo doanh số phát hành, doanh số thanh toán và chi phí bảo mật tại BIDV Bảo Lộc trong giai đoạn 2013 - 2017.
• Nguồn dữ liệu sơ cấp: Khảo sát chọn mẫu ngẫu nhiên phân tầng với cỡ mẫu 250 khách hàng cá nhân sử dụng thẻ và 45 điểm chấp nhận thẻ POS trên địa bàn thành phố Bảo Lộc. Phương pháp chọn mẫu phân tầng giúp đảm bảo tính đại diện cho từng nhóm khách hàng theo thu nhập và tần suất giao dịch.
• Phương pháp phân tích: Sử dụng phương pháp thống kê mô tả, phân tích so sánh chuỗi thời gian 5 năm và phân tích tương quan giữa chi phí đầu tư bảo mật với doanh thu, lợi nhuận thuần từ dịch vụ thẻ. Phương pháp này được lựa chọn vì tính trực quan, giúp lượng hóa chính xác mối quan hệ nhân quả giữa an toàn thông tin và hiệu quả tài chính của ngân hàng thương mại.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Phân tích số liệu thực chứng tại BIDV Bảo Lộc giai đoạn 2013 - 2017 mang lại những phát hiện quan trọng:

• Doanh số thanh toán và tốc độ phát hành thẻ: Số lượng thẻ phát hành lũy kế tăng trưởng bình quân 18,5%/năm, đưa thị phần thẻ của BIDV tại Bảo Lộc duy trì ở mức trên 25%. Tuy nhiên, mức độ phân bổ ngân sách dành riêng cho công tác bảo mật thông tin chỉ chiếm khoảng 3,2% tổng chi phí hoạt động của dịch vụ thẻ.
• Cơ cấu rủi ro phát sinh: Rủi ro liên quan đến thẻ bị mất cắp, thất lạc và lộ lọt thông tin dải băng từ chiếm tỷ lệ cao nhất, lên tới 49% tổng số vụ việc tra soát khiếu nại. Tội phạm công nghệ sao chép thông tin thẻ (skimming) và làm giả dữ liệu dải từ gây ra thiệt hại tài chính ước tính chiếm hơn 30% tổn thất phát sinh.
• Lỗ hổng từ nhận thức khách hàng: Khoảng 89% chủ thẻ được khảo sát thừa nhận không thay đổi mã PIN định kỳ trong vòng 6 tháng, và hơn 35% người dùng từng tiết lộ mã xác thực giao dịch cho người thân hoặc nhân viên thanh toán tại các điểm bán.
• Quy trình tác nghiệp tại các đơn vị chấp nhận thẻ: Thời gian xử lý phát hành thẻ trung bình kéo dài từ 4 đến 6 ngày làm việc. Tại hơn 40% điểm đặt máy POS, nhân viên thu ngân chưa tuân thủ đầy đủ quy trình kiểm tra đối chiếu chữ ký mẫu của chủ thẻ trên hóa đơn 4 liên.

Thảo luận kết quả

Nguyên nhân cốt lõi của những hạn chế trên xuất phát từ sự mất cân đối giữa tốc độ phát triển mạng lưới chấp nhận thẻ và hạ tầng kiểm soát rủi ro. Việc đa phần các dòng thẻ đang lưu hành vẫn sử dụng công nghệ băng từ cũ thay vì công nghệ chip vi xử lý thông minh (Smart Card / EMV) khiến dữ liệu chủ thẻ dễ bị giải mã thông qua các thiết bị đọc trộm gắn tại máy ATM.

Kết quả này hoàn toàn tương đồng với các công trình nghiên cứu về quản trị rủi ro thanh toán thẻ của nhiều tác giả ngành tài chính trước đây, khẳng định rủi ro đạo đức của cán bộ vận hành và sự thiếu hụt quy trình kiểm soát nội bộ là nguyên nhân hàng đầu dẫn đến thất thoát tài sản.

Để nâng cao tính trực quan, dữ liệu nghiên cứu có thể được tổng hợp thông qua hai công cụ biểu diễn:

• Biểu đồ hình cột biểu diễn biến động Doanh thu – Chi phí – Lợi nhuận (DT - CP - LN) của mảng kinh doanh thẻ BIDV Bảo Lộc qua các năm từ 2013 đến 2017, minh họa rõ nét tác động tích cực của chi phí bảo mật đến mức độ tăng trưởng doanh thu thuần.
• Bảng so sánh ma trận thị phần thẻ, số lượng máy ATM và mật độ thiết bị POS giữa 4 ngân hàng thương mại chủ lực trên địa bàn thành phố Bảo Lộc (BIDV, Agribank, Vietcombank, VietinBank) trong 2 năm 2016 và 2017.

