Bảo Mật Dữ Liệu Tài Chính: 5 Câu Hỏi Phải Hỏi Nhà Cung Cấp Của Bạn

Nội dung chính

• Vì sao bảo mật dữ liệu bỗng trở thành vấn đề của hội đồng quản trị?
• Bảo mật dữ liệu thực sự bao gồm những gì?
• Năm câu hỏi bảo mật dữ liệu cần hỏi trước khi mua
• Luật Bảo vệ Dữ liệu Cá nhân thay đổi bức tranh ra sao?
• Bảo mật dữ liệu tốt trông như thế nào trong thực tế?
• Danh sách kiểm tra bảo mật dữ liệu có thể tái sử dụng
• Câu hỏi thường gặp
• Nguồn tham khảo

Vì sao bảo mật dữ liệu bỗng trở thành vấn đề của hội đồng quản trị?

Trong nhiều năm, các ngân hàng, công ty chứng khoán và quỹ đầu tư Việt Nam coi một luồng dữ liệu thị trường như hệ thống cấp nước: hoặc chạy hoặc không, hiếm khi là chủ đề cho ủy ban rủi ro. Cách nhìn đó nay đã trở nên nguy hiểm. Bảo mật dữ liệu đã chuyển từ một chú thích kỹ thuật thành rủi ro cấp hội đồng quản trị, bởi nhà cung cấp truyền giá cho bạn hoặc xác thực khách hàng của bạn đang nằm bên trong ranh giới tin cậy của bạn. Nếu kẻ tấn công chiếm được nhà cung cấp đó, chúng thừa hưởng luôn đường đi thẳng vào hệ thống của bạn.

Hồi chuông cảnh tỉnh đến vào tháng 6 năm 2026. Báo cáo an ninh mạng đã liên hệ nhóm OceanLotus, một nhóm tấn công nhắm vào Việt Nam còn được theo dõi với tên APT32, với một vụ xâm nhập dùng backdoor SPECTRALVIPER và chạm tới người dùng ứng dụng giao dịch FireAnt, theo The Hacker News (tháng 6 năm 2026). Bản thân SPECTRALVIPER không mới: Elastic Security Labs lần đầu ghi nhận backdoor này vào ngày 9 tháng 6 năm 2023, khi nó được dùng để nhắm vào các công ty đại chúng lớn hoạt động tại Việt Nam. Chúng tôi đã phân tích cơ chế trong bài về mã độc AI JadePuffer.

Mẫu số chung là tấn công chuỗi cung ứng. Thay vì phá tường lửa của bạn, kẻ tấn công chiếm một nhà cung cấp mà bạn đã tin tưởng, rồi men theo sự tin tưởng đó đi vào trong. Khi nhà cung cấp là một đơn vị dữ liệu tài chính, phạm vi thiệt hại có thể bao gồm vị thế giao dịch, hồ sơ khách hàng và giấy tờ định danh. Đây cũng là logic đằng sau các chiến dịch mã độc tống tiền mà chúng tôi theo dõi trong làn sóng ransomware nhắm vào SME Việt Nam.

Đó là lý do bảo mật dữ liệu nay xứng đáng được soi xét như một dự án nâng cấp ngân hàng lõi.

Bảo mật dữ liệu thực sự bao gồm những gì?

Bảo mật dữ liệu là toàn bộ tập hợp các biện pháp kiểm soát mà nhà cung cấp dùng để bảo vệ tính bí mật, toàn vẹn và sẵn sàng của dữ liệu mà họ xử lý thay cho bạn.

Dễ hình dung nhất qua năm lớp mà bạn nên thuộc lòng: dữ liệu của bạn nằm ở đâu (lưu trú và hạ tầng), được bảo vệ ra sao (mã hóa và quản lý khóa), ai được chạm vào (kiểm soát truy cập và rủi ro nội bộ), nhà cung cấp chứng minh bằng cách nào (chứng nhận và kiểm toán), và điều gì xảy ra khi có sự cố (ứng phó sự cố và thông báo vi phạm).

Hai từ viết tắt lặp lại trong mọi cuộc trao đổi nghiêm túc. ISO/IEC 27001 là tiêu chuẩn quốc tế cho Hệ thống Quản lý An toàn Thông tin (Information Security Management System, ISMS): cách một tổ chức nhận diện, xử lý và rà soát rủi ro an ninh một cách có hệ thống, có tài liệu. Bản sửa đổi năm 2022 quy định yêu cầu quản lý trong các Điều khoản 4 đến 10 và liệt kê 93 biện pháp kiểm soát trong Phụ lục A, theo Tổ chức Tiêu chuẩn hóa Quốc tế (ISO).

