Ngân hàng – thất thoát dữ liệu là thất thoát tiền

Hiện nay, các ngân hàng hoạt động trong môi trường pháp lý chặt chẽ, họ hiểu được rằng khách hàng của họ cần được bảo vệ những thông tin cá nhân của mình. Khách hàng có thể chuyển sang giao dịch với ngân hàng khác nếu họ cảm thấy không vững tin vào tính bảo mật thông tin của ngân hàng mà họ đang giao dịch. Giải pháp chống thất thoát dữ liệu (Data Loss Prevention – DLP của RSA và thiết bị BlueCoat Proxy SG) rất quan trọng đối với các ngân hàng. Đây là một giải pháp cho phép các ngân hàng có thể giám sát và điều khiển dữ liệu mảng và thực thi các chính sách, được thiết kế để chống lại việc thất thoát dữ liệu trong các luồng traffic bao gồm cả các traffic kiểu mã hóa SSL.

Ngày nay, những dữ liệu quan trọng được lưu trong thẻ nhớ, máy tính xách tay, PDA, iPod hay những thiết bị di động cá nhân khác, nên việc kiểm soát những thông tin này ngày càng phức tạp hơn. Khi các ngân hàng tìm cách cung cấp cho khách hàng những dịch vụ tiện ích khác nhau: giao dịch ngân hàng truyền thống; trực tuyến và dịch vụ ngân hàng di động. Việc duy trì mức độ linh hoạt các dịch vụ ngân hàng cũng như chất lượng dịch vụ cao cũng làm phát sinh tính phức tạp và thách thức mới đối với việc bảo đảm an toàn cho dữ liệu khách hàng.

Năm 2011 đến nay, có nhiều vụ rò rỉ thông tin mật do sự bất cẩn của một số tổ chức tài chính hàng đầu trên thế giới như: HSBC, Bank Of America (BofA) hay cơ quan thuế vụ hạt Guilford của Anh… Tại HSBC, thông tin về kế hoạch người kế nhiệm Chủ tịch HĐQT của Ngân hàng hàng đầu thế giới này đã bị lộ trước khi công bố rộng rãi vài ngày. Một cuộc điều tra chính thức đã được tiến hành để tìm hiểu xem những thông tin nào đã bị rò rỉ trong kế hoạch mang tính tối mật này có lẽ sẽ không thể thực hiện trong giai đoạn chuyển giao nhạy cảm này do các cổ đông lớn muốn “chôn chặt” các thông tin đó. Còn tại ngân hàng BofA, sự việc có vẻ còn tồi tệ hơn khi khách hàng thân thiết phát hiện ra rằng các nhân viên của Ngân hàng này đã tiết lộ thông tin mật của mình và hàng trăm khách hàng khác cho một nhóm lừa đảo mà hậu quả là khoảng 10 triệu USD đã không cánh mà bay khỏi các tài khoản cá nhân của họ. Các thông tin bị đánh cắp bao gồm họ và tên thật, địa chỉ, số an sinh xã hội, số điện thoại, số tài khoản ngân hàng, bằng lái xe, ngày sinh, địa chỉ email, tên mẹ, số PIN và số dư tài khoản. Với những thông tin mật này của khách hàng, đường dây lừa đảo này bắt đầu liên hệ với BofA để xin phiếu Séc cho hai trong số 3 tài khoản của nạn nhân và đồng thời gọi điện đến công ty điện thoại để sắp xếp sao cho tất cả cuộc gọi từ BofA đến khách hàng sẽ được chuyển tiếp đến số điện thoại của bọn chúng. Sau đó, chúng chỉ việc gọi điện đến BofA và nói rằng chúng không thể truy cập vào một tài khoản của nạn nhân và đề nghị ngân hàng chuyển hết số tiền đó sang các tài khoản mà chúng đã có phiếu Séc để rút tiền, và các nhân viên BofA thực hiện những yêu cầu đó qua điện thoại ngay lập tức. Công đoạn cuối cùng là nhóm lừa đảo sẽ dùng các phiếu Séc của nạn nhân và rút hết tiền chỉ trong vài giờ đồng hồ. Sự việc này xảy ra với ít nhất 300 khách hàng của BofA và trong khi cuộc điều tra đang được mở rộng thì BofA cũng có động thái bồi thường cho khách hàng và thừa nhận rằng “BofA biết rằng an toàn và bảo mật thông tin khách hàng là trách nhiệm của chúng tôi và chúng tôi thực sự xin lỗi về những vụ việc trên”. Đây là một trong những hồi chuông cảnh tỉnh cho những khách hàng ủy thác hoàn toàn cuộc sống tài chính cho các tổ chức tài chính lớn.

