An ninh dữ liệu trong bối cảnh gia tăng kết nối, chia sẻ ngân hàng: Yêu cầu pháp lý và hàm ý quản trị tại Việt Nam

Ảnh minh họa - Nguồn: Internet

1. Đặt vấn đề

Dữ liệu ngày càng giữ vai trò quan trọng trong hoạt động ngân hàng, từ nhận diện khách hàng, đánh giá tín dụng đến phát hiện gian lận và phát triển sản phẩm. Xu hướng ngân hàng mở, tài chính nhúng và hợp tác với các công ty công nghệ tài chính tạo điều kiện để dữ liệu được khai thác hiệu quả hơn. Tuy nhiên, lợi ích của kết nối chỉ có thể duy trì khi việc chia sẻ dữ liệu đi kèm cơ chế kiểm soát phù hợp.

Thông tư số 64/2024/TT-NHNN, có hiệu lực từ ngày 01/3/2025, đặt ra khuôn khổ triển khai giao diện lập trình ứng dụng mở (Open API) trong ngành Ngân hàng. Việc chuẩn hóa phương thức kết nối là bước tiến cần thiết, nhưng không đồng nghĩa mọi rủi ro đã được kiểm soát. Một dữ liệu có thể được ngân hàng cung cấp cho đối tác, xử lý trên hạ tầng đám mây và tiếp tục được sử dụng bởi nhà thầu phụ. Trong chuỗi đó, ngân hàng khó giám sát đầy đủ nếu chỉ tập trung bảo vệ hệ thống nội bộ và điểm truyền nhận ban đầu.

Vấn đề đặt ra vì vậy không phải hạn chế chia sẻ dữ liệu, mà là chia sẻ đến đâu, cho ai, phục vụ mục đích gì và ai chịu trách nhiệm khi xảy ra sự cố. Trên cơ sở đó, bài viết nhận diện các rủi ro nổi bật trong môi trường ngân hàng kết nối, rà soát các yêu cầu pháp lý liên quan và đề xuất một số hướng quản trị phù hợp với điều kiện triển khai tại Việt Nam.

Đối với ngân hàng, tính chất nhạy cảm của dữ liệu còn nằm ở khả năng liên kết các thông tin vốn được thu thập cho những nghiệp vụ khác nhau. Thông tin định danh, số dư, lịch sử giao dịch hay hành vi sử dụng dịch vụ có thể không gây ra cùng một mức thiệt hại nếu bị lộ. Nhưng khi được kết hợp, chúng có thể phản ánh tương đối đầy đủ tình hình tài chính và thói quen của khách hàng. Vì thế, mức độ bảo vệ không nên chỉ dựa trên tên gọi của từng trường dữ liệu, mà cần tính đến bối cảnh dữ liệu được sử dụng và những chủ thể có khả năng tiếp cận.

2. Cơ sở lý thuyết

Bài viết sử dụng ba cách tiếp cận có quan hệ chặt chẽ với nhau. Trước hết, an ninh dữ liệu được xem xét trên các thuộc tính bí mật, toàn vẹn và sẵn sàng. Đối với dữ liệu ngân hàng, ba thuộc tính này cần được đặt cùng yêu cầu sử dụng đúng mục đích, đúng thẩm quyền và có thể kiểm tra, truy vết khi cần thiết.

Tiếp theo là quản trị theo vòng đời dữ liệu. Rủi ro không chỉ xuất hiện khi dữ liệu bị đánh cắp; dữ liệu cũng có thể được thu thập quá mức, phân loại chưa đúng, lưu giữ quá lâu hoặc chia sẻ tiếp mà không có cơ chế giám sát. Do đó, hoạt động kiểm soát phải theo sát dữ liệu từ khi hình thành đến khi xóa, hủy. Cách tiếp cận thứ ba là quản trị dựa trên rủi ro: ưu tiên nguồn lực cho những loại dữ liệu, hệ thống và mối quan hệ có khả năng gây thiệt hại lớn khi xảy ra sự cố.