Đề xuất và khuyến nghị

Dựa trên kết quả phân tích thực trạng, 4 nhóm giải pháp chiến lược được đề xuất nhằm hoàn thiện công tác an toàn thông tin trong thanh toán thẻ tại BIDV Bảo Lộc:

1. Chuyển đổi 100% công nghệ thẻ chip EMV và nâng cấp thiết bị POS:

   • Hành động: Thay thế toàn bộ thẻ từ nội địa sang thẻ chip thông minh đạt chuẩn VCCS và chuẩn quốc tế EMV Contactless; nâng cấp firmware cho toàn bộ hệ thống máy ATM và máy POS.
   • Chỉ tiêu mục tiêu: Hoàn thành chuyển đổi tối thiểu 90% số lượng thẻ đang lưu hành, giảm trên 80% rủi ro sao chép dữ liệu dải từ.
   • Thời gian thực hiện: Lộ trình 18 tháng (hoàn thành trước quý 4 năm 2019).
   • Chủ thể thực hiện: Phòng Quản trị Công nghệ Thông tin phối hợp Trung tâm Thẻ BIDV.

2. Tối ưu hóa quy trình kiểm soát nội bộ và quản trị rủi ro giao dịch 24/7:

   • Hành động: Triển khai hệ thống giám sát cảnh báo gian lận tự động theo thời gian thực (Fraud Monitoring System), thiết lập hạn mức chi tiêu linh hoạt và áp dụng xác thực 2 yếu tố (OTP/Sinh trắc học) cho toàn bộ giao dịch trực tuyến.
   • Chỉ tiêu mục tiêu: Giảm thời gian xử lý tra soát khiếu nại từ 6 ngày xuống dưới 48 giờ làm việc; khống chế tỷ lệ thất thoát do gian lận dưới mức 0,05% tổng doanh số thanh toán.
   • Thời gian thực hiện: Triển khai liên tục từ đầu năm 2019.
   • Chủ thể thực hiện: Phòng Quản lý rủi ro và Ban Kiểm soát nội bộ chi nhánh.

3. Đẩy mạnh đào tạo nghiệp vụ và truyền thông nhận thức khách hàng:

   • Hành động: Tổ chức khóa tập huấn bắt buộc định kỳ 6 tháng/lần cho 100% cán bộ nghiệp vụ thẻ và nhân viên thu ngân tại các đơn vị chấp nhận thẻ; gửi tin nhắn định kỳ cảnh báo thủ đoạn tội phạm công nghệ cao cho chủ thẻ.
   • Chỉ tiêu mục tiêu: Nâng tỷ lệ nhận thức rủi ro của khách hàng địa phương từ 11% lên trên 50% sau 2 năm.
   • Thời gian thực hiện: Kế hoạch định kỳ hàng quý trong giai đoạn 2018 - 2020.
   • Chủ thể thực hiện: Phòng Dịch vụ Khách hàng và Bộ phận Marketing.

4. Nâng mức phân bổ ngân sách đầu tư bảo mật hệ thống:

   • Hành động: Trích lập ngân sách thường niên chuyên biệt cho an toàn thông tin, nâng tỷ trọng đầu tư bảo mật từ mức 3,2% lên tối thiểu 8% đến 10% tổng chi phí vận hành dịch vụ thẻ.
   • Chỉ tiêu mục tiêu: Đảm bảo hệ thống đạt chứng nhận an toàn dữ liệu thẻ thanh toán PCI DSS cấp độ cao nhất.
   • Thời gian thực hiện: Bắt đầu từ năm tài chính 2019.
   • Chủ thể thực hiện: Ban Giám đốc BIDV Bảo Lộc và Hội đồng Quản trị BIDV.

