Khung quản trị rủi ro công nghệ thông tin (IT Risk Management Framework)
Khung quản trị rủi ro công nghệ thông tin (IT Risk Management Framework) là hệ thống có cấu trúc gồm chính sách, quy trình, tiêu chuẩn, chỉ số và công cụ công nghệ mà ngân hàng sử dụng để nhận diện, đo lường, đánh giá, kiểm soát, giám sát và báo cáo toàn bộ rủi ro phát sinh từ hoạt động công nghệ thông tin (CNTT). Phạm vi rủi ro được quản trị trong khung này bao gồm rủi ro an ninh mạng (cybersecurity), rủi ro vận hành hệ thống (system availability & performance), rủi ro dữ liệu (data integrity, data privacy, data leakage), rủi ro từ bên thứ ba cung cấp dịch vụ CNTT, rủi ro thay đổi (change management) và rủi ro tuân thủ liên quan đến các quy định về CNTT của Ngân hàng Nhà nước cũng như các chuẩn mực quốc tế.
Trong ngữ cảnh ngân hàng Việt Nam, khung quản trị rủi ro CNTT là nền tảng để Hội đồng quản trị, Ban điều hành và các đơn vị CNTT vận hành một cách có kiểm soát theo ba tuyến phòng thủ (Three Lines of Defense): tuyến một là đơn vị kinh doanh và đơn vị CNTT chịu trách nhiệm trực tiếp quản lý rủi ro; tuyến hai là bộ phận quản trị rủi ro (Risk Management) và bộ phận an toàn thông tin (Information Security) thực hiện giám sát độc lập; tuyến ba là kiểm toán nội bộ đánh giá hiệu lực của toàn bộ khung.
Các thành phần cốt lõi của khung
Một khung quản trị rủi ro CNTT hoàn chỉnh thường bao gồm bảy thành phần gắn kết chặt chẽ với nhau:
1. Khung chính sách và quy trình: bộ chính sách an toàn thông tin, quy trình quản lý sự cố, quy trình quản lý thay đổi (change management), quy trình quản lý truy cập, quy trình sao lưu và phục hồi, quy trình quản lý rủi ro bên thứ ba. Đây là tài liệu nền tảng để kiểm toán đánh giá.
2. Danh mục rủi ro CNTT (IT Risk Register/Catalog): liệt kê toàn bộ rủi ro CNTT theo từng danh mục nghiệp vụ (tiền gửi, tín dụng, thanh toán, thẻ, ngân hàng số…) gắn với hệ thống ứng dụng cụ thể. Mỗi rủi ro được mô tả bằng nguyên nhân, tác động, xác suất và kiểm soát hiện hữu.
3. Đánh giá rủi ro (Risk Assessment): thực hiện định kỳ và khi có sự kiện kích hoạt (như triển khai hệ thống mới, sáp nhập, sự cố lớn) bằng phương pháp định lượng hoặc định tính; kết hợp phân tích mối đe dọa – lỗ hổng – tác động (Threat-Vulnerability-Impact).
4. Kiểm soát và biện pháp giảm thiểu: phân loại thành kiểm soát phòng ngừa (preventive), kiểm soát phát hiện (detective) và kiểm soát sửa chữi (corrective); bao gồm tường lửa, hệ thống phát hiện xâm nhập (IDS/IPS), mã hóa dữ liệu, phân quyền truy cập theo nguyên tắc tối thiểu (least privilege), xác thực đa yếu tố (MFA).
5. Chỉ số và ngưỡng giám sát (KRIs/KPIs): các chỉ số rủi ro chính (Key Risk Indicators) như số sự cố nghiêm trọng/tháng, thời gian ngừng hệ thống (downtime), tỷ lệ vá lỗ hổng đúng hạn, số cảnh báo an ninh chưa xử lý quá SLA.
6. Quy trình ứng phó sự cố và liên tục kinh doanh (Incident Response & BCP/DR): kế hoạch ứng phó sự cố an ninh mạng, kế hoạch khôi phục thảm họa (Disaster Recovery Plan), kế hoạch liên tục kinh doanh (Business Continuity Plan) được diễn tập ít nhất mỗi năm một lần.
7. Báo cáo và cơ chế quản trị: báo cáo rủi ro CNTT lên Ủy ban Công nghệ, Ủy ban Quản trị rủi ro và Hội đồng quản trị theo chu kỳ tháng/quý/năm, đảm bảo thực hiện nguyên tắc "tone at the top" và "three lines of defense".
