An toàn và bảo mật ngân hàng trong xu thế chuyển đổi số

Xu thế chuyển đổi số sử dụng đám mây

Tại Việt Nam, nhờ chính sách đẩy nhanh quá trình chuyển đổi số (CĐS) của Chính phủ, thị trường Điện toán đám mây (ĐTĐM) tại Việt Nam đang tăng trưởng mạnh mẽ. Theo nghiên cứu của tổ chức Research and Markets, thị trường dịch vụ ĐTĐM Việt Nam nếu như năm 2016 đạt 92,49 triệu USD, thì năm 2020 đã đạt mức 196,11 triệu USD, và được dự báo sẽ đạt hơn 600 triệu USD vào năm 2026. Như vậy sau 10 năm sẽ có mức tăng trưởng 20,6% (theo cách tính tỷ lệ tăng trưởng kép hàng năm - CAGR).

Ông Phạm Quang Minh - Tổng Giám đốc Mambu Việt Nam

Trong lĩnh vực ngân hàng, quá trình CĐS, ứng dụng ĐTĐM đang diễn ra mạnh mẽ. Theo McKinsey – Công ty tư vấn hàng đầu thế giới, 70% ngân hàng trên thế giới đang xem xét lại nền tảng ngân hàng lõi của họ, bắt đầu tận dụng tiềm năng của ĐTĐM và các dịch vụ mà các công ty Fintech cung cấp.

Việc ứng dụng ĐTĐM vào ngành NH đang là chủ trương của NHNN, và đang được đẩy nhanh tốc độ thông qua Quyết định số 810/QĐ-NHNN ngày 11 tháng 5 năm 2021, về Phê duyệt kế hoạch chuyển đổi số ngành Ngân hàng đến năm 2025, định hướng đến năm 2030, trongn đó “khuyến khích, tạo thuận lợi cho việc ứng dụng các công nghệ số (như ĐTĐM, dữ liệu lớn, chuỗi khối, trí tuệ nhân tạo, học máy,...) trong hoạt động NH”.

Hiện nay, có các loại hình ĐTĐM như SaaS (Phần mềm như một dịch vụ), IaaS (Cơ sở hạ tầng như một dịch vụ) và PaaS (Nền tảng như một dịch vụ), thì SaaS đang được sử dụng nhiều nhất. Bởi vì, SaaS đảm bảo được sự linh hoạt, tốc độ, tăng khả năng cạnh tranh mà cơ sở hạ tầng công nghệ thông tin truyền thống tại chỗ của NH không thể đáp ứng được.

Tuy nhiên, khi dữ liệu không còn nằm ở ngân hàng mà được đưa “lên mây”, và do bên khác quản lý, mối quan ngại về an toàn dữ liệu luôn hiện hữu.

Dữ liệu được bảo vệ như thế nào khi đưa lên đám mây?

Khi xây dựng ngân hàng số trên công nghệ ĐTĐM SaaS thì trách nhiệm đảm bảo an ninh mạng sẽ nằm ở tất cả các bên liên quan. Các vấn đề chủ chốt về an ninh mạng được quan tâm gồm quản lý định danh và truy cập (Identity and Access Management); an ninh dữ liệu (Data Security); kế hoạch kinh doanh liên tục (Business Continuity Plan - BCP) và khôi phục dữ liệu (Data Recovery - DR); Tuân thủ và quản trị dữ liệu (Data Governance and Compliance).

Đầu tiên, sự bảo mật đến từ các công ty dịch vụ đám mây được biết đến như AWS, Microsoft, Google...), sẽ cung cấp cơ sở hạ tầng có thể định cấu hình để sử dụng cho việc phục hồi dữ liệu (DR) hay đảm bảo kinh doanh liên tục (BCP) cho các nhà cung cấp dịch vụ SaaS như Mambu - đơn vị cung cấp SaaS trong lĩnh vực ngân hàng lõi. Cơ sở hạ tầng này có hiệu suất cao, được giám sát trong thỏa thuận cấp độ dịch vụ (SLA). Việc đảm bảo an ninh mạng của trung tâm dữ liệu và dịch vụ cơ sở hạ tầng đều ở mức độ cao và phải đảm bảo theo tiêu chuẩn ISO.