SOC 2 (System and Organization Controls 2) là khung kiểm toán của Viện Kế toán Công chứng Hoa Kỳ (AICPA), báo cáo về các biện pháp kiểm soát theo năm Tiêu chí Dịch vụ Tin cậy: an ninh, sẵn sàng, toàn vẹn xử lý, bảo mật và quyền riêng tư.

Một thuật ngữ thứ ba đặc biệt quan trọng tại Việt Nam: eKYC (xác thực khách hàng điện tử, electronic Know Your Customer), bước xác minh danh tính từ xa mà công ty chứng khoán và ngân hàng chạy trước khi mở tài khoản. Dữ liệu eKYC (ảnh khuôn mặt, giấy tờ tùy thân, kiểm tra sự sống) thuộc loại nhạy cảm bậc nhất mà một nhà cung cấp có thể nắm giữ, nên nó nâng yêu cầu bảo mật dữ liệu lên cao hơn nữa. Bạn có thể xem thêm bối cảnh trong bài về quy định xác thực khuôn mặt.

Năm câu hỏi bảo mật dữ liệu cần hỏi trước khi mua

Hãy dùng năm câu hỏi dưới đây như một phiếu chấm điểm. Với mỗi câu, nhà cung cấp mạnh sẽ đưa ra câu trả lời cụ thể, có tài liệu, chứ không phải một khẩu hiệu tiếp thị. Những câu trả lời mơ hồ, phòng thủ hay kiểu "cứ tin chúng tôi" tự chúng đã là một tín hiệu về bảo mật dữ liệu, và thường là tín hiệu xấu. Hãy chấm điểm từng câu, và coi mỗi ô trống là một cờ đỏ đáng để truy vấn tiếp.

1. Dữ liệu của tôi được lưu ở đâu, có tuân thủ quy định lưu trú dữ liệu của Việt Nam không?

Hãy yêu cầu vị trí vật lý của mọi hệ thống lưu trữ hoặc xử lý dữ liệu của bạn, bao gồm cả bản sao lưu và site khôi phục thảm họa. Luật An ninh mạng của Việt Nam cùng hướng dẫn về nội địa hóa dữ liệu buộc một số loại dữ liệu về người dùng Việt Nam phải lưu trong nước. Một nhà cung cấp không thể nói cho bạn trung tâm dữ liệu nào đang giữ hồ sơ của bạn, hoặc âm thầm sao chép dữ liệu ra máy chủ nước ngoài, vừa là vấn đề bảo mật dữ liệu vừa là rủi ro pháp lý.

Chúng tôi phân tích khía cạnh pháp lý trong bài về Luật Dữ liệu và rủi ro SaaS nước ngoài.

2. Dữ liệu của tôi được mã hóa ra sao, khi truyền và khi lưu?

Mã hóa khi truyền (thường là Transport Layer Security, TLS 1.2 hoặc 1.3) bảo vệ dữ liệu di chuyển giữa bạn và nhà cung cấp. Mã hóa khi lưu bảo vệ dữ liệu lúc nằm trong kho lưu trữ. Hãy hỏi họ dùng thuật toán nào, ai giữ và xoay vòng khóa, và liệu bạn có thể tự nắm khóa của mình không. Hãy hỏi điều gì xảy ra với mã hóa nếu bạn chấm dứt hợp đồng. Nếu nhà cung cấp không thể trả lời rõ ràng, trạng thái bảo mật của họ là chưa được chứng minh, dù bảng điều khiển có bóng bẩy đến đâu.

3. Những chứng nhận nào bảo chứng cho tuyên bố bảo mật dữ liệu của bạn?

Hãy yêu cầu chứng chỉ ISO/IEC 27001 còn hiệu lực và báo cáo SOC 2 Type II gần đây, rồi đọc kỹ phạm vi. Một chứng chỉ chỉ bao phủ trang web tiếp thị, chứ không phải nền tảng dữ liệu bạn thực sự mua, gần như vô giá trị. SOC 2 Type II quan trọng hơn Type I vì nó kiểm tra xem các biện pháp kiểm soát có vận hành hiệu quả trong một giai đoạn hay không, thường là 6 đến 12 tháng, thay vì chỉ tại một thời điểm.

