Tổng quan nghiên cứu

Thị trường chứng khoán Việt Nam chính thức đi vào hoạt động từ năm 1998 theo Nghị định số 48/CP và đánh dấu bước chuyển mình quan trọng khi Trung tâm Giao dịch Chứng khoán TP.HCM chuyển đổi thành Sở Giao dịch Chứng khoán TP.HCM (HOSE) theo Quyết định số 599/QĐ-TTg ngày 11/05/2007 của Thủ tướng Chính phủ. Trải qua hơn 15 năm phát triển, hệ thống công nghệ thông tin (CNTT) của HOSE trở thành huyết mạch điều hành các phiên giao dịch cho gần 90 công ty chứng khoán thành viên cùng hàng triệu nhà đầu tư trong và ngoài nước. Tuy nhiên, việc đầu tư hạ tầng phân tán qua nhiều thời kỳ mà không có quy hoạch tổng thể ngay từ đầu đã làm phát sinh nhiều rủi ro vận hành nghiêm trọng.

Vấn đề cốt lõi của HOSE nằm ở chỗ các quy trình xử lý sự cố được xây dựng đơn lẻ cho từng hệ thống kỹ thuật riêng biệt, vận hành chủ yếu dựa trên kinh nghiệm cá nhân và thiếu vắng bộ chỉ số đo lường hiệu năng (KPI). Điều này dẫn tới nguy cơ gián đoạn giao dịch toàn thị trường, gây tổn hại trực tiếp đến uy tín của Sở và quyền lợi của các định chế tài chính.

Mục tiêu trọng tâm của nghiên cứu là khảo sát, đánh giá toàn diện hiện trạng quản trị vận hành; từ đó ứng dụng khung thư viện ITIL V3 phiên bản 2011 kết hợp tham chiếu tiêu chuẩn quốc tế ISO/IEC 20000 để thiết lập một quy trình quản lý sự cố duy nhất, chuẩn hóa cho toàn bộ hệ thống dịch vụ CNTT tại HOSE.

Nghiên cứu được triển khai thực địa tại Phòng CNTT thuộc HOSE trong khung thời gian từ tháng 01/2015 đến tháng 12/2015. Kết quả nghiên cứu không chỉ giúp xác lập các chỉ số KPI kiểm soát thời gian khắc phục sự cố, giảm thiểu thời gian ngưng trệ hệ thống xuống mức tối thiểu, mà còn tư vấn số hóa quy trình trên nền tảng phần mềm chuyên dụng HPSM, hướng tới mục tiêu duy trì tỷ lệ sẵn sàng dịch vụ đạt trên 99.9%.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu xây dựng trên nền tảng tích hợp giữa Thư viện Cơ sở hạ tầng Công nghệ Thông tin (ITIL V3 phiên bản 2011) và Tiêu chuẩn Quản lý Dịch vụ CNTT ISO/IEC 20000:2005. Khung ITIL V3 tiếp cận quản trị công nghệ theo mô hình vòng đời dịch vụ gồm 5 giai đoạn cốt lõi: Chiến lược dịch vụ (Service Strategy), Thiết kế dịch vụ (Service Design), Chuyển đổi dịch vụ (Service Transition), Vận hành dịch vụ (Service Operation), và Cải tiến dịch vụ liên tục (Continual Service Improvement), bao quát 24 quy trình cùng 4 chức năng vận hành chính.

Bên cạnh đó, tiêu chuẩn ISO/IEC 20000:2005 cung cấp phương pháp luận kiểm soát chất lượng qua chu trình Deming kinh điển (Plan - Do - Check - Act). Mô hình này tạo cầu nối chuẩn hóa giữa hệ thống quản lý chất lượng ISO 9000 và các thực hành tốt nhất của ITIL. Luận văn cũng tiến hành so sánh đối chiếu với khung quản trị COBIT do ISACA ban hành và Tiêu chuẩn An toàn Thông tin TCVN ISO 27001:2009.