Đối tượng nên tham khảo luận văn

Nội dung nghiên cứu mang giá trị ứng dụng cao cho 4 nhóm đối tượng trọng tâm:

• Ban lãnh đạo và cán bộ quản trị rủi ro tại các ngân hàng thương mại: Cung cấp khung đánh giá thực tiễn về mức độ tương quan giữa chi phí an toàn thông tin và doanh thu dịch vụ thẻ, giúp xây dựng các chính sách phòng ngừa gian lận thẻ tại các chi nhánh cấp 1.
• Các đơn vị chấp nhận thẻ (ĐVCNT) và chủ cơ sở kinh doanh: Nắm vững quy trình chuẩn hóa về vận hành máy POS, cách nhận biết thẻ giả, quy tắc bảo quản chứng từ hóa đơn và phân định trách nhiệm pháp lý khi phát sinh sự cố giao dịch gian lận.
• Giảng viên, học viên cao học và sinh viên chuyên ngành Tài chính - Ngân hàng: Sử dụng làm tài liệu tham khảo học thuật về phương pháp nghiên cứu tình huống thực tế tại địa phương, cách kết hợp lý thuyết an ninh thông tin với các chỉ số tài chính ngân hàng.
• Cơ quan quản lý nhà nước và thanh tra giám sát ngân hàng: Làm cơ sở dữ liệu thực nghiệm phục vụ công tác rà soát, đánh giá hiệu quả thực thi Thông tư 18/2018/TT-NHNN và Thông tư 19/2016/TT-NHNN tại khu vực Tây Nguyên.

Câu hỏi thường gặp

• Rủi ro nào chiếm tỷ lệ cao nhất trong hoạt động thanh toán thẻ tại BIDV Bảo Lộc? Rủi ro thẻ bị mất cắp, thất lạc và bị kẻ gian lợi dụng thông tin dải từ chiếm xấp xỉ 49% tổng số vụ việc vi phạm phát sinh tại chi nhánh. Nguyên nhân chủ yếu do khách hàng bảo quản mật mã chưa cẩn thận và hạ tầng POS chưa kích hoạt đầy đủ tính năng xác thực nâng cao.

• Chi phí đầu tư cho bảo mật thông tin tác động như thế nào đến lợi nhuận của ngân hàng? Chi phí bảo mật tạo ra sự gia tăng lợi nhuận gián tiếp nhưng bền vững. Đầu tư bảo mật làm giảm thiểu các khoản chi phí bồi hoàn rủi ro gian lận, hạ thấp chi phí xử lý tra soát và giúp doanh số thanh toán tăng trưởng ổn định trên 18%/năm nhờ củng cố niềm tin của khách hàng.

• Thẻ chip EMV có ưu điểm vượt trội gì so với thẻ băng từ truyền thống? Thẻ chip EMV chứa bộ vi xử lý máy tính độc lập có khả năng mã hóa dữ liệu động theo từng giao dịch riêng biệt, ngăn chặn hoàn toàn việc sao chép dải từ (skimming). Kỹ thuật này giảm thiểu hơn 70% nguy cơ phát sinh thẻ giả so với công nghệ thẻ từ lưu thông tin tĩnh.

• Chủ thẻ cần áp dụng những biện pháp cơ bản nào để tự bảo vệ tài khoản? Chủ thẻ cần đổi mã PIN định kỳ 3 đến 6 tháng một lần, kích hoạt dịch vụ thông báo biến động số dư qua tin nhắn tức thời, tuyệt đối không chia sẻ mã OTP cho bất kỳ ai và luôn che chắn bàn phím khi nhập mã PIN tại các máy ATM/POS.

• Khi phát sinh giao dịch thẻ bị trừ tiền bất thường, ngân hàng sẽ xử lý theo quy trình nào? Ngân hàng tiến hành khóa thẻ ngay lập tức khi nhận được yêu cầu của chủ thẻ qua tổng đài 24/7. Bộ phận quản lý rủi ro sẽ trích xuất nhật ký dữ liệu hệ thống, tra soát hóa đơn tại điểm thanh toán và hoàn tất xử lý khiếu nại trong thời hạn tối đa không quá 6 ngày làm việc.