Hãy xin báo cáo đầy đủ kèm thỏa thuận bảo mật (NDA) và đọc danh sách ngoại lệ của kiểm toán viên, nơi câu chuyện thật về bảo mật dữ liệu của một nhà cung cấp nằm ở đó.

4. Bạn xử lý kiểm soát truy cập và rủi ro nội bộ ra sao?

Hầu hết các vụ vi phạm đều có yếu tố con người, nên hãy hỏi nhà cung cấp giới hạn ai được xem dữ liệu của bạn như thế nào. Hãy tìm kiểm soát truy cập theo vai trò (role-based access control, RBAC), xác thực đa yếu tố (multi-factor authentication, MFA), mặc định đặc quyền tối thiểu, và ghi log mọi lần truy cập vào hồ sơ nhạy cảm. Hãy hỏi quyền truy cập được thu hồi nhanh ra sao khi nhân viên nghỉ việc, và hành động đặc quyền có được người thứ hai rà soát không.

Bảo mật dữ liệu mạnh giả định người nội bộ có thể sai sót hoặc trở nên ác ý, một giả định được củng cố bởi lo ngại về chuỗi cung ứng công cụ trong vụ cáo buộc backdoor Claude Code.

5. Quy trình ứng phó sự cố và thông báo vi phạm của bạn là gì?

Không nhà cung cấp nào miễn nhiễm với vi phạm, nên bài kiểm tra thật sự là điều gì xảy ra tiếp theo. Hãy yêu cầu xem kế hoạch ứng phó sự cố bằng văn bản, thời gian tối đa nhà cung cấp cam kết thông báo cho bạn sau khi xác nhận vi phạm, và ví dụ cụ thể về các sự cố trước đây cùng cách xử lý.

Theo quy định đang siết chặt của Việt Nam, thời hạn thông báo đang rút ngắn, nên một nhà cung cấp cam kết bằng văn bản sẽ báo cho bạn trong vòng 72 giờ là đang thể hiện bảo mật dữ liệu chín chắn. Im lặng, hay lời hứa thông báo "khi thấy phù hợp", là một lời cảnh báo.

Luật Bảo vệ Dữ liệu Cá nhân thay đổi bức tranh ra sao?

Việt Nam đã hành động rất nhanh về quy định dữ liệu, và mỗi bước đều nâng mức đặt cược cho bảo mật dữ liệu. Nghị định 13/2023/ND-CP, Nghị định Bảo vệ Dữ liệu Cá nhân (PDPD), có hiệu lực từ ngày 1 tháng 7 năm 2023, là bộ quy tắc rộng đầu tiên về dữ liệu cá nhân của cả nước, giới thiệu yêu cầu về sự đồng ý, quyền của chủ thể dữ liệu và nghĩa vụ đánh giá tác động, theo tổng hợp của Vietnam Briefing.

Ngưỡng lại được nâng lên với Luật Bảo vệ Dữ liệu Cá nhân (Luật số 91/2025/QH15), có hiệu lực từ ngày 1 tháng 7 năm 2026 và thay thế nghị định tạm thời, theo Vietnam Briefing và hãng luật Tilleke & Gibbins. Đây là đạo luật đầy đủ đầu tiên của Việt Nam dành riêng cho dữ liệu cá nhân, với chế tài nặng hơn và nghĩa vụ rõ ràng hơn cho bất kỳ ai xử lý dữ liệu cá nhân, bao gồm cả nhà cung cấp của bạn. Xu hướng này khớp với áp lực tuân thủ và rủi ro tín dụng chúng tôi mô tả trong bài về ngân hàng Việt Nam nửa đầu 2026.

Với bên mua, thông điệp rất thẳng: việc thẩm định bảo mật dữ liệu của bạn nay một phần là nghĩa vụ pháp lý, không chỉ là thói quen tốt. Nếu nhà cung cấp xử lý sai dữ liệu cá nhân người Việt Nam, trách nhiệm có thể rơi vào bạn với tư cách bên kiểm soát dữ liệu. Đưa các điều khoản an ninh và quyền riêng tư cụ thể vào hợp đồng, kèm quyền kiểm toán, công bố bên xử lý phụ, và điều khoản thông báo vi phạm, là cách bạn đẩy rủi ro đó về đúng bên có khả năng quản lý nhất.

Bảo mật dữ liệu tốt trông như thế nào trong thực tế?