Các khái niệm then chốt được chuẩn hóa bao gồm:

  • Sự cố (Incident): hiện tượng suy giảm chất lượng hoặc gián đoạn dịch vụ ngoài kế hoạch;
  • Sự cố nghiêm trọng (Major Incident): sự cố gây ảnh hưởng nghiêm trọng tới các phiên giao dịch trực tiếp;
  • Bàn dịch vụ (Service Desk): điểm tiếp xúc duy nhất giữa người dùng và bộ phận kỹ thuật;
  • Thỏa thuận mức dịch vụ (SLA);
  • Đơn vị cấu hình (Configuration Item - CI);
  • Ma trận phân định trách nhiệm RACI (Responsible, Accountable, Consulted, Informed).

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp khảo sát toàn diện (comprehensive sampling) kết hợp phân tích khoảng cách (Gap Analysis) và đánh giá định lượng thông qua hệ thống KPI. Cỡ mẫu nghiên cứu bao gồm toàn bộ 41 tài liệu quy trình và hướng dẫn vận hành nội bộ, trong đó có 9 quy trình xử lý sự cố đang áp dụng phân tán tại các tổ chuyên trách. Về hạ tầng vật lý, mẫu khảo sát bao quát 100% tài sản công nghệ trọng yếu gồm 11 máy chủ giao dịch chính, 16 máy chủ Back-Office, toàn bộ hệ thống mạng định tuyến Cisco và hạ tầng trung tâm dữ liệu tại HOSE.

Lý do lựa chọn phương pháp phân tích khoảng cách và kiểm toán tài liệu toàn diện là nhằm bộc lộ triệt để các lỗ hổng kỹ thuật, sự chồng chéo chức năng giữa các phòng ban mà phương pháp lấy mẫu xác suất không thể phản ánh hết. Dữ liệu sự cố được thu thập, phân loại theo cấp độ tác động và mức độ khẩn cấp trong giai đoạn 12 tháng (từ tháng 01/2015 đến tháng 12/2015). Phương pháp phân tích thống kê mô tả được sử dụng để so sánh các chỉ số vận hành trước và sau thời điểm ban hành quy trình chuẩn ITIL V3.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Khảo sát hiện trạng hạ tầng và quy trình tại HOSE trước khi áp dụng ITIL đã chỉ ra 4 nhóm hạn chế kỹ thuật lớn:

Thứ nhất, hạ tầng phòng máy chủ và trung tâm dữ liệu tồn tại nhiều điểm nghẽn nghiêm trọng. Phòng máy chủ đặt tại tầng 1 tòa nhà cũ chưa có sàn nâng kỹ thuật; phòng điều hành mạng (NOC) thông trực tiếp với phòng máy gây ô nhiễm tiếng ồn. Trở kháng hệ thống tiếp địa đo được chưa đạt ngưỡng an toàn dưới 5Ω theo khuyến nghị của chuẩn ANSI/TIA-942. Hệ thống làm lạnh chưa có cơ chế điều hòa tập trung chuyên dụng, phụ thuộc vào hệ thống lạnh chung của tòa nhà và mất khả năng tự khởi động khi xảy ra mất điện sau 17 giờ.

Thứ hai, tính đồng nhất của hệ thống máy chủ và an toàn phần mềm ở mức thấp. Toàn bộ 11 máy chủ giao dịch (chạy các hệ điều hành khác nhau như AIX, OpenVMS, Windows Server 2003) và 16 máy chủ Back-Office đều trang bị từ những năm 2000, đã hết hạn bảo hành của hãng và không có hệ thống đồng bộ thời gian chuẩn. Các ứng dụng nội bộ phát triển trên nền tảng Visual Studio 2005 và .NET 2.0 cũ, thiếu cơ chế mã hóa mật khẩu trong cơ sở dữ liệu và hoàn toàn không có module ghi nhật ký kiểm toán (audit log), đối mặt với nguy cơ tấn công SQL Injection và Buffer Overflow.