Kết luận

• Hệ thống hóa hoàn chỉnh cơ sở lý luận về quản trị rủi ro và các tiêu chuẩn bảo mật thông tin trong hoạt động thanh toán thẻ ngân hàng.
• Làm rõ thực trạng tại BIDV Bảo Lộc giai đoạn 2013 - 2017 với tốc độ tăng trưởng doanh số thẻ đạt trên 18%/năm song rủi ro mất cắp dữ liệu vẫn chiếm tới 49%.
• Chứng minh mối liên hệ tỷ lệ thuận giữa việc tăng cường ngân sách bảo mật thông tin với hiệu quả bảo toàn doanh thu và củng cố uy tín thương hiệu.
• Đề xuất đồng bộ 4 nhóm giải pháp thực thi bao gồm nâng cấp chuẩn thẻ chip EMV, tự động hóa giám sát giao dịch 24/7 và nâng tỷ trọng chi phí bảo mật lên 8% - 10%.
• Đóng góp nguồn tư liệu thực chứng có giá trị tham khảo cao cho công tác quản trị rủi ro thanh toán không dùng tiền mặt tại các tổ chức tín dụng.

Để nâng cao sức cạnh tranh và phát triển kinh doanh dịch vụ thẻ an toàn, bền vững, các tổ chức tài chính cần khẩn trương rà soát lại toàn bộ quy trình kiểm soát nội bộ và triển khai đồng bộ lộ trình chuyển đổi công nghệ ngay trong giai đoạn tới.

Trích đoạn nội dung tài liệu

CHƯƠNG 1. CỞ SỞ LÝ LUẬN VỀ BẢO MẬT THÔNG TIN VÀ ẢNH HƯỞNG CỦA BẢO MẬT THÔNG TIN TRONG HOẠT ĐỘNG THANH TOÁN THẺ TẠI CÁC NGÂN HÀNG 1. Thông tin trong hoạt động thanh toán thẻ 1. Khái niệm Có rất nhiều cách hiểu về thông tin.

Thậm chí ngay các từ điển cũng không thể có một định nghĩa thống nhất. Chẳng hạn, từ điển Oxford English Dictionary thì cho rằng thông tin là điều mà người ta đánh giá hoặc nói đến; là tri thức, tin tức. Một số từ điển thì đơn giản đồng nhất thông tin với kiến thức – Thông tin là điều mà người ta biết, hoặc thông tin là sự chuyển giao tri thức làm tăng thêm sự hiểu biết của con người,… Nguyên nhân của sự khác nhau trong việc sử dụng thuật ngữ này chính là do thông tin không thể sờ mó được. Người ta bắt gặp thông tin chỉ trong quá trình hoạt động, thông qua các tác động trừu trượng của nó.

Theo thông tư 18/2018/TT-NHNN định nghĩa “Hệ thống thông tin là một tập hợp các trang thiết bị phần cứng, phần mềm, cơ sở dữ liệu và hệ thống mạng để tạo lập, truyền nhận, thu thập, xử lý, lưu trữ và trao đổi thông tin số phục vụ cho một hoặc nhiều hoạt động kỹ thuật, nghiệp vụ của tổ chức”. Theo nghĩa thông thường, thông tin là tất cả các sự kiện, sự việc, ý tưởng, phán đoán làm tăng thêm sự hiểu biết của con người. Thông tin hình thành trong quá trình giao tiếp: một người có thể nhận thông tin trực tiếp từ người khác thông qua các phương tiện thông tin đại chúng, từ các ngân hàng dữ liệu hoặc từ tất cả các hiện tượng quan sát được trong môi trường xung quanh. Đối với thông tin trong hoạt động là các thông tin liên quan đến chủ thẻ, thông tin trong thẻ và các thông tin khác liên quan đến hoạt động giao dịch thẻ.

Các loại thông tin 1.Loại thông tin căn cứ vào cấp quản lý 6 TIEU LUAN MOI download : [e-mail] - Thông tin từ trên xuống: đây là dòng thông tin đi từ những người ở cấp cao hơn xuống cấp thấp hơn trong tổ chức có phân cấp. - Thông tin từ dưới lên: Là thông tin từ cấp dưới lên cấp trên theo hệ thống phân cấp tổ chức. Các phương tiện đặc trưng của loại thông tin này là các báo cáo, các kháng nghị, khiếu nại, hệ thống góp ý,… - Thông tin chéo: Bao gồm dòng thông tin ngang với những người ở cùng cấp hay ở cấp tổ chức tương đương và dòng thông tin chéo với những người ở cấp khác nhau mà họ không có các mối quan hệ báo cáo trực tiếp. Loại thông tin căn cứ vào lĩnh vực hoạt động - Các thông tin về chính trị: Cung cấp tình hình chính trị trong nước và thế giới.