Bảng 1: Rủi ro và trọng tâm kiểm soát theo vòng đời dữ liệu

Bảng 1 khái quát những điểm dễ phát sinh rủi ro trong từng giai đoạn. Trách nhiệm được nêu theo đầu mối chính, không có nghĩa các bộ phận còn lại đứng ngoài quá trình kiểm soát. Chẳng hạn, việc xóa dữ liệu do bộ phận công nghệ thực hiện nhưng thời hạn lưu giữ phải được xác định trên cơ sở nhu cầu nghiệp vụ và quy định pháp luật. Tương tự, ngân hàng có thể mã hóa tốt dữ liệu khi truyền đi nhưng vẫn phải chịu trách nhiệm xem xét mục đích sử dụng sau khi đối tác đã tiếp nhận. Sự phối hợp này quyết định việc quản trị theo vòng đời có thực hiện được trên thực tế hay chỉ dừng ở quy trình.

3. Kết quả nghiên cứu và thảo luận

3.1. Những rủi ro chủ yếu khi kết nối, chia sẻ dữ liệu ngân hàng

3.1.1. Rủi ro trong kết nối và chia sẻ với bên thứ ba

Open API tạo điều kiện cho ngân hàng trao đổi dữ liệu với Fintech, trung gian thanh toán và các đối tác cung cấp dịch vụ. Tuy vậy, việc kết nối an toàn không chỉ phụ thuộc vào giao diện kỹ thuật mà còn ở phạm vi dữ liệu được chia sẻ, thời hạn cấp quyền và cách đối tác sử dụng dữ liệu sau khi tiếp nhận. Giao diện không được kiểm kê, phiên bản cũ chưa thu hồi hoặc quyền truy cập rộng hơn nhu cầu thực tế đều có thể trở thành điểm yếu.

Một khó khăn lớn là dữ liệu thường không dừng ở đối tác đầu tiên. Bên tiếp nhận có thể thuê dịch vụ lưu trữ, phân tích hoặc giao một phần công việc cho nhà thầu phụ. Nếu hợp đồng chỉ quy định trách nhiệm của hai bên ký kết mà bỏ ngỏ các khâu xử lý tiếp theo, ngân hàng có thể mất khả năng xác định dữ liệu được lưu ở đâu và ai có quyền tiếp cận. Thông tư 64/2024/TT-NHNN đã đặt nền tảng cho quản lý kết nối và bên thứ ba; trong thực tiễn, ngân hàng còn cần kiểm soát việc chia sẻ tiếp, thời hạn lưu giữ và điều kiện chấm dứt quyền sử dụng dữ liệu.

Với một kết nối mới, việc làm rõ phạm vi dữ liệu nên được thực hiện ngay từ giai đoạn thiết kế sản phẩm. Ngân hàng cần xác định thông tin nào thực sự cần thiết để đối tác hoàn thành dịch vụ, cách khách hàng được thông báo, cơ chế dừng truy cập và thời hạn duy trì kết nối. Nếu đối tác đề nghị mở rộng phạm vi sử dụng, nhu cầu đó cần được xem xét như một thay đổi về mục đích xử lý, không nên mặc nhiên dựa vào thỏa thuận được phê duyệt trước đó. Cách làm này giúp hạn chế tình trạng quyền truy cập được mở rộng dần theo thời gian mà thiếu một lần đánh giá tổng thể.

3.1.2. Rủi ro sử dụng dữ liệu ngoài phạm vi cho phép

Không phải trường hợp sử dụng sai dữ liệu nào cũng bắt nguồn từ truy cập trái phép. Đối tác có thể được cấp quyền hợp lệ để cung cấp một dịch vụ, nhưng sau đó dùng chính dữ liệu ấy cho tiếp thị, phân tích hành vi hoặc xây dựng mô hình chấm điểm khác với mục đích ban đầu. Ở đây cần phân biệt quyền được truy cập với quyền sử dụng dữ liệu vào từng công việc cụ thể.

Rủi ro tăng lên khi thông tin giao dịch, định danh và hành vi số được kết hợp từ nhiều nguồn. Cùng một tập dữ liệu có thể tạo ra giá trị phân tích mới, đồng thời làm mờ giới hạn mà khách hàng đã biết hoặc đồng ý. Vì vậy, yêu cầu quản trị không dừng ở việc lưu bằng chứng cấp quyền, mà cần theo dõi mục đích xử lý, giới hạn thời gian sử dụng và khả năng thu hồi quyền. Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định 356/2025/NĐ-CP là những căn cứ pháp lý cần được đối chiếu khi thiết kế các cơ chế này.

