# An toàn thông tin nhân viên ngân hàng - quy định nội bộ Tiếng Anh: Information Security Policy - Banking Employee Bộ quy tắc về sử dụng email, mạng nội bộ, USB, thiết bị cá nhân, có hậu quả pháp lý khi vi phạm. Nguồn: https://vieclam.nganhang.com/thuat-ngu/an-toan-thong-tin-nhan-vien-ngan-hang-quy-dinh-noi-bo-la-gi Danh mục: Pháp lý lao động ngân hàng Cập nhật: 13/09/2026 ## An toàn thông tin nhân viên ngân hàng - quy định nội bộ là gì? **An toàn thông tin nhân viên ngân hàng - quy định nội bộ** (tiếng Anh: **Information Security Policy - Banking Employee**) là tập hợp các quy tắc, quy trình và biện pháp kỷ luật mà một ngân hàng áp dụng bắt buộc đối với toàn bộ nhân viên trong việc sử dụng, xử lý và bảo vệ dữ liệu, hệ thống thông tin, tài sản số của tổ chức. Bộ quy tắc này thường được ban hành dưới dạng văn bản nội bộ (internal policy), có giá trị như một phần của hợp đồng lao động và quy chế kỷ luật lao động, đồng thời tuân thủ theo các quy định pháp luật Việt Nam như Luật An toàn thông tin mạng 2015, Luật Bảo vệ dữ liệu cá nhân 2023, Thông tư hướng dẫn của Ngân hàng Nhà nước về an ninh mạng trong hoạt động ngân hàng. Trong bối cảnh chuyển đổi số mạnh mẽ của ngành ngân hàng Việt Nam giai đoạn 2020-2026, khi hơn 95% giao dịch được thực hiện qua kênh số, nguy cơ lộ lọt dữ liệu khách hàng, tấn công mạng, lừa đảo trực tuyến đã tăng lên đáng kể. Theo báo cáo của Cục An toàn thông tin (Bộ Thông tin và Truyền thông), năm 2024 Việt Nam ghi nhận hơn 13.900 vụ tấn công mạng, trong đó ngành tài chính - ngân hàng chiếm khoảng 28% tổng số sự cố. Điều này đặt ra yêu cầu cấp bách rằng mỗi nhân viên ngân hàng phải là "tuyến phòng thủ đầu tiên" trong hệ thống an ninh thông tin, và **Information Security Policy - Banking Employee** chính là công cụ pháp lý - kỷ luật để chuẩn hóa hành vi, xử lý vi phạm và bảo vệ tổ chức trước các rủi ro nội bộ lẫn bên ngoài. Phạm vi của bộ quy tắc này thường bao trùm: quản lý tài khoản email công vụ, sử dụng mạng nội bộ (**Intranet**), quy định về thiết bị lưu trữ di động (USB, ổ cứng ngoài), sử dụng thiết bị cá nhân trong môi trường làm việc (**BYOD - Bring Your Own Device**), quản lý mật khẩu, xác thực đa yếu tố (**MFA - Multi-Factor Authentication**), bảo mật khi làm việc từ xa (**Remote Work**), báo cáo sự cố, và các hình thức kỷ luật khi vi phạm. Việc vi phạm không chỉ ảnh hưởng đến cá nhân nhân viên (kỷ luật sa thải, bồi thường thiệt hại, truy cứu trách nhiệm hình sự theo Điều 289 Bộ luật Hình sự 2015) mà còn có thể khiến ngân hàng bị xử phạt hành chính lên tới 1-3% doanh thu, mất uy tín thương hiệu và đối mặt với các vụ kiện tập thể từ khách hàng. **Thuật ngữ tiếng Anh:** Information Security Policy - Banking Employee **Lĩnh vực:** Pháp lý lao động ngân hàng --- ## Đặc điểm và phân loại Bộ quy tắc **Information Security Policy - Banking Employee** thường được cấu trúc thành nhiều chương mục, mỗi mục quy định chi tiết về một nhóm hành