An ninh dữ liệu trong bối cảnh gia tăng kết nối, chia sẻ dữ liệu ngân hàng: Yêu cầu pháp lý và hàm ý quản trị tại Việt Nam

1. Đặt vấn đề

Dữ liệu ngày càng giữ vai trò quan trọng trong hoạt động ngân hàng, từ nhận diện khách hàng, đánh giá tín dụng đến phát hiện gian lận và phát triển sản phẩm. Xu hướng ngân hàng mở, tài chính nhúng và hợp tác với các công ty công nghệ tài chính (Fintech) tạo điều kiện để dữ liệu được khai thác hiệu quả hơn. Tuy nhiên, lợi ích của kết nối chỉ có thể duy trì khi việc chia sẻ dữ liệu đi kèm cơ chế kiểm soát phù hợp.

Thông tư số 64/2024/TT-NHNN đặt ra khuôn khổ triển khai Open API trong ngành Ngân hàng. Việc chuẩn hóa phương thức kết nối là bước tiến cần thiết, nhưng không đồng nghĩa mọi rủi ro đã được kiểm soát. Một dữ liệu có thể được ngân hàng cung cấp cho đối tác, xử lý trên hạ tầng đám mây và tiếp tục được sử dụng bởi nhà thầu phụ. Trong chuỗi đó, ngân hàng khó giám sát đầy đủ nếu chỉ tập trung bảo vệ hệ thống nội bộ và điểm truyền nhận ban đầu.

Vì vậy, vấn đề đặt ra không phải là hạn chế chia sẻ dữ liệu, mà là chia sẻ đến đâu, cho ai, phục vụ mục đích gì và ai chịu trách nhiệm khi xảy ra sự cố. Trên cơ sở đó, bài viết nhận diện các rủi ro nổi bật trong môi trường ngân hàng kết nối, rà soát các yêu cầu pháp lý liên quan và đề xuất một số hướng quản trị phù hợp với điều kiện triển khai tại Việt Nam.

Đối với ngân hàng, tính nhạy cảm của dữ liệu không chỉ nằm ở từng thông tin riêng lẻ mà còn ở khả năng kết hợp dữ liệu từ nhiều nghiệp vụ. Thông tin định danh, số dư, lịch sử giao dịch và hành vi sử dụng dịch vụ khi được liên kết có thể phản ánh rõ tình hình tài chính và thói quen của khách hàng. Vì vậy, việc bảo vệ dữ liệu cần căn cứ vào cả bối cảnh sử dụng và các chủ thể có quyền tiếp cận, thay vì chỉ dựa trên loại dữ liệu.

Ảnh minh họa (Nguồn: baochinhphu.vn)

2. Những rủi ro chủ yếu khi kết nối, chia sẻ dữ liệu ngân hàng

Rủi ro trong kết nối và chia sẻ với bên thứ ba

Open API tạo điều kiện để ngân hàng chia sẻ dữ liệu với Fintech, trung gian thanh toán và các đối tác dịch vụ nhưng cũng làm gia tăng rủi ro nếu phạm vi chia sẻ, thời hạn cấp quyền và mục đích sử dụng không được kiểm soát chặt chẽ. Các giao diện không được kiểm kê, phiên bản cũ chưa thu hồi hoặc quyền truy cập vượt quá nhu cầu đều có thể trở thành điểm yếu.

Rủi ro còn đến từ việc đối tác chuyển dữ liệu cho đơn vị lưu trữ, phân tích hoặc nhà thầu phụ. Thông tư số 64/2024/TT-NHNN đặt nền tảng cho quản lý kết nối và bên thứ ba, đòi hỏi ngân hàng chú trọng kiểm soát việc chia sẻ tiếp, thời hạn lưu giữ và chấm dứt quyền sử dụng dữ liệu.

Ngay từ khi thiết kế sản phẩm, ngân hàng cần xác định dữ liệu thực sự cần thiết, cách thông báo cho khách hàng, thời hạn duy trì kết nối và cơ chế thu hồi quyền truy cập. Mọi đề xuất mở rộng phạm vi dữ liệu hoặc mục đích sử dụng cần được đánh giá lại, tránh việc quyền truy cập tăng dần mà thiếu kiểm soát tổng thể.

Rủi ro sử dụng dữ liệu ngoài phạm vi cho phép

Không phải trường hợp sử dụng sai dữ liệu nào cũng bắt nguồn từ truy cập trái phép. Đối tác có thể được cấp quyền hợp lệ để cung cấp một dịch vụ, nhưng sau đó dùng chính dữ liệu ấy cho tiếp thị, phân tích hành vi hoặc xây dựng mô hình chấm điểm khác với mục đích ban đầu.