Chẳng hạn, dữ liệu khách hàng được phép cung cấp để đối tác xác minh thông tin phục vụ một giao dịch cụ thể. Sau khi giao dịch kết thúc, việc lưu lại tập dữ liệu để xây dựng chân dung người dùng hoặc chuyển sang hệ thống phân tích khác không còn là vấn đề thuần túy về bảo mật đường truyền. Cần có căn cứ và mục đích xử lý tương ứng, cũng như cơ chế kiểm tra để phát hiện những thay đổi đó. Nếu chỉ kiểm soát tài khoản có đăng nhập thành công hay không, ngân hàng sẽ khó nhận diện được dạng rủi ro này.

3.1.3. Rủi ro lan truyền từ chuỗi cung ứng công nghệ

Khác với rủi ro tại khâu chia sẻ dữ liệu, rủi ro chuỗi cung ứng có thể phát sinh ngay trong một thành phần công nghệ mà ngân hàng đang tin cậy. Nhà cung cấp phần mềm, dịch vụ xác thực, điện toán đám mây hoặc công cụ giám sát có thể phục vụ đồng thời nhiều hệ thống. Khi một thành phần bị xâm nhập hoặc gián đoạn, ảnh hưởng có thể lan sang nhiều dịch vụ ngân hàng, kể cả trường hợp dữ liệu chưa bị chia sẻ vượt phạm vi cho phép.

Đánh giá nhà cung cấp trước khi ký hợp đồng là cần thiết nhưng chưa đủ. Ngân hàng cần kiểm soát quyền quản trị được cấp, theo dõi các thay đổi quan trọng, yêu cầu thông báo sự cố và có phương án duy trì hoạt động khi phải thay thế nhà cung cấp. Với dịch vụ trọng yếu hoặc tài khoản có quyền truy cập cao, mức độ giám sát cần chặt chẽ hơn. Đây là điểm phân biệt giữa quản lý đối tác nhận dữ liệu và quản trị sự phụ thuộc công nghệ trong toàn bộ quá trình vận hành.

Một điểm dễ bị bỏ sót là mức độ tập trung vào một số nhà cung cấp công nghệ. Khi nhiều ứng dụng cùng dùng một dịch vụ xác thực, nền tảng đám mây hoặc thư viện phần mềm, sự cố tại một thành phần có thể ảnh hưởng đồng thời tới nhiều nghiệp vụ. Đánh giá rủi ro vì vậy cần đặt câu hỏi không chỉ về chất lượng từng nhà cung cấp mà cả khả năng chuyển đổi dịch vụ, phục hồi dữ liệu và duy trì hoạt động trong thời gian xử lý sự cố. Đối với đơn vị cung cấp dịch vụ trọng yếu, phương án thay thế cần được chuẩn bị trước thay vì đợi đến khi hợp đồng bị gián đoạn.

3.1.4. Rủi ro trong phát triển và ứng dụng trí tuệ nhân tạo

Ứng dụng trí tuệ nhân tạo (AI) trong đánh giá tín dụng, phát hiện gian lận và chăm sóc khách hàng đang làm gia tăng nhu cầu khai thác dữ liệu. Rủi ro trước hết nằm ở việc thu thập quá nhiều thông tin hoặc tái sử dụng dữ liệu đã có cho mục đích huấn luyện mô hình mà chưa đánh giá đầy đủ căn cứ xử lý. Khi dùng nền tảng AI của bên ngoài, ngân hàng còn phải xác định dữ liệu nhập vào có bị lưu lại, dùng để cải thiện mô hình chung hoặc chuyển cho nhà thầu phụ hay không.

Một vấn đề khác là chất lượng dữ liệu. Dữ liệu lịch sử thiếu đại diện hoặc chứa sai lệch có thể dẫn đến kết quả bất lợi trong chấm điểm tín dụng và phân nhóm khách hàng, dù hệ thống không xảy ra rò rỉ thông tin. Cùng với đó, công nghệ tạo sinh làm tăng nguy cơ giả mạo hình ảnh, giọng nói và khai thác thông tin cá nhân để lừa đảo. Do vậy, kiểm soát AI cần bao quát nguồn dữ liệu đầu vào, mục đích sử dụng, chất lượng dữ liệu, nhật ký xử lý và sự tham gia của con người đối với quyết định ảnh hưởng trực tiếp đến khách hàng.