Các nhà cung cấp đám mây còn cung cấp một tập hợp các tính năng truy cập, mã hóa và ghi nhật ký nâng cao cho khách hàng để kiểm soát nội dung tải lên dịch vụ đám mây, đồng thời chịu trách nhiệm cấu hình quyền truy cập vào các dịch vụ và tài nguyên của nhà cung cấp dich vụ đám mây.

Thứ hai, sự bảo mật đến từ các nhà cung cấp SaaS. Lấy ví dụ như Mambu - nhà cung cấp SaaS điển hình đến từ CHLB Đức sẽ cung cấp và đáp ứng các tiêu chuẩn bảo mật cao nhất để trợ giúp các ngân hàng tuân thủ các quy định của Ngân hàng Trung ương về bảo mật dữ liệu, và an toàn hệ thống công nghệ thông tin. Nếu Mambu hợp tác với các nhà cung cấp dịch vụ đám mây như AWS thì trước tiên, Mambu cần đáp ứng được những quy định về an ninh bảo mật của AWS, đảm bảo khả năng triển khai các phương pháp bảo mật tốt nhất có sẵn trên nền tảng AWS.

Để phát triển và vận hành an toàn, các nhà cung cấp SaaS như Mambu cũng cần đảm bảo cấu trúc của mình bảo mật theo ISO / IEC 27001, bao gồm đảm bảo kinh doanh liên tục (BCP) và khôi phục sau thảm họa (DR) hay khả năng thực thi các biện pháp kiểm soát bảo mật do khách hàng định cấu hình.

Trong trường hợp xảy ra sự cố (bảo mật), Mambu luôn chuẩn bị sẵn sàng các kế hoạch ứng phó sự cố, nhân viên túc trực 24/7 để phản ứng ngay lập tức và đưa ra xử lý thích hợp.

Thứ ba, các ngân hàng cũng cần chủ động và tuân thủ đúng trách nhiệm để bảo mật thông tin. Bên cạnh việc lựa chọn công nghệ phù hợp cũng phải đảm bảo việc thiết kế và tuân thủ đầy đủ các mô hình vận hành kiểm soát rủi ro cao nhất, áp dụng tối đa công nghệ trí tuệ nhân tạo để dự báo trước các tình huống xấu, từ đó chủ động ra quyết định nhanh chóng, chính xác.

Chẳng hạn ngân hàng cần đảm bảo an toàn cấu hình của mình bằng các phương pháp xác thực đăng nhập một lần (SSO), chính sách mật khẩu, đa yếu tố xác thực, truy cập dựa trên vai trò, hay xác minh hai bước cho quy trình lựa chọn.

Ngoài ra, các ngân hàng cũng cần đào tạo nhân viên về nhận thức và thực hành về an ninh mạng nói chung. Tuy là bộ phận không kiểm soát thông tin của ngân hàng nhưng vẫn phải chịu trách nhiệm an toàn cho nguồn dữ liệu.

Một số ngân hàng số như TNEX, TIMO và CAKE đã được bảo vệ dữ liệu với các quy định như trên, khi sử dụng dịch vụ SaaS với cấu trúc Composable banking của Mambu. Đây là các NH số đi tiên phong tại Việt Nam trong thế hệ ngân hàng mới, linh hoạt, hiệu quả, và mang lại nhiều trải nghiệm cá nhân hữu ích cho người tiêu dùng.

Trong kỷ nguyên “đám mây”, thay đổi là đối sách sống còn của các ngân hàng. Nhưng thay đổi nào cũng đi kèm với rủi ro. Khi ĐTĐM phát triển và thành xu thế như hiện nay, sự chú trọng này lại được nâng lên cao hơn, nghiêm ngặt hơn, các vòng bảo vệ an ninh mạng sẽ nhiều hơn và khắt khe hơn. Chọn lựa nhà cung cấp tin cậy, giám sát chéo giữa các đối tác, tuân thủ các quy trình, tiêu chuẩn và quy định của các bên chính là sự đảm bảo hiệu quả nhất cho việc bảo vệ dữ liệu trên “mây”, giúp các ngân hàng yên tâm CĐS.