Thứ ba, sự phân mảnh trong cấu trúc quản lý sự cố. Việc thống kê cho thấy có tới 9 quy trình xử lý sự cố vận hành độc lập giữa nhóm mạng, nhóm hệ thống và nhóm ứng dụng. Do thiếu vắng Bàn dịch vụ (Service Desk) đóng vai trò đầu mối tiếp nhận tập trung, các yêu cầu xử lý từ gần 90 công ty chứng khoán thành viên thường bị chậm trễ hoặc chuyển nhầm đơn vị, kéo dài thời gian phục hồi dịch vụ.

Thứ tư, sau khi tái cấu trúc quy trình theo khung ITIL V3 và phân định trách nhiệm qua ma trận RACI, các chỉ số vận hành được cải thiện rõ rệt. Tỷ lệ sự cố được ghi nhận và phân loại chuẩn xác đạt 100%, thời gian phản hồi ban đầu rút ngắn đáng kể, các sự cố nghiêm trọng ảnh hưởng đến hệ thống giao dịch CTCI và PRS được kiểm soát chặt chẽ theo lưu đồ xử lý khẩn cấp.

Thảo luận kết quả

Nguyên nhân sâu xa của các tồn tại nêu trên là do trong suốt 15 năm đầu phát triển, HOSE tập trung mở rộng quy mô giao dịch nhanh chóng nhưng chưa kịp thiết lập khung quản trị dịch vụ công nghệ thông tin (ITSM) tương xứng. Các quy trình cũ mang tính bị động, chỉ được ban hành chắp vá sau khi sự cố kỹ thuật đã xảy ra.

Kết quả nghiên cứu có thể được trực quan hóa rõ nét thông qua biểu đồ tròn so sánh tỷ trọng phân loại sự cố trước và sau khi triển khai ITIL. Trong đó, tỷ lệ các sự cố mức độ ưu tiên cao (P1, P2) được cô lập và khắc phục nhanh chóng nhờ quy trình leo thang (escalation) rõ ràng. Đồng thời, bảng tổng hợp chỉ số KPI cho thấy thời gian phục hồi dịch vụ trung bình (MTTR) giảm mạnh so với giai đoạn vận hành thủ công trước năm 2015.

Phát hiện này hoàn toàn tương đồng với các nghiên cứu triển khai ITSM tại các tổ chức ngân hàng lớn tại Việt Nam như VPBank, Techcombank và VIB, khẳng định rằng việc chuẩn hóa quy trình theo ITIL là giải pháp bắt buộc để tối ưu hóa năng suất vận hành và giảm thiểu rủi ro hoạt động trong ngành tài chính.

Đề xuất và khuyến nghị

Dựa trên kết quả đánh giá thực nghiệm, luận văn đề xuất 4 nhóm giải pháp chiến lược nhằm hoàn thiện quản trị dịch vụ CNTT tại HOSE:

  1. Chuẩn hóa hạ tầng trung tâm dữ liệu theo tiêu chuẩn quốc tế: Ban Quản lý Tòa nhà và Phòng CNTT cần tiến hành cải tạo phòng máy chủ, tách biệt hoàn toàn phòng NOC và phòng đặt bộ lưu điện UPS. Xây dựng hệ thống tiếp đất đạt trở kháng dưới 5Ω, lắp đặt hệ thống phân phối luồng khí nóng/lạnh độc lập và hệ thống chữa cháy khí sạch CO2/FM200 tự động nhằm đáp ứng đầy đủ tiêu chuẩn ANSI/TIA-942 trong thời hạn 12 tháng.

  2. Triển khai tự động hóa quy trình quản trị dịch vụ qua phần mềm ITMS: Chấm dứt hoàn toàn việc theo dõi, ghi chép sự cố thủ công bằng sổ sách hoặc email phân tán. Đưa vào vận hành chính thức gói giải pháp phần mềm HP Service Manager (HPSM) do HP Việt Nam cung cấp trong quý tiếp theo. Hệ thống phần mềm mới phải tích hợp đầy đủ cơ sở dữ liệu quản lý cấu hình (CMDB) và tự động hóa điều hướng ticket theo ma trận ưu tiên, hướng tới mục tiêu giảm 30% thời gian xử lý sự cố.