Trong các mô hình có ảnh hưởng đến quyết định tín dụng, việc sử dụng AI còn đặt ra yêu cầu giải thích được cơ sở của kết quả và có người chịu trách nhiệm rà soát trường hợp bất thường. Không nhất thiết mọi quyết định đều phải được thực hiện thủ công, nhưng ngân hàng cần xác định rõ khi nào kết quả của mô hình chỉ có giá trị hỗ trợ và khi nào phải có bước kiểm tra bổ sung. Điều này liên quan trực tiếp đến chất lượng dữ liệu, quyền lợi khách hàng và khả năng giải trình khi có khiếu nại. Nếu không được quy định từ đầu, những vướng mắc thường chỉ bộc lộ khi hệ thống đã đưa vào vận hành.

3.1.5. Rủi ro trong xử lý dữ liệu xuyên biên giới

Khi ngân hàng sử dụng điện toán đám mây hoặc dịch vụ công nghệ quốc tế, dữ liệu có thể được lưu trữ tại một quốc gia, xử lý tại quốc gia khác và được hỗ trợ kỹ thuật từ một địa điểm thứ ba. Vấn đề không chỉ là dữ liệu có rời khỏi lãnh thổ hay không, mà còn ở khả năng xác định nơi lưu trữ, chủ thể tiếp cận, bản sao dữ liệu và cơ chế xử lý khi phát sinh sự cố.

Khó khăn thường xuất hiện trong các hợp đồng có nhiều tầng nhà thầu. Ngân hàng ký với nhà cung cấp chính nhưng không trực tiếp kiểm soát toàn bộ trung tâm dữ liệu và đơn vị hỗ trợ phía sau. Luật Dữ liệu năm 2024, Nghị định 165/2025/NĐ-CP và các quy định về bảo vệ dữ liệu cá nhân đặt ra những yêu cầu cần xem xét đối với từng loại dữ liệu và hoạt động xử lý xuyên biên giới. Trên phương diện quản trị, ngân hàng cần lập bản đồ luồng dữ liệu, xác định nghĩa vụ của từng bên và duy trì khả năng yêu cầu hạn chế, thu hồi hoặc xóa dữ liệu khi cần thiết.

Đối với dữ liệu được xử lý tại nhiều địa điểm, quyền kiểm tra theo hợp đồng cần đủ cụ thể để có thể thực hiện khi xảy ra sự cố. Ngân hàng cần biết nhà cung cấp có sử dụng đơn vị khác để sao lưu, hỗ trợ kỹ thuật hay khôi phục hệ thống hay không, đồng thời xác định phạm vi dữ liệu mà những đơn vị này được tiếp cận. Ngoài việc bảo đảm hoạt động chuyển và xử lý dữ liệu đúng quy định, đây còn là điều kiện để tổ chức bảo toàn chứng cứ, phối hợp điều tra và thực hiện yêu cầu xóa hoặc hạn chế xử lý trên các bản sao liên quan.

3.1.6. Rủi ro nội bộ trong quản lý quyền truy cập

Ngay trong phạm vi ngân hàng, dữ liệu có thể gặp rủi ro từ thao tác nhầm, gửi sai người nhận, tải thông tin về thiết bị không được quản lý hoặc sử dụng quyền truy cập cho mục đích cá nhân. Hai nhóm sai sót vô ý và lạm dụng cố ý cần được nhận diện riêng để lựa chọn biện pháp phòng ngừa phù hợp.

Đáng lưu ý là quyền truy cập có xu hướng tích lũy khi nhân sự chuyển vị trí, tham gia dự án hoặc được cấp quyền tạm thời. Nếu không rà soát định kỳ, một nhân viên có thể tiếp tục nắm giữ quyền rộng hơn công việc hiện tại; rủi ro càng lớn với tài khoản quản trị. Nguyên tắc cấp quyền tối thiểu, xác thực đa yếu tố, cấp quyền có thời hạn, ghi nhật ký truy cập và thu hồi ngay khi chấm dứt nhiệm vụ là những kiểm soát cần duy trì thường xuyên, không chỉ khi có kiểm tra hoặc sự cố.

