Chính sách bảo mật thông tin

Chính sách bảo mật thông tin là gì?

Chính sách bảo mật thông tin (Information Security Policy) là tập hợp các quy định, nguyên tắc và biện pháp mà tổ chức tín dụng, ngân hàng thiết lập nhằm bảo vệ thông tin, dữ liệu khỏi truy cập trái phép, thay đổi, phá hủy hoặc rò rỉ. Theo Thông tư 31/2017/TT-NHNN về hệ thống kiểm soát nội bộ và quản lý rủi ro hoạt động ngân hàng, tổ chức tín dụng phải xây dựng chính sách bảo mật phù hợp quy mô, loại hình và mức độ rủi ro của công nghệ thông tin.

Đặc điểm chính

• Tính bí mật (Confidentiality): Thông tin chỉ được tiếp cận bởi người có thẩm quyền theo nguyên tắc "cần biết".
• Tính toàn vẹn (Integrity): Ngăn ngừa sửa đổi, xóa dữ liệu trái phép; đảm bảo dữ liệu chính xác.
• Tính sẵn sàng (Availability): Hệ thống hoạt động liên tục, không bị gián đoạn dịch vụ.
• Phân quyền và xác thực: Sử dụng mật khẩu mạnh, xác thực đa yếu tố (MFA), đăng nhập OTP.
• Tuân thủ pháp luật: Theo Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018, Nghị định 85/2016/NĐ-CP.

Ví dụ thực tế

Ngân hàng TMCP B xây dựng chính sách bảo mật gồm: (1) Mật khẩu giao dịch tối thiểu 8 ký tự, có chữ hoa, số, ký tự đặc biệt và thay đổi mỗi 90 ngày; (2) Dữ liệu khách hàng được mã hóa AES-256 khi lưu trữ và truyền tải; (3) Cấm nhân viên lưu thông tin khách hàng trên thiết bị cá nhân; (4) Theo Điều 17 Nghị định 85/2016/NĐ-CP, hệ thống phải được kiểm tra, đánh giá an ninh định kỳ ít nhất 6 tháng/lần. Vi phạm chính sách bị xử phạt theo Nghị định 15/2020/NĐ-CP về xử phạt hành chính trong lĩnh vực an toàn thông tin mạng.