Tại Việt Nam, để bảo vệ thông tin mật, Ngân hàng nhà nước (NHNN) đã quy định về độ mật của từng loại tài liệu, vật mang bí mật Nhà nước trong ngành Ngân hàng (Quyết định số 45/2007/QĐ-NHNN ngày 17 tháng 12 năm 2007). Trong Quyết định này, các thông tin về chiến lược phát triển ngành ngân hàng và các giải pháp thực hiện chưa công bố và tài liệu liên quan đến tiền gửi và tài sản khác của từng khách hàng tại các tổ chức tín dụng được coi là tài liệu “Mật” và có chế độ bảo vệ rất nghiêm ngặt. Tuy nhiên, thật đáng tiếc trong thời gian qua, tại một Chi Nhánh của Ngân hàng Agribank đã có hiện tượng Giám đốc Phòng giao dịch cung cấp thông tin và cấu kết với một chủ thẻ nhằm chiếm đoạt 30 tỷ đồng từ một tài khoản chung với 4 chủ thẻ khác. Để phòng tránh các sự việc đáng tiếc về việc bất cẩn trong việc quản lý thông tin mật liên quan đến khách hàng hoặc các kế hoạch/chiến lược phát triển ngành, chúng ta cần:

1)  Nghiêm túc thực hiện phân loại/rà soát tài liệu và vật mang bí mật Nhà nước trong ngành Ngân hàng theo Quyết Định số 45/2007 của NHNN. 
2)  Cần xác định một cơ chế bảo vệ chặt chẽ các loại tài liệu, vật mang bí mật Nhà nước theo đúng Quy định của NHNN và NHNo&PTNT Việt Nam nói riêng và các ngân hàng khác nói chung.
3)  Nghiêm cấm các hành vi tự ý cung cấp ra bên ngoài dưới bất kỳ hình thức nào các loại thông tin của khách hàng, hoặc kế hoạch/chiến lược kinh doanh của Đơn vị mình khi chưa được ủy quyền.
4)  Thường xuyên giáo dục/đào tạo nhằm nâng cao nhận thức của các nhân viên về các Quy định, Quy trình liên quan đến việc bảo vệ các thông tin mật của đơn vị, của ngành.
Ngoài ra, để đảm bảo các dữ liệu nhạy cảm không bị rò rỉ khỏi các ngân hàng, giải pháp là phải giám sát và ngăn chặn việc mất mát dữ liệu này qua các ứng dụng web-based hay các luồng traffic mã hóa SSL. RSA DLP network, một phần của RSA® DLP, được thiết kế để nhận dạng các thông tin nhạy cảm, dựa trên việc thiết lập một chính sách thể đáp ứng đúng theo từng yêu cầu bảo mật cụ thể của khách hàng. Blue Coat Proxy SG giải mã các luồng traffic SSL và chuyển dữ liệu đã giải mã đến RSA DLP để phân tích. Bằng các thuật toán giải mã để nhìn thấy các traffic đã được mã hóa và gửi đến cho RSA DLP. Bên cạnh đó, BlueCoat Proxy SG có thể bảo vệ sâu hơn, chống lại việc mất dữ liệu bằng cách tạo ra các điểm kiểm soát. Với Proxy SG, các ngân hàng có thể đặt và thực thi việc phân chia quyền truy nhập dựa trên các các thuộc tính như: người dùng, ứng dụng, vị trí, đích đến và nội dung để có thể xây dựng các chính sách với các độ ưu tiên khác nhau.

Nói một cách đơn giản, ngành ngân hàng và tài chính có cơ hội mang đến viễn cảnh công nghệ tươi sáng đúng như những gì mà họ đề xuất cho khách hàng của mình. Bảo mật thông tin và tính sẵn sàng của dữ liệu cần phải được đặt lên đầu chương trình hành động đối với mọi giám đốc thông tin khi ra quyết định triển khai công nghệ.

TS. Thái Lâm Toàn