  3. Chuyên nghiệp hóa bộ phận Service Desk và áp dụng ma trận phân quyền RACI: Thiết lập Bàn dịch vụ đóng vai trò điểm tiếp xúc duy nhất tiếp nhận sự cố 24/7 từ các phòng ban nội bộ và gần 90 công ty chứng khoán thành viên. Phân định rõ thẩm quyền xử lý giữa Cán bộ kỹ thuật, Trưởng nhóm và Lãnh đạo Phòng CNTT theo mô hình RACI, ban hành cam kết SLA chi tiết cho từng loại dịch vụ giao dịch trực tuyến.

  4. Hiện đại hóa ứng dụng và nâng cấp an toàn thông tin: Lên kế hoạch tái cấu trúc mã nguồn các ứng dụng nội bộ, chuyển đổi từ nền tảng .NET 2.0 sang các framework mới có bản quyền. Kích hoạt tính năng mã hóa dữ liệu xác thực người dùng và xây dựng hệ thống ghi log kiểm toán tập trung nhằm tuân thủ Luật Công nghệ thông tin 2006 và tiêu chuẩn TCVN ISO 27001:2009 trong vòng 6 tháng.

Đối tượng nên tham khảo luận văn

Nội dung và kết quả nghiên cứu của luận văn mang lại giá trị tham khảo thiết thực cho 4 nhóm đối tượng:

  • Giám đốc Công nghệ Thông tin (CIO/CTO) và Quản lý Dịch vụ CNTT: Tài liệu cung cấp lộ trình thực tiễn để chuyển đổi từ mô hình quản trị CNTT phân mảnh sang chuẩn mực ITIL V3 và ISO/IEC 20000 trong môi trường tài chính đòi hỏi tính liên tục cao.
  • Kỹ sư hệ thống và Chuyên viên vận hành sàn giao dịch chứng khoán: Luận văn là cẩm nang chi tiết mô tả 41 quy trình vận hành và hướng dẫn khắc phục sự cố đặc thù cho các cổng giao dịch CTCI, hệ thống phân phối thông tin PRS Receiver và máy chủ cơ sở dữ liệu.
  • Chuyên gia tư vấn chuyển đổi số và Đánh giá an toàn thông tin: Cung cấp khung đánh giá khoảng cách hạ tầng trung tâm dữ liệu theo chuẩn ANSI/TIA-942, TCVN ISO 27001:2009 và phương pháp thiết lập chỉ số KPI định lượng hiệu năng quản trị.
  • Giảng viên và Học viên cao học chuyên ngành Hệ thống thông tin quản lý: Công trình là một case study điển hình về việc ứng dụng lý thuyết quản trị dịch vụ quốc tế vào giải quyết bài toán vận hành thực tế tại một định chế tài chính đầu ngành ở Việt Nam.

Câu hỏi thường gặp

Tại sao HOSE lựa chọn khung ITIL V3 thay vì COBIT hay ISO 20000 đơn thuần? ITIL V3 tập trung chuyên sâu vào các quy trình hỗ trợ và cung cấp dịch vụ CNTT thực tế với tính khả thi cao. Trong khi COBIT thiên về kiểm soát quản trị cấp cao và ISO 20000 đưa ra các yêu cầu chứng nhận nghiêm ngặt, ITIL V3 cung cấp các tài liệu hướng dẫn thực hành tốt nhất, phù hợp với năng lực đội ngũ kỹ thuật hiện có và tối ưu hóa chi phí đầu tư triển khai tại HOSE.