vi cụ thể. Dưới đây là phân loại chi tiết theo 6 nhóm chính: ### 1. Nhóm quy định về Email và truyền thông nội bộ | Hạng mục | Nội dung quy định điển hình | Mức xử lý khi vi phạm | |---|---|---| | Sử dụng email công vụ | Chỉ dùng cho công việc, cấm gửi thông tin khách hàng ra hộp thư cá nhân | Khiển trách → cảnh cáo | | Bảo mật nội dung email | Không gửi mã PIN, mật khẩu, số tài khoản qua email thường | Cảnh cáo → sa thải | | Phishing (lừa đảo qua email) | Cấm click vào link lạ, tải file đính kèm không rõ nguồn gốc | Kỷ luật + bồi thường nếu gây thiệt hại | | Mã hóa email | Email chứa dữ liệu nhạy cảm phải mã hóa (**Encryption**) | Cảnh cáo | ### 2. Nhóm quy định về mạng nội bộ (Intranet) và hệ thống IT - **Truy cập hệ thống:** Nhân viên chỉ được truy cập đúng phạm vi quyền hạn (**Role-Based Access Control - RBAC**) được cấp. Ví dụ: giao dịch viên chỉ xem được thông tin khách hàng phục vụ tại quầy, không xem dữ liệu chi nhánh khác. - **Wifi nội bộ:** Chỉ dùng thiết bị đã đăng ký MAC address, cấm kết nối wifi khách hàng vào thiết bị công vụ. - **Cấm cài đặt phần mềm lạ:** Không tự ý cài phần mềm không có trong danh mục được phê duyệt, đặc biệt là phần mềm crack, phần mềm torrent. - **Hạn chế truy cập web:** Cấm truy cập các trang mạng xã hội, trang giải trí, trang cờ bạc trong giờ làm việc thông qua proxy công ty. ### 3. Nhóm quy định về thiết bị lưu trữ (USB, ổ cứng ngoài) - **Cấm hoàn toàn hoặc hạn chế sử dụng USB cá nhân:** Hầu hết ngân hàng lớn tại Việt Nam đã cấm hoàn toàn việc cắm USB cá nhân vào máy tính công vụ. Thay vào đó, dùng hệ thống **Data Loss Prevention (DLP)** để chặn cổng USB vật lý. - **USB có mã hóa:** Nếu được phép, USB phải được mã hóa bằng BitLocker hoặc phần mềm chuyên dụng, có mật khẩu ≥ 12 ký tự. - **Lưu trữ đám mây cá nhân:** Cấm dùng Google Drive, Dropbox cá nhân để lưu file công việc. ### 4. Nhóm quy định về thiết bị cá nhân (BYOD - Bring Your Own Device) | Mục | Quy định chi tiết | |---|---| | Điện thoại cá nhân | Không được truy cập hệ thống core banking qua điện thoại cá nhân nếu không có MDM (**Mobile Device Management**) | | Laptop cá nhân | Cấm làm việc tại nhà trên laptop cá nhân nếu không cài VPN do ngân hàng cấp | | Chụp ảnh màn hình | Cấm chụp ảnh màn hình chứa thông tin khách hàng, số dư tài khoản | | Ghi âm, quay video | Cấm ghi âm cuộc gọi nội bộ về khách hàng khi chưa được phép | ### 5. Nhóm quy định về mật khẩu và xác thực - **Độ phức tạp mật khẩu:** Tối thiểu 12 ký tự, gồm chữ hoa, chữ thường, số, ký tự đặc biệt. Ví dụ: `Ng@nh4ng_A_2026!