Biện pháp kỹ thuật chỉ phát huy hiệu quả khi gắn với trách nhiệm hằng ngày. Quyền truy cập nên được cấp theo vị trí việc làm và được xác nhận lại khi nhân sự chuyển nhiệm vụ. Với các trường hợp cấp quyền khẩn cấp, cần quy định người phê duyệt, thời hạn hiệu lực và việc kiểm tra sau sử dụng. Những quy định đơn giản này giúp hạn chế khoảng trống giữa quy trình nhân sự và hệ thống công nghệ, nhất là tại các đơn vị có nhiều ứng dụng và nhân sự tham gia xử lý dữ liệu khách hàng.

3.2. Khung pháp lý và những yêu cầu đặt ra đối với ngân hàng

Khuôn khổ pháp lý về an ninh dữ liệu tại Việt Nam đang được hình thành từ nhiều nhóm quy định có phạm vi điều chỉnh khác nhau. Luật An ninh mạng năm 2025, Nghị định 333/2026/NĐ-CP và Nghị định 330/2026/NĐ-CP đặt ra các yêu cầu về bảo đảm an ninh và xử lý vi phạm. Luật Dữ liệu năm 2024, Nghị định 165/2025/NĐ-CP cùng danh mục dữ liệu quan trọng, dữ liệu cốt lõi lại liên quan trực tiếp đến việc phân loại dữ liệu và xác định mức độ bảo vệ.

Đối với dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định 356/2025/NĐ-CP yêu cầu chú trọng căn cứ xử lý, mục đích sử dụng, quyền của chủ thể dữ liệu và trách nhiệm của các bên tham gia. Trong lĩnh vực ngân hàng, những yêu cầu này cần được áp dụng cả khi dữ liệu đã được chuyển cho đối tác. Tương tự, Luật Trí tuệ nhân tạo năm 2025 và Nghị định 142/2026/NĐ-CP cho thấy quản trị dữ liệu không thể tách rời quản trị mô hình AI, nhất là đối với hệ thống tác động đến quyền lợi khách hàng.

Bên cạnh các quy định đã ban hành, dự thảo Luật An ninh dữ liệu đặt ra yêu cầu tiếp tục đồng bộ chính sách. Vấn đề cần lưu ý là tránh trùng lặp trong phân loại, đánh giá và báo cáo giữa các nhóm pháp luật và quy định chuyên ngành. Đối với tổ chức tín dụng, một tập dữ liệu có thể đồng thời là dữ liệu cá nhân nhạy cảm và dữ liệu quan trọng; nếu mỗi bộ phận quản lý một danh mục riêng, việc áp dụng kiểm soát dễ thiếu nhất quán. Vì vậy, ngân hàng cần có một danh mục dữ liệu thống nhất, chỉ rõ yêu cầu pháp lý áp dụng, bộ phận chịu trách nhiệm và bằng chứng tuân thủ tương ứng.

Trong quá trình thực hiện, khó khăn đáng kể là các nghĩa vụ báo cáo, kiểm soát và lưu bằng chứng có thể được giao cho nhiều đầu mối khác nhau. Nếu mỗi đơn vị vận hành một hệ thống theo dõi riêng, thông tin dễ bị phân tán và khó đối chiếu khi có yêu cầu kiểm tra. Do đó, cần phân định rõ trách nhiệm giữa đơn vị kinh doanh, công nghệ, an ninh thông tin, quản trị rủi ro và pháp chế; đồng thời thống nhất hồ sơ tuân thủ ở cấp tổ chức. Việc này không thay thế các yêu cầu chuyên ngành, mà giúp ngân hàng đáp ứng những yêu cầu đó trên cơ sở dữ liệu và bằng chứng nhất quán.

3.3. Kinh nghiệm quốc tế và gợi mở cho Việt Nam

Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (GDPR) nhấn mạnh nguyên tắc bảo vệ dữ liệu ngay từ khâu thiết kế và theo mặc định. Trong lĩnh vực ngân hàng mở, PSD2 cùng các yêu cầu về xác thực mạnh và giao tiếp an toàn cho thấy vai trò của việc quản lý bên thứ ba. Tại Singapore, hướng dẫn quản trị rủi ro công nghệ của Cơ quan Tiền tệ Singapore (MAS) đặt trách nhiệm giám sát không chỉ ở bộ phận công nghệ mà còn ở cấp quản lý tổ chức.

