Dữ liệu ngân hàng đi qua nhiều điểm hơn một hệ thống giao dịch. Quá trình eKYC tạo dữ liệu định danh và sinh trắc học; hoạt động tín dụng, tài khoản và thanh toán tạo thêm lịch sử tài chính; ví điện tử, fintech, bảo hiểm, cloud, call center và CRM mở rộng luồng trao đổi với bên thứ ba. Trong bối cảnh đó, một kết nối kỹ thuật cũng là một quan hệ xử lý dữ liệu cần được hiểu và kiểm soát. Tuân thủ không thể tách rời an ninh: phishing, malware, ransomware, APT và tấn công chuỗi cung ứng đều có thể biến điểm yếu của tài khoản hoặc đối tác thành rủi ro đối với dữ liệu tài chính.
Dữ liệu tăng dần theo từng chặng dịch vụ
Hành trình bắt đầu từ định danh, nhưng nhanh chóng mở rộng sang sinh trắc học, tín dụng, tài khoản và giao dịch. Mỗi nhóm dữ liệu phục vụ một nghiệp vụ riêng, đồng thời có thể được tham chiếu tại call center, CRM hoặc các kết nối dịch vụ. Khi chỉ quản lý theo tên ứng dụng, ngân hàng dễ bỏ sót việc cùng một dữ liệu đã được sao chép, truyền hoặc sử dụng tại nhiều chặng.
Kiểm kê theo hành trình giúp trả lời bốn câu hỏi: dữ liệu nào được tạo, hệ thống nào tiếp nhận, bên nào có quyền dùng và mục đích nào đang được phục vụ. Đây là nền tảng để xác định phạm vi kiểm soát, thay vì mặc định mọi dữ liệu trong cùng một hồ sơ khách hàng có thể được dùng theo cùng một cách.
Bên thứ ba làm thay đổi bề mặt rủi ro
Ví điện tử, fintech, bảo hiểm, dịch vụ cloud, call center và CRM tạo ra một hệ sinh thái có nhiều bên tham gia. Mỗi kết nối có thể cần dữ liệu khác nhau và có cách lưu trữ hoặc truy cập khác nhau. Vì vậy, việc kết nối thành công về kỹ thuật chưa đủ để kết luận luồng dữ liệu đã được quản trị đầy đủ.
Tấn công chuỗi cung ứng là một trong các mối đe dọa được nguồn nêu cùng phishing, malware, ransomware và APT. Điểm chung là rủi ro có thể bắt đầu ngoài hệ thống lõi nhưng tác động đến tài khoản, giao dịch hoặc thông tin nhận diện. Ngân hàng cần nhìn rủi ro của đối tác trong cùng bức tranh với rủi ro nội bộ, không tách thành một phần kiểm tra hình thức.
- Xác định chính xác loại dữ liệu được chia sẻ cho từng đối tác.
- Ghi nhận mục đích và phạm vi sử dụng tại mỗi kết nối.
- Theo dõi nơi dữ liệu được lưu hoặc xử lý sau khi rời hệ thống nguồn.
- Đưa dấu hiệu bất thường từ kết nối đối tác vào hoạt động giám sát liên tục.
Bảo mật và quyền riêng tư phải dùng chung bằng chứng
Dữ liệu tài chính có thể bị lợi dụng cho chiếm đoạt tài khoản, mạo danh và gian lận. Kiểm soát bảo mật vì thế cần hướng đến khả năng phát hiện và ngăn hành vi truy cập trái phép. Nhưng ngân hàng còn phải chứng minh dữ liệu được thu thập, chia sẻ và sử dụng đúng phạm vi. Một hệ thống không bị xâm nhập vẫn có thể tồn tại rủi ro quản trị nếu quyền truy cập hoặc mục đích xử lý không rõ ràng.
Nghị định 356/2025/NĐ-CP được nguồn đặt trong bối cảnh yêu cầu ngân hàng chứng minh đồng thời hai năng lực. Bằng chứng nên kết nối danh mục dữ liệu, quyền truy cập, luồng đối tác và kết quả giám sát. Khi một thay đổi xảy ra ở eKYC, CRM hay dịch vụ cloud, hồ sơ quản trị cũng cần phản ánh thay đổi đó thay vì giữ nguyên theo cấu hình cũ.
Checklist điều hành cho từng luồng dữ liệu
Một chương trình khả thi có thể bắt đầu từ các luồng có dữ liệu định danh, sinh trắc học, tín dụng, tài khoản và giao dịch. Với mỗi luồng, đội phụ trách ghi rõ hệ thống nguồn, hệ thống nhận, đối tác tham gia, quyền truy cập và hoạt động giám sát. Cách trình bày theo luồng giúp lãnh đạo nhìn thấy nơi trách nhiệm bị đứt đoạn giữa nghiệp vụ, công nghệ và nhà cung cấp.
Mục tiêu không phải tạo thêm một danh sách tuân thủ độc lập, mà là biến quản trị dữ liệu thành một phần của vận hành thường xuyên. Khi kết nối mới được mở, đối tác thay đổi hoặc dữ liệu được dùng thêm tại call center và CRM, ngân hàng cần cập nhật bản đồ và kiểm soát tương ứng. Đây là cách giảm khoảng trống giữa tài liệu quyền riêng tư và trạng thái an ninh thực tế.
- Kiểm kê dữ liệu theo hành trình từ eKYC đến giao dịch và chăm sóc khách hàng.
- Gắn mỗi kết nối với một chủ sở hữu nghiệp vụ và một đầu mối kỹ thuật.
- Rà quyền truy cập trên hệ thống nội bộ và hệ thống do bên thứ ba tham gia.
- Theo dõi phishing, malware, ransomware, APT và dấu hiệu từ chuỗi cung ứng.
- Lưu bằng chứng về kiểm soát chia sẻ và hoạt động giám sát an ninh liên tục.