Quy trình quản lý sự cố mới tại HOSE phân loại mức độ ưu tiên như thế nào? Quy trình mới xác định mức độ ưu tiên dựa trên ma trận kết hợp giữa phạm vi ảnh hưởng (Impact) và mức độ khẩn cấp (Urgency). Sự cố được chia thành 4 cấp độ rõ rệt. Những sự cố làm ngưng trệ cổng giao dịch CTCI hoặc mất kết nối mạng diện rộng tới các công ty chứng khoán được định danh là Sự cố nghiêm trọng (Major Incident) và kích hoạt quy trình xử lý khẩn cấp của Lãnh đạo Sở.

Mô hình RACI giải quyết xung đột trách nhiệm trong vận hành CNTT ra sao? Trước đây, 9 quy trình phân tán khiến các nhóm đùn đẩy trách nhiệm khi xảy ra sự cố liên tầng. Mô hình RACI phân định minh bạch 4 vai trò cho từng bước: Người thực thi (R), Người chịu trách nhiệm phê duyệt (A), Người tư vấn kỹ thuật (C), và Người nhận thông báo (I), giúp loại bỏ hoàn toàn tình trạng chồng chéo và rút ngắn thời gian điều phối liên phòng ban.

Luận văn sử dụng công cụ nào để tự động hóa quy trình quản lý sự cố? Nghiên cứu tư vấn triển khai giải pháp phần mềm HP Service Manager (HPSM) do HP Việt Nam phát triển. Nền tảng này giúp số hóa toàn bộ quy trình ghi nhận sự cố, theo dõi vòng đời ticket, quản lý đơn vị cấu hình (CI) và đo lường tự động các chỉ số KPI thay thế cho việc ghi chép sổ sách thủ công trước đó.

Mô hình quy trình của luận văn có thể nhân rộng sang các đơn vị nào khác? Quy trình và bài học kinh nghiệm trong luận văn hoàn toàn có thể chuyển giao áp dụng trực tiếp cho Trung tâm Dữ liệu Dự phòng (TTDLDP) của HOSE, Sở Giao dịch Chứng khoán Hà Nội (HNX), Trung tâm Lưu ký Chứng khoán (VSD), cũng như hệ thống hạ tầng CNTT của gần 90 công ty chứng khoán thành viên trên thị trường.

Kết luận

  • Luận văn đã tổng hợp và đánh giá toàn diện hiện trạng 41 quy trình vận hành cùng hệ thống hạ tầng 27 máy chủ trọng yếu tại HOSE sau 15 năm phát triển.
  • Xác định rõ các lỗ hổng kỹ thuật về an toàn điện trở tiếp địa theo chuẩn ANSI/TIA-942, nguy cơ bảo mật từ nền tảng .NET 2.0 và sự phân tán của 9 quy trình sự cố cũ.
  • Ứng dụng thành công khung ITIL V3 và tiêu chuẩn ISO/IEC 20000 để xây dựng một quy trình quản lý sự cố thống nhất, chuyên nghiệp hóa vai trò Service Desk.
  • Thiết lập hệ thống đo lường hiệu năng bằng KPI và ma trận phân quyền RACI, tạo nền tảng vững chắc để triển khai phần mềm quản lý HPSM.
  • Đóng góp giải pháp giảm thiểu rủi ro vận hành, đảm bảo tính liên tục cho thị trường tài chính và mở rộng ứng dụng cho gần 90 công ty chứng khoán thành viên.

Về kế hoạch tiếp theo, HOSE cần khẩn trương hoàn thành việc nâng cấp hạ tầng Trung tâm Dữ liệu và Trung tâm Dữ liệu Dự phòng trong vòng 6 đến 12 tháng tới, đồng thời tiếp tục nghiên cứu mở rộng áp dụng ITIL cho các quy trình Quản lý Thay đổi (Change Management) và Quản lý Cấu hình (Configuration Management). Các tổ chức tài chính, doanh nghiệp và nhà nghiên cứu quan tâm có thể khai thác tài liệu này làm chuẩn tham chiếu để chuẩn hóa hạ tầng dịch vụ CNTT theo thông lệ quốc tế.