Bảo mật dữ liệu tốt "nhàm chán" theo nghĩa tích cực nhất: có tài liệu, được kiểm thử, và dễ giải thích ngay cả khi bị chất vấn. Một nhà cung cấp trưởng thành sẽ tự nguyện đưa chứng chỉ ISO/IEC 27001, chia sẻ báo cáo SOC 2 Type II đúng phạm vi kèm NDA, nêu tên các vị trí trung tâm dữ liệu, và dẫn bạn đi qua sổ tay ứng phó sự cố mà không né tránh hay vòng vo.

• Cờ xanh: vị trí lưu trú dữ liệu có tên rõ ràng, ISO/IEC 27001 và SOC 2 Type II còn hiệu lực với đúng nền tảng trong phạm vi, mã hóa khi lưu và khi truyền với quyền sở hữu khóa rõ ràng, RBAC cùng MFA, cam kết thông báo vi phạm trong 72 giờ, và điều khoản hợp đồng cho bạn quyền kiểm toán.
• Cờ đỏ: "nhà cung cấp đám mây lo an ninh giúp chúng tôi", chứng chỉ hết hạn hoặc bao phủ sai hệ thống, không trả lời về quản lý khóa, dùng chung tài khoản quản trị, không có kế hoạch ứng phó sự cố, và ngần ngại đưa bất cứ điều gì vào văn bản.

DataCore xây dựng nền tảng của mình đúng theo những kỳ vọng này. Dịch vụ eKYC, Dịch vụ Company Intelligence, và Dịch vụ Address chạy trên hạ tầng được thiết kế cho yêu cầu lưu trú dữ liệu và kiểm toán của Việt Nam, nên việc rà soát bảo mật dữ liệu của bạn bắt đầu từ một nền tảng có tài liệu thay vì một trang giấy trắng. Khi bạn hỏi chúng tôi năm câu hỏi trên, bạn nhận được chi tiết cụ thể, không phải khẩu hiệu.

Danh sách kiểm tra bảo mật dữ liệu có thể tái sử dụng

Năm câu hỏi ánh xạ gọn gàng thành một danh sách kiểm tra một trang mà bạn có thể dán vào mẫu mua sắm và tái sử dụng ở mỗi kỳ gia hạn. Mỗi dòng ghép câu hỏi với những gì một câu trả lời thực sự mạnh cần có và tiêu chuẩn hay luật mà nó đối chiếu. Hãy in ra, chấm mỗi nhà cung cấp từ không đến hai điểm trên mỗi dòng, và để tổng điểm dẫn dắt cuộc trao đổi. Một nhà cung cấp đạt điểm tối đa là người đã biến bảo mật dữ liệu thành thói quen chứ không phải điểm nói chuyện bán hàng.

Ai thực sự cần kỷ luật này? Bất kỳ định chế Việt Nam nào ra quyết định dựa trên dữ liệu bên ngoài: công ty chứng khoán lấy giá trực tiếp, ngân hàng chạy onboarding từ xa, quỹ sàng lọc đối tác, hay bên cho vay định giá rủi ro từ hồ sơ doanh nghiệp bên thứ ba. Càng tự động hóa nhiều quyết định trên nền dữ liệu của nhà cung cấp, thiệt hại càng lớn khi dữ liệu đó bị chỉnh sửa hoặc rò rỉ, và việc rà soát bảo mật dữ liệu kỹ lưỡng càng đáng đồng tiền.

Cũng nên định giá phần thiệt hại. Một vụ vi phạm được xác nhận có thể kích hoạt sự soi xét của cơ quan quản lý theo luật mới, khách hàng rời bỏ, chi phí điều tra và pháp lý, cùng nhiều ngày gián đoạn giao dịch trong lúc hệ thống được dựng lại và kiểm chứng. So với những con số đó, số giờ bỏ ra cho một cuộc rà soát bảo mật dữ liệu đúng nghĩa trước khi ký là một trong những biện pháp kiểm soát rủi ro rẻ nhất mà đội tài chính có thể mua.

Mục tiêu không phải là rủi ro bằng không, điều không nhà cung cấp nào hứa được, mà là rủi ro bạn đã đo lường, ghi chép và đưa vào hợp đồng có thể thực thi.

Câu hỏi thường gặp

Cuộc tấn công SPECTRALVIPER nhắm vào nhà đầu tư Việt Nam là gì?

