Phòng Quản trị Rủi ro Cyber và An ninh Thông tin Khách hàng (Customer Cyber & Information Security Risk Department)
Phòng Quản trị Rủi ro Cyber và An ninh Thông tin Khách hàng (tên tiếng Anh: Customer Cyber & Information Security Risk Department) là đơn vị chuyên trách trực thuộc Khối Quản trị Rủi ro của các ngân hàng thương mại, có chức năng xây dựng khung quản trị rủi ro an toàn thông tin, giám sát và kiểm soát các rủi ro về an ninh mạng, gian lận trực tuyến (cyber fraud) và bảo vệ dữ liệu khách hàng trong toàn bộ hoạt động ngân hàng số (digital banking) cũng như các kênh giao dịch điện tử. Đây là một trong những phòng ban có vai trò then chốt trong mô hình ba tuyến bảo vệ (Three Lines of Defense) tại các ngân hàng, đặc biệt trong bối cảnh các quy định của Ngân hàng Nhà nước về an toàn, bảo mật trong hoạt động ngân hàng điện tử và quy định về bảo vệ dữ liệu cá nhân theo Nghị định 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 về bảo vệ dữ liệu cá nhân đang ngày càng được siết chặt.
Chức năng nhiệm vụ chính
Phòng Quản trị Rủi ro Cyber và An ninh Thông tin Khách hàng thường đảm nhận các nhóm nhiệm vụ trọng yếu sau:
- Xây dựng khung quản trị rủi ro an ninh thông tin: Thiết lập và cập nhật chính sách, quy chế, tiêu chuẩn kỹ thuật về an toàn thông tin áp dụng thống nhất trong toàn hệ thống ngân hàng; ban hành các chuẩn mực kiểm soát dựa trên khung quốc tế như ISO/IEC 27001, NIST Cybersecurity Framework, PCI DSS.
- Đánh giá rủi ro an ninh thông tin (Information Security Risk Assessment): Thực hiện đánh giá rủi ro định kỳ và đột xuất đối với các hệ thống ứng dụng ngân hàng số (mobile banking, internet banking, Open API), hạ tầng thanh toán thẻ, trung tâm dữ liệu; phân loại mức độ rủi ro theo xác suất xảy ra và mức độ tác động.
- Giám sát và phát hiện gian lận (Fraud Monitoring): Vận hành hệ thống giám sát giao dịch thời gian thực nhằm phát hiện các dấu hiệu gian lận như giao dịch bất thường, tấn công chiếm đoạt tài khoản (account takeover), lừa đảo phi kỹ thuật (social engineering), tấn công giả mạo (phishing, smishing, vishing).
- Phản ứng sự cố an ninh thông tin (Incident Response): Xây dựng và diễn tập quy trình ứng cứu sự cố, phối hợp với Cục An toàn thông tin (Bộ Thông tin và Truyền thông) và các cơ quan chức năng khi xảy ra sự cố an ninh mạng nghiêm trọng; thực hiện rà soát nguyên nhân gốc rễ (root cause analysis) sau sự cố.
- Tuân thủ quy định pháp luật: Đảm bảo hoạt động ngân hàng tuân thủ các quy định của Ngân hàng Nhà nước, Luật An toàn thông tin mạng, Luật An ninh mạng, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, Thông tư hướng dẫn về an toàn, bảo mật trong hoạt động ngân hàng điện tử, cùng các cam kết quốc tế mà ngân hàng tham gia.
- Báo cáo quản trị rủi ro: Chuẩn bị báo cáo rủi ro an ninh thông tin định kỳ gửi Ủy ban Quản trị Rủi ro, Hội đồng Quản trị và các cơ quan quản lý; trình bày các chỉ số rủi ro chính (KRI) về cyber và an toàn thông tin.
Vị trí trong cơ cấu tổ chức ngân hàng
Tùy quy mô và mô hình tổ chức, Phòng Quản trị Rủi ro Cyber và An ninh Thông tin Khách hàng có thể được bố trí theo các cách sau:
- Trực thuộc Khối Quản trị Rủi ro (Risk Management Division): Đây là cách phổ biến nhất tại các ngân hàng thương mại cổ phần lớn tại Việt Nam, đảm bảo tính độc lập với tuyến kinh doanh và tuyến vận hành CNTT, phù hợp nguyên tắc ba tuyến bảo vệ.
- Trực thuộc Trung tâm An toàn thông tin (Information Security Center): Một số ngân hàng tổ chức theo hướng này, tích hợp chặt chẽ giữa quản trị rủi ro và vận hành kỹ thuật, thường gặp tại các ngân hàng có chiến lược ngân hàng số mạnh.
- Là một phòng ban độc lập báo cáo trực tiếp lên Giám đốc Khối Quản trị Rủi ro hoặc Giám đốc An toàn thông tin (CISO): Phù hợp với các ngân hàng quy mô rất lớn hoặc ngân hàng có yêu cầu tuân thủ cao từ cổ đông chiến lược nước ngoài.