Chuẩn mực và mô hình tham chiếu phổ biến
Các ngân hàng Việt Nam thường xây dựng khung dựa trên các chuẩn mực quốc tế sau:
- COBIT 2019 (Control Objectives for Information and Related Technologies): khung quản trị và quản lý CNTT do ISACA ban hành, tập trung vào 40 mục tiêu quản trị và quản lý.
- NIST Cybersecurity Framework (CSF) 1.1/2.0: khung gồm 5 chức năng cốt lõi – Identify, Protect, Detect, Respond, Recover – được Ngân hàng Nhà nước khuyến nghị áp dụng.
- ISO/IEC 27001:2022 và ISO/IEC 27002:2022: tiêu chuẩn hệ thống quản lý an toàn thông tin (ISMS) và bộ kiểm soát chi tiết.
- PCI DSS cho hệ thống thẻ, SWIFT CSP cho môi trường kết nối SWIFT.
- Tại Việt Nam, khung phải tuân thủ Thông tư hướng dẫn về an toàn, bảo mật trong hoạt động ngân hàng điện tử và quy định về quản trị rủi ro công nghệ của Ngân hàng Nhà nước.
Quy trình áp dụng tại ngân hàng
Quy trình điển hình gồm 6 bước: (1) Xác định phạm vi và vai trò trách nhiệm; (2) Xây dựng danh mục rủi ro CNTT và thang đo rủi ro (thường dùng thang 5×5 giữa xác suất và tác động); (3) Đánh giá rủi ro hiện hữu (inherent risk) và rủi ro dư (residual risk) sau kiểm soát; (4) Lập kế hoạch xử lý rủi ro theo bốn chiến lược: tránh, giảm, chuyển giao (mua bảo hiểm, thuê ngoài), chấp nhận; (5) Triển khai kiểm soát và giám sát liên tục qua GRC (Governance, Risk & Compliance) tool; (6) Rà soát và cải tiến khung theo chu kỳ (thường 12 tháng) hoặc khi có sự kiện trọng yếu.
Ví dụ minh họa: Khi ngân hàng triển khai dịch vụ ngân hàng mở (Open Banking), khung quản trị rủi ro CNTT sẽ yêu cầu đánh giá rủi ro API (xác thực, phân quyền, rate limit), kiểm thử xâm nhập (penetration test) trước go-live, thiết lập giám sát lưu lượng bất thường theo thời gian thực, và cập nhật quy trình ứng phó sự cố cho kênh số.
Câu hỏi thường gặp
Hỏi: Khung quản trị rủi ro CNTT khác gì so với khung an toàn thông tin (ISMS) trong ngân hàng?
Khung an toàn thông tin (ISMS) theo ISO 27001 là một tập con trong khung quản trị rủi ro CNTT, tập trung vào bảo mật thông tin. Khung quản trị rủi ro CNTT rộng hơn, bao trùm cả rủi ro vận hành, rủi ro tuân thủ, rủi ro dự án CNTT và rủi ro từ nhà cung cấp, gắn với quản trị doanh nghiệp và chiến lược chuyển đổi số.
Hỏi: Trong ngân hàng, đơn vị nào chịu trách nhiệm chính về khung quản trị rủi ro CNTT?
Trách nhiệm cuối cùng thuộc về Hội đồng quản trị và Ban điều hành. Về mặt chuyên môn, Giám đốc Khối CNTT (CIO) chịu trách nhiệm quản lý, Giám đốc An toàn thông tin (CISO) chịu trách nhiệm về chính sách và giám sát bảo mật, Giám đốc Quản trị rủi ro (CRO) chịu trách kiện toàn khung tổng thể và báo cáo lên Ủy ban Quản trị rủi ro. Ba tuyến phòng thủ phải phối hợp chặt chẽ.
Hỏi: Ngân hàng nhỏ và vừa cần tối thiểu những yếu tố nào để có khung quản trị rủi ro CNTT đạt yêu cầu kiểm toán?
Cần tối thiểu: (i) chính sách an toàn thông tin được HĐQT phê duyệt; (ii) danh mục rủi ro CNTT được đánh giá định kỳ; (iii) quy trình quản lý sự cố và khôi phục thảm họa có diễn tập; (iv) kiểm soát truy cập, mã hóa và giám sát an ninh cơ bản; (v) báo cáo rủi ro CNTT lên Ban điều hành ít nhất mỗi quý.
Nội dung mang tính tham khảo, không thay thế tư vấn chuyên môn về quản trị rủi ro hay tư vấn pháp lý. Bạn đọc nên đối chiếu với quy định hiện hành của Ngân hàng Nhà nước và chuẩn mực nội bộ của từng tổ chức tín dụng.