SPECTRALVIPER là một backdoor được làm rối mã nặng, lần đầu được Elastic Security Labs ghi nhận ngày 9 tháng 6 năm 2023, dùng để nhắm vào các công ty đại chúng lớn tại Việt Nam và được quy với độ tin cậy vừa phải cho nhóm OceanLotus (APT32) có liên hệ với Việt Nam. The Hacker News đưa tin tháng 6 năm 2026 rằng OceanLotus đã dùng SPECTRALVIPER trong một vụ xâm nhập chạm tới người dùng ứng dụng giao dịch FireAnt, một ví dụ điển hình vì sao bảo mật dữ liệu quan trọng với nhà đầu tư.

ISO 27001 hay SOC 2 quan trọng hơn với một nhà cung cấp dữ liệu?

Chúng trả lời những câu hỏi khác nhau, nên nhà cung cấp mạnh nhất giữ cả hai. ISO/IEC 27001 chứng nhận một công ty vận hành Hệ thống Quản lý An toàn Thông tin đầy đủ trên toàn tổ chức. SOC 2 báo cáo cách các biện pháp kiểm soát cụ thể hoạt động theo Tiêu chí Dịch vụ Tin cậy của AICPA trong một giai đoạn. Với một nhà cung cấp dữ liệu tài chính tại Việt Nam, chứng chỉ ISO/IEC 27001 còn hiệu lực cộng báo cáo SOC 2 Type II đúng phạm vi là chuẩn vàng cho bảo mật dữ liệu.

Dùng nền tảng dữ liệu trên web có giảm rủi ro chuỗi cung ứng không?

Có thể, vì nền tảng trên web loại bỏ trình cài đặt trên máy tính và kênh tự cập nhật mà kẻ tấn công chuỗi cung ứng như SPECTRALVIPER thường lợi dụng. Nhưng nó không xóa bỏ hoàn toàn rủi ro: chính nền tảng đó trở thành nhà cung cấp nằm trong ranh giới tin cậy của bạn. Vẫn năm câu hỏi bảo mật dữ liệu ấy được áp dụng, với chú ý thêm về mã hóa, kiểm soát truy cập và nơi nền tảng lưu trữ dữ liệu của bạn.

Luật Bảo vệ Dữ liệu Cá nhân của Việt Nam yêu cầu gì ở nhà cung cấp dữ liệu?

Theo Nghị định 13/2023/ND-CP (hiệu lực 1 tháng 7 năm 2023) và Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 (hiệu lực 1 tháng 7 năm 2026), các tổ chức xử lý dữ liệu cá nhân người Việt Nam phải xin sự đồng ý, tôn trọng quyền của chủ thể dữ liệu, thực hiện đánh giá tác động và thông báo vi phạm. Vì các nghĩa vụ này có thể chuyển sang bạn với tư cách bên kiểm soát, các điều khoản bảo mật dữ liệu chặt chẽ trong hợp đồng là cách bạn giữ tuân thủ.

Bao lâu nên rà soát bảo mật dữ liệu một lần?

Tối thiểu là ở mỗi kỳ gia hạn hợp đồng, và làm mới chứng chỉ hằng năm, vì báo cáo ISO/IEC 27001 và SOC 2 có thời hạn và giai đoạn bao phủ. Hãy kích hoạt một cuộc rà soát ngoài chu kỳ mỗi khi nhà cung cấp gặp sự cố, đổi chủ sở hữu, hoặc chuyển hạ tầng. Coi bảo mật dữ liệu là một danh sách kiểm tra sống, không phải một lần đánh dấu ô, là điều giữ cho việc rà soát luôn có ý nghĩa.

Nguồn tham khảo

• Elastic Security Labs, "Elastic charms SPECTRALVIPER", elastic.co, tháng 6 năm 2023.
• The Hacker News, "OceanLotus Hits Vietnam Investors With SPECTRALVIPER in FireAnt Attack", thehackernews.com, tháng 6 năm 2026.
• Vietnam Briefing, "Vietnam Law on Personal Data Protection: Overview", vietnam-briefing.com, 2025.
• Tilleke & Gibbins, "Vietnam's New Personal Data Protection Law: A Closer Look", tilleke.com, 2025.
• Tổ chức Tiêu chuẩn hóa Quốc tế, "ISO/IEC 27001 Information security management systems", iso.org, 2022.
• AICPA, "Trust Services Criteria (SOC 2)", aicpa-cima.com, 2017 (sửa đổi 2022).