Điểm có thể tham khảo không phải sao chép từng yêu cầu kỹ thuật, mà là cách xác lập trách nhiệm rõ ràng, phân loại đối tác theo rủi ro và đưa kiểm soát dữ liệu vào ngay từ khi thiết kế sản phẩm, lựa chọn nhà cung cấp. Đây cũng là hướng phù hợp với quá trình mở rộng kết nối của các ngân hàng Việt Nam.

3.4. Một số giải pháp quản trị

Trước hết, tổ chức tín dụng cần xây dựng danh mục dữ liệu dùng chung và phân loại theo mức độ nhạy cảm, ảnh hưởng đến hoạt động nghiệp vụ và yêu cầu pháp lý. Kết quả phân loại phải quyết định cách phân quyền, mã hóa, lưu trữ, chia sẻ và thời hạn giữ dữ liệu, thay vì dừng ở việc gắn nhãn trên hồ sơ. Chủ sở hữu dữ liệu thuộc đơn vị nghiệp vụ cần phối hợp với bộ phận quản trị dữ liệu, công nghệ và pháp chế để cập nhật danh mục này khi triển khai sản phẩm mới.

Đối với truy cập và chia sẻ dữ liệu, ngân hàng cần kiểm kê các API đang hoạt động, loại bỏ kết nối không còn sử dụng, giới hạn quyền theo nhu cầu thực tế và áp dụng xác thực phù hợp. Mã hóa dữ liệu và quản lý khóa phải đi kèm phân tách quyền quản trị. Những tài khoản đặc quyền, kết nối với đối tác có quyền truy cập rộng hoặc xử lý dữ liệu nhạy cảm cần được rà soát với tần suất cao hơn.

Cùng với kiểm soát kỹ thuật là khả năng theo dõi dữ liệu sau khi được cung cấp. Nhật ký cần cho biết ai truy cập, truy cập dữ liệu gì, khi nào và phục vụ nghiệp vụ nào; với hoạt động chia sẻ, cần theo dõi cả đối tác nhận dữ liệu và điều kiện chia sẻ tiếp. Hợp đồng với nhà cung cấp phải quy định rõ trách nhiệm về nhà thầu phụ, thông báo sự cố, quyền kiểm tra, thời hạn lưu giữ và nghĩa vụ hoàn trả hoặc xóa dữ liệu khi kết thúc dịch vụ.

Quy trình ứng phó sự cố cũng cần được thống nhất giữa công nghệ, an ninh thông tin, nghiệp vụ, quản trị rủi ro và pháp chế. Ngay khi phát hiện sự cố, ngân hàng phải xác định loại dữ liệu bị ảnh hưởng, các chủ thể có liên quan, nguy cơ lan truyền và nghĩa vụ thông báo. Việc khôi phục hệ thống không nên được coi là điểm kết thúc; cần tiếp tục kiểm tra tính toàn vẹn dữ liệu, tìm nguyên nhân và theo dõi việc khắc phục.

Về tổ chức thực hiện, có thể bắt đầu từ những hệ thống trọng yếu, dữ liệu nhạy cảm và các đối tác đang có quyền truy cập rộng; sau đó mở rộng sang việc theo dõi luồng dữ liệu và kiểm soát chia sẻ tiếp. Hiệu quả triển khai nên được theo dõi bằng những chỉ số đơn giản, có thể kiểm chứng như tỷ lệ dữ liệu đã phân loại, số quyền truy cập quá hạn chưa thu hồi, tỷ lệ đối tác được đánh giá định kỳ và thời gian phát hiện, xử lý sự cố. Cuối cùng, đào tạo nhân sự cần gắn với công việc cụ thể: cán bộ nghiệp vụ hiểu giới hạn sử dụng dữ liệu, nhân sự kỹ thuật nắm yêu cầu bảo vệ hệ thống, bộ phận mua sắm và pháp chế nhận diện rủi ro nhà cung cấp, còn cấp quản lý chịu trách nhiệm về mức độ rủi ro được chấp nhận.

Một nội dung cần quan tâm thêm là công tác kiểm tra nội bộ. Thay vì chỉ đánh giá sự đầy đủ của quy chế, hoạt động kiểm tra nên chọn mẫu các kết nối và tập dữ liệu có rủi ro cao để đối chiếu quyền đã cấp với mục đích sử dụng thực tế; kiểm tra việc thu hồi quyền sau khi nhân sự điều chuyển hoặc hợp đồng kết thúc; và rà soát bằng chứng về việc xử lý yêu cầu xóa dữ liệu. Kết quả kiểm tra cần được chuyển thành danh sách tồn tại, người chịu trách nhiệm và thời hạn khắc phục. Làm được như vậy, các chỉ số giám sát mới phản ánh thực chất mức độ kiểm soát thay vì chỉ phản ánh số lượng hồ sơ đã hoàn thành.