Phòng thường phối hợp chặt chẽ với Phòng Quản trị Rủi ro Hoạt động, Phòng Tuân thủ (Compliance), Phòng Phòng chống Rửa tiền (AML/CFT), Khối Công nghệ Thông tin và Trung tâm Chăm sóc Khách hàng.
Yêu cầu năng lực và tuyển dụng
Đối với ứng viên thi tuyển vào vị trí tại phòng ban này, nhà tuyển dụng thường yêu cầu:
- Bằng cấp chuyên ngành: Tốt nghiệp đại học trở lên chuyên ngành An toàn thông tin, Khoa học Máy tính, Hệ thống Thông tin, Toán tin, Điện tử Viễn thông hoặc các ngành liên quan.
- Chứng chỉ nghề nghiệp: CISSP (Certified Information Systems Security Professional), CISM (Certified Information Security Manager), CRISC (Certified in Risk and Information Systems Control), CISA (Certified Information Systems Auditor), ISO 27001 Lead Auditor/Implementer, CEH (Certified Ethical Hacker) là những chứng chỉ được đánh giá cao.
- Kinh nghiệm thực tế: Ưu tiên ứng viên có 2-5 năm kinh nghiệm tại vị trí tương đương ở ngân hàng, công ty tài chính, công ty công nghệ, công ty kiểm toán (Big 4) hoặc các cơ quan quản lý nhà nước về an toàn thông tin.
- Kiến thức nghiệp vụ: Hiểu biết về quy trình ngân hàng, sản phẩm ngân hàng số, các phương thức tấn công mạng phổ biến (APT, DDoS, malware, ransomware), chuẩn mực bảo mật thẻ thanh toán, quy định về bảo vệ dữ liệu cá nhân.
- Kỹ năng mềm: Tư duy phân tích rủi ro, khả năng giao tiếp với nhiều cấp quản lý, kỹ năng viết báo cáo quản trị, khả năng làm việc nhóm đa phòng ban.
Câu hỏi thường gặp
Hỏi: Phòng Quản trị Rủi ro Cyber và An ninh Thông tin Khách hàng khác gì với Trung tâm An toàn Thông tin (IT Security / SOC)?
Phòng Quản trị Rủi ro Cyber thuộc tuyến bảo vệ thứ hai (2nd line), tập trung vào xây dựng khung kiểm soát, đánh giá rủi ro, giám sát tuân thủ và báo cáo quản trị. Trong khi đó, Trung tâm An toàn Thông tin hoặc SOC (Security Operations Center) thuộc tuyến thứ nhất, chịu trách nhiệm vận hành kỹ thuật, giám sát log, xử lý sự cố trực tiếp, cài đặt và cấu hình hệ thống bảo mật. Hai bộ phận bổ trợ cho nhau nhưng có vai trò và thước đo hiệu quả khác nhau.
Hỏi: Vị trí công việc trong phòng này có phù hợp với ứng viên mới ra trường không? Mức lương khởi điểm khoảng bao nhiêu?
Phòng thường ưu tiên tuyển nhân sự có kinh nghiệm 1-3 năm trở lên, tuy nhiên một số chương trình fresher/management trainee tại các ngân hàng lớn vẫn có vòng quay làm việc ngắn hạn tại phòng để đào tạo nguồn nhân lực kế thừa. Mức lương khởi điểm dao động khoảng 12-20 triệu đồng/tháng đối với vị trí chuyên viên mới tại ngân hàng thương mại cổ phần, có thể cao hơn 25-40 triệu đồng/tháng đối với ứng viên đã có chứng chỉ quốc tế và kinh nghiệm 3-5 năm.
Hỏi: Ngân hàng Việt Nam hiện đang đối mặt với những rủi ro cyber nào phổ biến nhất mà phòng này cần kiểm soát?
Các rủi ro phổ biến bao gồm: (1) tấn công lừa đảo qua tin nhắn SMS, cuộc gọi và email nhằm chiếm đoạt OTP, mật khẩu; (2) tấn công vào hệ thống ngân hàng số, mobile banking, cổng thanh toán; (3) rò rỉ dữ liệu khách hàng (data breach); (4) tấn công bằng mã độc tống tiền (ransomware) vào hạ tầng CNTT; (5) gian lận thẻ tín dụng và thẻ ghi nợ; (6) tấn công có chủ đích (APT) vào hệ thống thanh toán liên ngân hàng. Theo các báo cáo của Cục An toàn thông tin và Ngân hàng Nhà nước, số vụ tấn công vào hệ thống tài chính ngân hàng tại Việt Nam có xu hướng tăng mạnh trong những năm gần đây.
Nội dung mang tính tham khảo, không thay thế tư vấn chuyên môn. Mô tả công việc và yêu cầu tuyển dụng có thể khác biệt tùy theo quy mô, mô hình tổ chức và chiến lược phát triển của từng ngân hàng.