- Các thông tin về kinh tế: Cung cấp những dữ kiện số liệu biểu hiện sự biến động hay ổn định của nên kinh tế (tình hình cung cầu, giá cả các sản phẩm, nhịp độ cạnh tranh, các chỉ số của thị trường chứng khoán). - Thông tin văn hóa xã hội: Cho biết sự biến chuyển về văn hóa, xã hội của đất nước, của các vùng, miền, các dân tộc như: Quan điểm về lao động nữ, vai trò của người phụ nữ, phong cách sống, tâm lý tiêu dùng, dân số. - Thông tin khoa học kỹ thuật: phản ánh sự phát triển và đổi mới công nghệ củađất nước và thế giới. - Thông tin về tự nhiên môi trường: Đó là sự biến đổi của các yếu tố tự nhiên môi trường như: Điều kiện tự nhiên, khí hậu, nhiệt độ, độ ẩm, hạn lụt, ô nhiễm môi trường.

- Thông tin về an ninh quốc phòng: cho biết tình hình an ninh, quốc phòng của quốc gia và trên thế giới.Loại thông tin căn cứ theo tính chất đặc điểm sử dụng - Thông tin tra cứu: Là những thông tin đưa đến cho người nhận những nội dung có tính chất quy ước, những căn cứ để ra các quyết định. 7 TIEU LUAN MOI download : [e-mail] - Thông tin thông báo: Là các thông tin mang đến cho người tiếp nhận sự xác nhận, hiểu biết nhất định về một vấn đề nào đó để chủ động đề xuất các biện pháp quản lý và có hiệu quả.Loại thông tin Căn cứ vào tính chất pháp lý - Thông tin chính thức: Là các thông tin được công nhận một cách chính thức trong tổ chức. - Thông tin không chính thức: Là những thông tin không qua các kênh chính thức. Thông tin trong hoạt động ngân hàng Dựa vào thông tư số 18/2018/TT-NHNN ngày 28/12/2018 của Ngân hàng nhà nước quy định về an toàn hệ thống thông tin trong hoạt động ngân hàng.

Việc xác định các loại thông tin trong hoạt động ngân hàng được phân loại như sau: 1. Thông tin được phân loại theo thuộc tính bí mật - Thông tin công cộng là thông tin được công khai cho tất cả các đối tượng mà không cần xác định danh tính, địa chỉ cụ thể của các đối tượng đó; - Thông tin nội bộ là thông tin của tổ chức được phân quyền quản lý, khai thác cho một hoặc một nhóm đối tượng trong tổ chức được xác định danh tính; - Thông tin bí mật là thông tin: (i) Được xếp ở mức Mật theo quy định của tổ chức và hạn chế đối tượng được tiếp cận; (ii) Mật, Tối Mật, Tuyệt Mật theo quy định của pháp luật về bảo vệ bí mật nhà nước.Thông tin phân loại theo mức độ quan trọng của các Ngân hàng - Hệ thống thông tin thông thường (mức độ 1) là hệ thống thông tin phục vụ hoạt động nội bộ của các Ngân hàng hoặc phục vụ khách hàng nhưng không xử lý thông tin bí mật; - Hệ thống thông tin quan trọng (mức độ 2) là hệ thống thông tin có một trong các tiêu chí sau: (i) Hệ thống thông tin có xử lý thông tin bí mật; (ii) Hệ thống thông tin phục vụ hoạt động nội bộ hàng ngày của tổ chức và không chấp nhận ngừng vận 8 TIEU LUAN MOI download : [e-mail] hành quá 4 giờ làm việc; (iii) Hệ thống thông tin phục vụ khách hàng yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước; (iv) Hệ thống thông tin cung cấp dịch vụ giao dịch trực tuyến cho khách hàng; - Hệ thống thông tin đặc biệt quan trọng (mức độ 3) là hệ thống thông tin có một trong các tiêu chí sau: (i) Hệ thống thông tin quốc gia trong ngành Ngân hàng phục vụ phát triển Chính phủ điện tử, yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước; (ii) Hệ thống cơ sở hạ tầng thông tin dùng chung trong ngành Ngân hàng phục vụ hoạt động của các cơ quan, tổ chức trên phạm vi toàn quốc yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước; - Trong trường hợp hệ thống thông tin bao gồm nhiều hệ thống thành phần, mỗi hệ thống thành phần lại tương ứng với một mức độ quan trọng khác nhau, thì phân loại hệ thống thông tin xác định theo mức độ quan trọng của hệ thống thành phần cung cấp hoạt động kỹ thuật, nghiệp vụ chính. Tổng quan về bảo mật thông tin 1. Khái niệm về bảo mật thông tin Bảo mật thông tin là bảo vệ thông tin dữ liệu cá nhân, tổ chức nhằm tránh khỏi sự “đánh cắp, ăn cắp” bởi những kẻ xấu hoặc tin tặc.