Rủi ro tăng lên khi dữ liệu giao dịch, định danh và hành vi số từ nhiều nguồn được kết hợp, tạo ra thông tin vượt quá phạm vi khách hàng đã biết hoặc đồng ý. Ngân hàng cần lưu bằng chứng cấp quyền, theo dõi mục đích xử lý, giới hạn thời gian sử dụng và duy trì khả năng thu hồi quyền.

Rủi ro lan truyền từ chuỗi cung ứng công nghệ

Rủi ro chuỗi cung ứng có thể phát sinh từ các nhà cung cấp phần mềm, dịch vụ xác thực, điện toán đám mây hoặc công cụ giám sát. Khi một thành phần bị xâm nhập hoặc gián đoạn, sự cố có thể lan sang nhiều dịch vụ ngân hàng, ngay cả khi dữ liệu chưa bị chia sẻ vượt phạm vi cho phép.

Ngân hàng cần kiểm soát quyền quản trị, giám sát thay đổi, yêu cầu thông báo sự cố và chuẩn bị phương án duy trì hoạt động hoặc thay thế nhà cung cấp, đặc biệt với dịch vụ trọng yếu. Đồng thời, cần đánh giá khả năng chuyển đổi dịch vụ, phục hồi dữ liệu và hạn chế sự phụ thuộc vào một số nhà cung cấp để bảo đảm hoạt động liên tục khi xảy ra sự cố.

Rủi ro trong phát triển và ứng dụng AI

Ứng dụng AI trong đánh giá tín dụng, phát hiện gian lận và chăm sóc khách hàng làm gia tăng nhu cầu khai thác dữ liệu, kéo theo rủi ro thu thập quá mức, sử dụng dữ liệu sai mục đích hoặc để lộ dữ liệu qua nền tảng AI bên ngoài. Bên cạnh đó, dữ liệu sai lệch có thể dẫn đến quyết định bất lợi cho khách hàng, trong khi AI tạo sinh làm tăng nguy cơ giả mạo và lừa đảo. Vì vậy, ngân hàng cần kiểm soát nguồn dữ liệu, mục đích sử dụng, chất lượng và quá trình xử lý; đồng thời bảo đảm khả năng giải thích kết quả, xác định trách nhiệm giám sát của con người và kiểm tra bổ sung đối với các quyết định ảnh hưởng trực tiếp đến khách hàng.

Rủi ro trong xử lý dữ liệu xuyên biên giới

Khi ngân hàng sử dụng điện toán đám mây hoặc dịch vụ công nghệ quốc tế, dữ liệu có thể được lưu trữ, xử lý và hỗ trợ kỹ thuật tại nhiều quốc gia. Thách thức không chỉ nằm ở nơi lưu trữ mà còn ở việc xác định ai được tiếp cận, dữ liệu có bao nhiêu bản sao và cách xử lý khi xảy ra sự cố.

Rủi ro tăng lên khi nhà cung cấp chính sử dụng nhiều nhà thầu phụ mà ngân hàng không trực tiếp kiểm soát. Do đó, ngân hàng cần lập bản đồ luồng dữ liệu, xác định trách nhiệm, quyền kiểm tra theo hợp đồng và phạm vi tiếp cận dữ liệu của các bên liên quan. Đồng thời, cần bảo đảm khả năng hạn chế, thu hồi hoặc xóa dữ liệu, lưu giữ chứng cứ và phối hợp xử lý sự cố.

Rủi ro nội bộ trong quản lý quyền truy cập

Rủi ro nội bộ có thể phát sinh từ sai sót trong xử lý dữ liệu, gửi nhầm thông tin hoặc cố ý sử dụng quyền truy cập sai mục đích. Đáng chú ý, quyền truy cập có thể tích lũy khi nhân sự chuyển vị trí hoặc được cấp quyền tạm thời, dẫn đến truy cập vượt quá nhiệm vụ. Vì vậy, ngân hàng cần cấp quyền theo vị trí việc làm, rà soát và thu hồi kịp thời; đồng thời quy định rõ người phê duyệt, thời hạn hiệu lực và việc kiểm tra sau sử dụng đối với các quyền truy cập khẩn cấp, nhằm hạn chế khoảng trống giữa quy trình nhân sự và hệ thống công nghệ.

