Trưởng phòng An ninh Thông tin Chi nhánh Ngân hàng (Branch Information Security Manager) là gì?

Trưởng phòng An ninh Thông tin Chi nhánh Ngân hàng (Branch Information Security Manager)

Trưởng phòng An ninh Thông tin Chi nhánh Ngân hàng (tiếng Anh: Branch Information Security Manager, viết tắt: BISM) là chức danh quản lý cấp phòng/ban trực thuộc Giám đốc Chi nhánh, chịu trách nhiệm điều phối, giám sát và triển khai toàn bộ hoạt động liên quan đến bảo mật, an toàn thông tin (ATTT) và quản trị rủi ro công nghệ thông tin (CNTT) trong phạm vi một chi nhánh ngân hàng. Vị trí này là đầu mối liên lạc trực tiếp giữa chi nhánh với Trụ sở chính (HO) và các khối nghiệp vụ như Khối Quản trị Rủi ro, Khối CNTT, Khối Tuân thủ (Compliance) và Khối Phòng chống Rửa tiền (AML/CFT). Ở các ngân hàng quy mô vừa và nhỏ, chức danh này đôi khi được kiêm nhiệm bởi Trưởng phòng Hỗ trợ hoặc Phó phòng CNTT chi nhánh; ở các ngân hàng lớn (nhóm Big 4), vị trí này thường được tách riêng và báo cáo song song (dual reporting) về cả Giám đốc Chi nhánh và Trưởng phòng An ninh Thông tin Hội sở (Head of Information Security).

Phạm vi công việc và trách nhiệm chính

Công việc của BISM được chia thành bốn nhóm nghiệp vụ cốt lõi:

1. Quản trị ATTT tại chi nhánh

• Triển khai, cập nhật và giám sát tuân thủ hệ thống chính sách, quy trình, tiêu chuẩn ATTT do Hội sở ban hành xuống toàn bộ nhân viên chi nhánh.
• Quản lý tài sản thông tin (information assets), danh mục dữ liệu nhạy cảm, phân loại mức độ bảo mật theo từng bộ phận (Kế toán, Giao dịch viên, Tín dụng, Kho quỹ...).
• Duy trì và cập nhật Kế hoạch Duy trì hoạt động kinh doanh liên tục (Business Continuity Plan - BCP) và Kế hoạch Khôi phục sau thảm họa (Disaster Recovery Plan - DRP) cấp chi nhánh, tổ chức diễn tập định kỳ ít nhất 1 lần/năm.

2. Giám sát, phát hiện và ứng phó sự cố

• Theo dõi hệ thống giám sát ATTT (SIEM, DLP, IDS/IPS, EDR) hoạt động tại chi nhánh; phối hợp với Trung tâm Giám sát An ninh mạng (SOC) của Hội sở để phân tích cảnh báo.
• Là đầu mối tiếp nhận, phân loại và xử lý sự cố ATTT cấp chi nhánh theo quy trình quản lý sự cố (Incident Response); tham gia điều tra khi có sự cố rò rỉ dữ liệu khách hàng, gian lận nội bộ, tấn công mạng.
• Báo cáo sự cố lên Hội sở theo biểu mẫu và khung thời gian quy định; lưu trữ nhật ký sự cố tối thiểu 5 năm phục vụ kiểm toán.

3. Kiểm soát vật lý và con người

• Giám sát hệ thống camera an ninh (CCTV), kiểm soát ra vào (access control), hệ thống báo động, kho quỹ và khu vực xử lý tiền mặt, ATM/CDM tại chi nhánh.
• Phối hợp với Phòng Nhân sự và Quản lý rủi ro trong việc sàng lọc lý lịch nhân viên mới (background check), đào tạo nhận thức ATTT bắt buộc cho 100% nhân sự chi nhánh (thường 2 lần/năm), tổ chức các chiến dịch mô phỏng phishing test.
• Kiểm tra tuân thủ nguyên tắc "sạch bàn" (clean desk policy), khóa màn hình khi rời vị trí, quản lý khóa vật lý và thiết bị lưu trữ cá nhân.

4. Tuân thủ quy định pháp luật và kiểm toán

• Đảm bảo chi nhánh tuân thủ các quy định của Ngân hàng Nhà nước (NHNN) về ATTT trong hoạt động ngân hàng, các yêu cầu bảo mật theo Luật An toàn thông tin mạng, Luật An ninh mạng, Luật Bảo vệ quyền lợi người tiêu dùng, và các tiêu chuẩn quốc tế mà ngân hàng áp dụng (ISO/IEC 27001, PCI-DSS cho hoạt động thẻ, NIST Cybersecurity Framework).
• Phối hợp với kiểm toán nội (Internal Audit) và kiểm toán độc lập; theo dõi và đóng các phát hiện kiểm toán ATTT đúng thời hạn.
• Tham gia đánh giá rủi ro ATTT đối với các dự án CNTT, sản phẩm mới triển khai tại chi nhánh (ví dụ: triển khai eKYC, sinh trắc học, mở tài khoản từ xa).