An ninh thông tin cũng như sự bảo mật an toàn thông tin nói chung. Việc bảo mật tốt những dữ liệu và thông tin sẽ tránh những rủi ro không đáng có cho chính cá nhân và doanh nghiệp. Bảo mật thông tin là duy trì tính bảo mật, tính toàn vẹn toàn diện và tính sẵn sàng cho toàn bộ thông tin. Bốn yếu tố không thể tách rời trong việc bảo mật từ A đến Z thông tin là: + Tính bảo mật: Đảm bảo thông tin đó là duy nhất, những người muốn tiếp cận phải được phân quyền truy cập, ngăn ngừa việc làm lộ thông tin trái phép; + Tính toàn vẹn: Bảo vệ sự hoàn chỉnh toàn diện cho hệ thống thông tin, ngăn ngừa việc sửa đổi trái phép đối với thông tin; 9 TIEU LUAN MOI download : [e-mail] + Tính sẵn sàng:Việc bảo mật thông tin luôn phải sẵn sàng, có thể thực hiện bất cứ đâu, bất cứ khi nào, ngăn ngừa việc chiếm dụng trái phép thông tin hoặc tài nguyên.

Như vậy, Bảo mật thông tin (information security) là một chủ đề rộng bao gồm tất cả các vấn đề bảo mật có liên quan đến lưu trữ và xử lý thông tin. Lĩnh vực nghiên cứu chính của bảo mật thông tin gồm các vấn đề pháp lý như hệ thống chính sách, các quy định, yếu tố con người; các vấn đề thuộc tổ chức như kiểm toán xử lý dữ liệu điện tử, quản lý, nhận thức; và các vấn đề kỹ thuật như kỹ thuật mật mã, bảo mật mạng, công nghệ thẻ thông minh,… 1. Vai trò của bảo mật thông tin Ngày nay với sự phát triển bùng nổ của công nghệ thông tin, hầu hết các thông tin của các tổ chức, cá nhân đều được lưu trữ trên hệ thống máy tính. Cùng với sự phát triển của tổ chức là những đòi hỏi ngày càng cao của môi trường hoạt động cần phải chia sẻ thông tin của mình cho nhiều đối tượng khác nhau qua mạng.

Việc mất mát, rò rỉ thông tin có thể ảnh hưởng nghiêm trọng đến tài nguyên thông tin, tài chính, danh tiếng của tổ chức, cá nhân. Các phương thức tấn công thông qua mạng ngày càng tinh vi, phức tạp có thể dẫn đến mất mát thông tin, thậm chí có thể làm sụp đổ hoàn toàn hệ thống thông tin của tổ chức. Vì vậy, an toàn thông tin là nhiệm vụ quan trọng, nặng nề và khó đoán trước đối với các hệ thống thông tin. Thông tin, dữ liệu được ví như tài sản của mỗi chủ thể.

Nếu để quên hoặc làm mất ở đâu đó thì rất có thể thông tin sẽ bị mất, hoặc bị chiếm đoạt. Việc đảm bảo tính năng bảo mật thông tin là vô cùng quan trọng vì để mất mát, rò rỉ thông tin có thể ảnh hưởng nghiêm trọng đến tài chính, danh tiếng của công ty và quan hệ với khách hàng. Các nguy cơ mất an toàn thông tin - Nguy cơ mất an toàn thông tin về khía cạnh vật lý 10 TIEU LUAN MOI download : [e-mail] Nguy cơ mất an toàn thông tin về khía cạnh vật lý là nguy cơ do mất điện, nhiệt độ, độ ẩm không đảm bảo, hỏa hoạn, thiên tai, thiết bị phần cứng bị hư hỏng, các phần tử phá hoại như nhân viên xấu bên trong và kẻ trộm bên ngoài.