3. Khung pháp lý và những yêu cầu đặt ra đối với ngân hàng

Khuôn khổ pháp lý về an ninh dữ liệu tại Việt Nam đang được hình thành từ nhiều nhóm quy định có phạm vi điều chỉnh khác nhau.

Luật An ninh mạng năm 2025, Nghị định số 333/2026/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng và Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân đặt ra các yêu cầu về bảo đảm an ninh và xử lý vi phạm.

Luật Dữ liệu năm 2024, Nghị định số 165/2025/NĐ-CP cùng danh mục dữ liệu quan trọng, dữ liệu cốt lõi lại liên quan trực tiếp đến việc phân loại dữ liệu và xác định mức độ bảo vệ.

Đối với dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định số 356/2025/NĐ-CP yêu cầu chú trọng căn cứ xử lý, mục đích sử dụng, quyền của chủ thể dữ liệu và trách nhiệm của các bên tham gia. Trong lĩnh vực ngân hàng, những yêu cầu này cần được áp dụng cả khi dữ liệu đã được chuyển cho đối tác.

Tương tự, Luật AI năm 2025 và Nghị định số 142/2026/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật AI cho thấy quản trị dữ liệu không thể tách rời quản trị mô hình AI, nhất là đối với hệ thống tác động đến quyền lợi khách hàng. Thông tư số 53/2026/TT-NHNN của NHNN quy định về an toàn, quản lý rủi ro và điều kiện triển khai đối với việc ứng dụng hệ thống AI trong ngành Ngân hàng bổ sung các yêu cầu về quản lý rủi ro, bảo đảm an toàn và giám sát việc ứng dụng AI trong hoạt động ngân hàng. Theo đó, ngân hàng cần kiểm soát dữ liệu sử dụng, đánh giá rủi ro của hệ thống AI và quản lý trách nhiệm của các bên liên quan, bao gồm cả nhà cung cấp dịch vụ bên ngoài.

Bên cạnh các quy định đã ban hành, dự thảo Luật An ninh dữ liệu đặt ra yêu cầu tiếp tục đồng bộ chính sách. Vấn đề cần lưu ý là tránh trùng lặp trong phân loại, đánh giá và báo cáo giữa các nhóm pháp luật và quy định chuyên ngành. Đối với tổ chức tín dụng, một tập dữ liệu có thể đồng thời là dữ liệu cá nhân nhạy cảm và dữ liệu quan trọng; nếu mỗi bộ phận quản lý một danh mục riêng, việc áp dụng kiểm soát dễ thiếu nhất quán. Vì vậy, ngân hàng cần có một danh mục dữ liệu thống nhất, chỉ rõ yêu cầu pháp lý áp dụng, bộ phận chịu trách nhiệm và bằng chứng tuân thủ tương ứng; đồng thời liên kết danh mục này với danh mục hệ thống AI và cơ chế quản lý rủi ro liên quan để bảo đảm tính nhất quán trong quản trị và tuân thủ.

Trong quá trình thực hiện, khó khăn đáng kể là các nghĩa vụ báo cáo, kiểm soát và lưu bằng chứng có thể được giao cho nhiều đầu mối khác nhau. Nếu mỗi đơn vị vận hành một hệ thống theo dõi riêng, thông tin dễ bị phân tán và khó đối chiếu khi có yêu cầu kiểm tra. Do đó, cần phân định rõ trách nhiệm giữa đơn vị kinh doanh, công nghệ, an ninh thông tin, quản trị rủi ro và pháp chế; đồng thời thống nhất hồ sơ tuân thủ ở cấp tổ chức. Việc này không thay thế các yêu cầu chuyên ngành, mà giúp ngân hàng đáp ứng những yêu cầu đó trên cơ sở dữ liệu và bằng chứng nhất quán.

Kinh nghiệm quốc tế cho thấy, bảo vệ dữ liệu trong lĩnh vực ngân hàng không chỉ là yêu cầu tuân thủ pháp lý hay giải pháp kỹ thuật, mà cần được tích hợp vào toàn bộ quá trình thiết kế sản phẩm, quản trị rủi ro và lựa chọn đối tác. Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu nhấn mạnh nguyên tắc bảo vệ dữ liệu ngay từ khâu thiết kế và theo mặc định. Trong lĩnh vực ngân hàng mở, Chỉ thị Dịch vụ Thanh toán lần thứ hai của Liên minh Châu Âu (PSD2) cùng các yêu cầu về xác thực mạnh và giao tiếp an toàn cho thấy vai trò của việc quản lý bên thứ ba. Tại Singapore, hướng dẫn quản trị rủi ro công nghệ của Cơ quan Tiền tệ Singapore đặt trách nhiệm giám sát không chỉ ở bộ phận công nghệ mà còn ở cấp quản lý tổ chức.