Yêu cầu năng lực và tiêu chuẩn tuyển dụng

Để ứng tuyển vị trí BISM, ứng viên thường phải đáp ứng các yêu cầu cơ bản sau:

• Bằng cấp: Tốt nghiệp đại học chuyên ngành CNTT, An toàn thông tin, Hệ thống thông tin, Toán-Tin hoặc các ngành liên quan. Ưu tiên ứng viên có chứng chỉ quốc tế như CISSP, CISM, CISA, ISO 27001 Lead Auditor/Implementer, CEH, CompTIA Security+.
• Kinh nghiệm: Tối thiểu 3-5 năm kinh nghiệm trong lĩnh vực ATTT hoặc CNTT ngân hàng, trong đó ít nhất 1-2 năm ở vị trí quản lý hoặc tại chi nhánh.
• Kiến thức chuyên môn: Hiểu biết sâu về mạng, hệ điều hành, cơ sở dữ liệu, điện toán đám mây (AWS/Azure), mã hóa, quản lý danh tính và truy cập (IAM), quy định của NHNN về ATTT, tiêu chuẩn PCI-DSS (nếu chi nhánh phát hành thẻ).
• Kỹ năng mềm: Khả năng giao tiếp với nhiều cấp (từ giao dịch viên đến Giám đốc Chi nhánh), kỹ năng đào tạo và nâng cao nhận thức, tư duy phân tích rủi ro, khả năng viết báo cáo và trình bày trước ban lãnh đạo.
• Yêu cầu đặc thù: Lý lịch tư pháp rõ ràng (lý lịch cấp 2 - lý lịch tư pháp/ANTT), cam kết bảo mật thông tin nội bộ, không có xung đột lợi ích với các hoạt động kinh doanh.

Mức lương và cơ hội thăng tiến

Tại Việt Nam, mức thu nhập của BISM dao động tùy quy mô ngân hàng và địa điểm:

• Ngân hàng TMCP nhỏ và trung bình (chi nhánh tỉnh): 18 - 30 triệu đồng/tháng (gross).
• Ngân hàng TMCP lớn (Big 4, nhóm top 10): 30 - 60 triệu đồng/tháng (gross), có thể lên tới 80 - 100 triệu nếu là chi nhánh cấp 1 hoặc chi nhánh trọng yếu tại TP.HCM/Hà Nội.
• Phúc lợi: Thưởng Tết (1-3 tháng lương), thưởng KPIs, bảo hiểm sức khỏe cao cấp cho bản thân và người thân, phụ cấp điện thoại/xăng xe, cơ hội tham gia các khóa đào tạo chứng chỉ quốc tế do ngân hàng tài trợ.

Con đường thăng tiến phổ biến: Chuyên viên ATTT cao cấp chi nhánh → BISM → Giám đốc An ninh Thông tin Vùng/Miền (Regional Information Security Manager) → Trưởng phòng An ninh Thông tin Hội sở (Head of Information Security) → Giám đốc An ninh Thông tin (Chief Information Security Officer - CISO). Một số BISM chuyển hướng sang Khối Quản trị Rủi ro, Kiểm toán nội hoặc Phòng chống Gian lận (Fraud Management) sau khi tích lũy đủ kinh nghiệm toàn diện.

Câu hỏi thường gặp

Hỏi: Trưởng phòng An ninh Thông tin Chi nhánh khác gì với Trưởng phòng IT chi nhánh? Trưởng phòng IT chịu trách nhiệm về hạ tầng kỹ thuật (máy chủ, mạng, máy tính, ATM, hệ thống core banking) — tức là "vận hành công nghệ". Trưởng phòng An ninh Thông tin tập trung vào "bảo vệ thông tin": xây dựng chính sách, kiểm soát truy cập, phòng chống rò rỉ dữ liệu, ứng phó sự cố, tuân thủ quy định. Ở nhiều ngân hàng, hai vị trí này tách biệt; BISM thường báo cáo về Khối Quản trị Rủi ro hoặc Hội sở, còn Trưởng phòng IT báo cáo về Khối CNTT. Tuy nhiên, hai bộ phận phải phối hợp chặt chẽ vì bảo mật gắn liền với hạ tầng.

Hỏi: Để thi tuyển vị trí BISM tại ngân hàng Việt Nam, ứng viên thường được hỏi những nội dung gì trong buổi phỏng vấn? Bộ câu hỏi thường tập trung vào: (1) Hiểu biết về quy định NHNN về ATTT trong hoạt động ngân hàng và tiêu chuẩn ISO 27001; (2) Cách xử lý tình huống giả định (case study) như nhân viên chi nhánh vô tình gửi dữ liệu khách hàng ra ngoài qua email cá nhân, hoặc phát hiện giao dịch bất thường tại ATM; (3) Quy trình ứng phó sự cố ransomware; (4) Cách triển khai chương trình đào tạo nhận thức ATTT cho giao dịch viên không có nền tảng kỹ thuật; (5) Kinh nghiệm phối hợp với kiểm toán và cơ quan quản lý nhà nước.

Hỏi: Sinh viên mới ra trường có thể ứng tuyển trực tiếp vị trí BISM không? Không khả thi vì đây là vị trí quản lý cấp phòng đòi hỏi 3-5 năm kinh nghiệm. Sinh viên nên bắt đầu ở các vị trí như Chuyên viên ATTT, Chuyên viên Quản trị rủi ro CNTT, Chuyên viên Kiểm toán IT, hoặc Chuyên viên Vận hành hệ thống tại ngân hàng trong 2-3 năm đầu, đồng thời lấy thêm chứng chỉ CompTIA Security+, CEH hoặc ISO 27001 Foundation. Sau đó chuyển sang vị trí Chuyên viên ATTT cao cấp chi nhánh, tích lũy thêm 1-2 năm quản lý nhóm nhỏ trước khi ứng tuyển BISM.

Lưu ý: Nội dung trên mang tính tham khảo tổng hợp, phục vụ luyện thi tuyển dụng ngân hàng. Mức lương, yêu cầu tuyển dụng và quy định pháp luật cụ thể có thể thay đổi theo từng ngân hàng, thời kỳ và vị trí địa lực; ứng viên nên kiểm tra thông tin chính thức từ website tuyển dụng của ngân hàng và các văn bản hiện hành của Ngân hàng Nhà nước Việt Nam trước khi ứng tuyển.