4. Kết luận

Sự mở rộng kết nối trong ngành Ngân hàng đem lại nhiều cơ hội sử dụng dữ liệu hiệu quả hơn nhưng cũng làm thay đổi ranh giới kiểm soát truyền thống. Ngân hàng có thể bảo vệ tốt hệ thống của mình mà vẫn gặp rủi ro từ đối tác, nhà thầu phụ, ứng dụng AI hoặc những quyền truy cập nội bộ chưa được quản lý chặt chẽ.

Vì vậy, an ninh dữ liệu cần được đặt trong quản trị chung của tổ chức tín dụng, gắn yêu cầu pháp lý với trách nhiệm nghiệp vụ và kiểm soát công nghệ. Điều quan trọng không chỉ là ngăn dữ liệu bị tiết lộ, mà còn phải biết dữ liệu đang ở đâu, được sử dụng vào việc gì và ai chịu trách nhiệm tại từng khâu. Khi những yêu cầu đó được duy trì bằng quy trình, nhật ký và kết quả kiểm tra cụ thể, hoạt động chia sẻ dữ liệu mới có nền tảng để phát triển an toàn, bền vững.

Tài liệu tham khảo

Phạm Thị Dinh. (2025). Quản trị ngân hàng số tại Việt Nam và Liên minh châu Âu: So sánh chính sách bảo vệ dữ liệu và an ninh mạng trong bối cảnh chuyển đổi số. Tạp chí Khoa học Trường Đại học Mở Hà Nội, Số đặc biệt 2A. https://doi.org/10.59266/houjs.2025.695

Bui, L. V. (2026). Legal and regulatory challenges in addressing high-tech crimes in the banking sector: Developing a cybersecurity risk assessment framework for Vietnam. Journal of Banking Regulation, 27, Article 4. https://doi.org/10.1057/s41261-025-00302-0

Chu, T. H. H. (2026). An integrated data governance model based on DAMA-DMBOK for Vietnamese banks: From architecture design to implementation feasibility. Journal of Economic - Law and Banking, 28(3). https://doi.org/10.59276/JELB.2026.03.3033

Gounari, M., Stergiopoulos, G., Pipyros, K., et al. (2024). Harmonizing open banking in the European Union: An analysis of PSD2 compliance and interrelation with cybersecurity frameworks and standards. International Cybersecurity Law Review, 5, 79–120. https://doi.org/10.1365/s43439-023-00108-8

Bộ Công an. (2026). Hồ sơ dự án Luật An ninh dữ liệu.

Chính phủ. (2025a). Nghị định số 165/2025/NĐ-CP ngày 30/6/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Dữ liệu.

Chính phủ. (2025b). Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.

Chính phủ. (2026a). Nghị định số 142/2026/NĐ-CP ngày 30/4/2026 quy định chi tiết một số điều và biện pháp thi hành Luật Trí tuệ nhân tạo.

Chính phủ. (2026b). Nghị định số 333/2026/NĐ-CP ngày 19/8/2026 quy định chi tiết một số điều và biện pháp thi hành Luật An ninh mạng.

Chính phủ. (2026c). Nghị định số 330/2026/NĐ-CP ngày 19/8/2026 quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Ngân hàng Nhà nước Việt Nam. (2024). Thông tư số 64/2024/TT-NHNN ngày 31/12/2024 quy định về triển khai giao diện lập trình ứng dụng mở trong ngành Ngân hàng.

Quốc hội. (2024). Luật Dữ liệu số 60/2024/QH15 ngày 30/11/2024.

Quốc hội. (2025a). Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025.

Quốc hội. (2025b). Luật An ninh mạng số 116/2025/QH15 ngày 10/12/2025.

Quốc hội. (2025c). Luật Trí tuệ nhân tạo số 134/2025/QH15 ngày 10/12/2025.

Thủ tướng Chính phủ. (2025). Quyết định số 20/2025/QĐ-TTg ngày 01/7/2025 ban hành danh mục dữ liệu quan trọng, dữ liệu cốt lõi.