Điểm có thể tham khảo không phải sao chép từng yêu cầu kỹ thuật, mà là cách xác lập trách nhiệm rõ ràng, phân loại đối tác theo rủi ro và đưa kiểm soát dữ liệu vào ngay từ khi thiết kế sản phẩm, lựa chọn nhà cung cấp. Đây cũng là hướng phù hợp với quá trình mở rộng kết nối của các ngân hàng Việt Nam.

4. Một số giải pháp quản trị

Để nâng cao hiệu quả quản trị rủi ro dữ liệu, tổ chức tín dụng cần triển khai đồng bộ các giải pháp từ phân loại, kiểm soát truy cập đến giám sát, ứng phó sự cố và kiểm tra nội bộ.

Một là, xây dựng danh mục dữ liệu dùng chung, phân loại theo mức độ nhạy cảm, ảnh hưởng đến hoạt động nghiệp vụ và yêu cầu pháp lý. Kết quả phân loại phải làm căn cứ xác định quyền truy cập, biện pháp mã hóa, lưu trữ, chia sẻ và thời hạn lưu giữ dữ liệu. Chủ sở hữu dữ liệu tại các đơn vị nghiệp vụ cần phối hợp với bộ phận quản trị dữ liệu, công nghệ và pháp chế cập nhật danh mục khi triển khai sản phẩm mới.

Hai là, kiểm soát chặt chẽ việc truy cập và chia sẻ dữ liệu. Ngân hàng cần kiểm kê các API đang hoạt động, loại bỏ kết nối không còn sử dụng, giới hạn quyền theo nhu cầu thực tế và áp dụng xác thực phù hợp. Việc mã hóa dữ liệu, quản lý khóa phải đi đôi với phân tách quyền quản trị. Các tài khoản đặc quyền, kết nối đối tác có quyền truy cập rộng và hệ thống xử lý dữ liệu nhạy cảm cần được rà soát thường xuyên hơn.

Ba là, tăng cường giám sát dữ liệu sau khi chia sẻ. Nhật ký truy cập cần thể hiện chủ thể, dữ liệu, thời điểm và mục đích truy cập; hoạt động chia sẻ phải ghi nhận bên tiếp nhận và điều kiện tiếp tục chia sẻ. Hợp đồng với nhà cung cấp cần quy định rõ trách nhiệm đối với nhà thầu phụ, nghĩa vụ thông báo sự cố, quyền kiểm tra, thời hạn lưu giữ và việc hoàn trả hoặc xóa dữ liệu khi kết thúc dịch vụ.

Bốn là, thống nhất quy trình ứng phó sự cố giữa các bộ phận công nghệ, an ninh thông tin, nghiệp vụ, quản trị rủi ro và pháp chế. Khi xảy ra sự cố, ngân hàng cần xác định dữ liệu bị ảnh hưởng, các bên liên quan, nguy cơ lan rộng và nghĩa vụ thông báo. Sau khi khôi phục hệ thống, cần tiếp tục kiểm tra tính toàn vẹn dữ liệu, xác định nguyên nhân và giám sát việc khắc phục.

Năm là, triển khai kiểm soát theo mức độ rủi ro, ưu tiên hệ thống trọng yếu, dữ liệu nhạy cảm và đối tác có quyền truy cập rộng, sau đó mở rộng sang giám sát luồng dữ liệu và chia sẻ tiếp. Hiệu quả cần được đo lường bằng các chỉ số có thể kiểm chứng như tỉ lệ dữ liệu đã phân loại, số quyền truy cập quá hạn chưa thu hồi, tỉ lệ đối tác được đánh giá định kỳ và thời gian phát hiện, xử lý sự cố.

Sáu là, gắn đào tạo nhân sự với trách nhiệm cụ thể. Cán bộ nghiệp vụ cần hiểu giới hạn sử dụng dữ liệu; nhân sự kỹ thuật nắm yêu cầu bảo vệ hệ thống; bộ phận mua sắm và pháp chế nhận diện rủi ro nhà cung cấp; cấp quản lý chịu trách nhiệm về mức độ rủi ro được chấp nhận.

Bảy là, nâng cao hiệu quả kiểm tra nội bộ, tập trung vào thực tế kiểm soát thay vì chỉ đánh giá mức độ đầy đủ của quy chế. Ngân hàng cần kiểm tra mẫu các kết nối và tập dữ liệu rủi ro cao, đối chiếu quyền được cấp với mục đích sử dụng, rà soát việc thu hồi quyền khi nhân sự điều chuyển hoặc hợp đồng kết thúc, đồng thời kiểm tra bằng chứng xử lý yêu cầu xóa dữ liệu. Kết quả cần được chuyển thành danh sách tồn tại, xác định người chịu trách nhiệm và thời hạn khắc phục, qua đó bảo đảm các chỉ số giám sát phản ánh đúng hiệu quả kiểm soát.

5. Kết luận

Sự mở rộng kết nối trong ngành Ngân hàng đem lại nhiều cơ hội sử dụng dữ liệu hiệu quả hơn nhưng cũng làm thay đổi ranh giới kiểm soát truyền thống. Ngân hàng có thể bảo vệ tốt hệ thống của mình mà vẫn gặp rủi ro từ đối tác, nhà thầu phụ, ứng dụng AI hoặc những quyền truy cập nội bộ chưa được quản lý chặt chẽ.

Vì vậy, an ninh dữ liệu cần được đặt trong quản trị chung của tổ chức tín dụng, gắn yêu cầu pháp lý với trách nhiệm nghiệp vụ và kiểm soát công nghệ. Điều quan trọng không chỉ là ngăn dữ liệu bị tiết lộ, mà còn phải biết dữ liệu đang ở đâu, được sử dụng vào việc gì và ai chịu trách nhiệm tại từng khâu. Khi những yêu cầu đó được duy trì bằng quy trình, nhật ký và kết quả kiểm tra cụ thể, hoạt động chia sẻ dữ liệu mới có nền tảng để phát triển an toàn, bền vững.

Tài liệu tham khảo

1. Bui, L. V. (2026), Legal and regulatory challenges in addressing high-tech crimes in the banking sector: Developing a cybersecurity risk assessment framework for Vietnam. Journal of Banking Regulation, 27, Article 4. https://doi.org/10.1057/s41261-025-00302-0

2. Chu, T. H. H. (2026), An integrated data governance model based on DAMA-DMBOK for Vietnamese banks: From architecture design to implementation feasibility. Journal of Economic - Law and Banking, 28(3). https://doi.org/10.59276/JELB.2026.03.3033

3. Gounari, M., Stergiopoulos, G., Pipyros, K., et al. (2024), Harmonizing open banking in the European Union: An analysis of PSD2 compliance and interrelation with cybersecurity frameworks and standards. International Cybersecurity Law Review, 5, 79-120. https://doi.org/10.1365/s43439-023-00108-8

4. Luật AI số 134/2025/QH15 ngày 10/12/2025 của Quốc hội.

5. Luật An ninh mạng số 116/2025/QH15 ngày 10/12/2025 của Quốc hội.

6. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025 của Quốc hội.

7. Luật Dữ liệu số 60/2024/QH15 ngày 30/11/2024 của Quốc hội.

8. Nghị định số 142/2026/NĐ-CP ngày 30/4/2026 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật AI.

9. Nghị định số 165/2025/NĐ-CP ngày 30/6/2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Dữ liệu.

10. Nghị định số 330/2026/NĐ-CP ngày 19/8/2026 của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

11. Nghị định số 333/2026/NĐ-CP ngày 19/8/2026 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng.

12. Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.

13. Phạm Thị Dinh (2025), Quản trị ngân hàng số tại Việt Nam và Liên minh châu Âu: So sánh chính sách bảo vệ dữ liệu và an ninh mạng trong bối cảnh chuyển đổi số. Tạp chí Khoa học Trường Đại học Mở Hà Nội, Số đặc biệt 2A. https://doi.org/10.59266/houjs.2025.695

14. Quyết định số 20/2025/QĐ-TTg ngày 01/7/2025 của Chính phủ ban hành danh mục dữ liệu quan trọng, dữ liệu cốt lõi.

15. Thông tư số 64/2024/TT-NHNN ngày 31/12/2024 của NHNN quy định về triển khai Open API trong ngành Ngân hàng.

16. Thông tư số 53/2026/TT-NHNN ngày 30/9/2026 của NHNN quy định về an toàn, quản lý rủi ro và điều kiện triển khai đối với việc ứng dụng hệ thống AI trong ngành Ngân hàng.