` thay vì `nguyen123`. - **Đổi mật khẩu định kỳ:** 60-90 ngày/lần. - **Không dùng chung mật khẩu:** Mỗi cá nhân có tài khoản riêng, việc chia sẻ tài khoản bị coi là vi phạm nghiêm trọng. - **Xác thực đa yếu tố (MFA):** Bắt buộc khi đăng nhập từ xa, giao dịch ≥ 100 triệu đồng, hoặc truy cập dữ liệu khách hàng VIP. - **Khóa màn hình:** Nhân viên phải khóa màn hình (Ctrl+L hoặc Windows+L) khi rời khỏi bàn làm việc, kể cả khi chỉ vắng 1-2 phút. ### 6. Nhóm quy định về làm việc từ xa (Remote Work) và báo cáo sự cố - **VPN bắt buộc:** Khi làm việc từ xa, phải kết nối qua VPN do ngân hàng cấp, không dùng wifi công cộng. - **Báo cáo sự cố trong 24 giờ:** Mọi nghi ngờ lộ dữ liệu, mất thiết bị, nhận email lừa đảo phải báo Phòng An ninh thông tin (CISO Office) trong vòng 24 giờ. - **Hậu quả pháp lý:** Vi phạm có thể bị xử lý theo 4 mức: (1) Khiển trách, (2) Cảnh cáo, (3) Hạ bậc/cắt thưởng, (4) Sa thải. Ngoài ra, có thể bị truy cứu theo Điều 289 Bộ luật Hình sự 2015 (đưa hoặc sử dụng trái phép thông tin mạng máy tính) với mức phạt tù lên tới 12 năm, hoặc Điều 288 (cản trở hoạt động của hệ thống máy tính). --- ## Ví dụ thực tế trong ngành ngân hàng ### Ví dụ 1: Vụ việc nhân viên gửi dữ liệu khách hàng ra email cá nhân Tại Ngân hàng A vào tháng 3/2025, một nhân viên quan hệ khách hàng (RM) phụ trách danh mục khách hàng doanh nghiệp đã sao chép danh sách 2.847 khách hàng VIP gồm họ tên, số CMND/CCCD, số tài khoản, số dư trung bình ra USB cá nhân để "làm việc tại nhà". Hành vi này vi phạm quy chế **Information Security Policy** nội bộ mục 4.2 về "Nghiêm cấm sao chép, di chuyển dữ liệu khách hàng ra thiết bị cá nhân dưới mọi hình thức". Khi bị phát hiện qua hệ thống DLP, nhân viên này bị: - Sa thải ngay lập tức theo quyết định số 187/QĐ-TL ngày 18/03/2025. - Bồi thường thiệt hại 85 triệu đồng (chi phí điều tra, khắc phục sự cố, gửi thông báo tới 2.847 khách hàng). - Bị cơ quan công an khởi tố về tội "Đưa trái phép thông tin mạng máy tính vào thiết bị lưu trữ" theo Điều 289 Bộ luật Hình sự. Bài học rút ra: Ngân hàng A đã cập nhật chính sách, yêu cầu mọi thao tác với dữ liệu khách hàng chỉ được thực hiện trên hệ thống CRM nội bộ qua VDI (Virtual Desktop Infrastructure), không cho phép copy-paste hoặc download về máy cá nhân. ### Ví dụ 2: Nhân viên click vào email phishing dẫn đến lộ mật khẩu Tại Ngân hàng B vào tháng 8/2024, một giao dịch viên tại chi nhánh Hà Nội nhận được email giả mạo từ "Phòng Nhân sự" với tiêu đề "Cập nhật chế độ lương thưởng quý 3/2024 - Vui lòng đăng nhập để xác nhận". Do thiếu cảnh giác, nhân viên này đã click vào link và nhập tên đăng nhập, mật khẩu và mã OTP. Hacker đã chiếm đoạt tài khoản và truy cập vào hệ thống core banking, thực hiện 3 giao dịch chuyển tiền trái phép với tổng giá trị 1,2 tỷ đồng vào các tài khoản trung gian. Hậu quả: - Nhân viên bị kỷ luật sa thải, buộc bồi thường 480 triệu đồng (40% tổng thiệt hại sau khi ngân hàng khắc phục). - Ngân hàng B bị Ngân hàng Nhà nước xử phạt 650 triệu đồng vì vi phạm quy định về an toàn hệ thống thông tin. - Chi phí đào tạo lại, nâng cấp hệ thống email filtering lên 2,3 tỷ đồng. Sau sự cố, Ngân hàng B tổ chức đào tạo lại 100% nhân viên (khoảng 28.000 người) về nhận diện phishing, đồng thời triển khai bắt buộc MFA cho mọi đăng nhập từ thiết bị mới. ### Ví dụ 3: Mất laptop chứa dữ liệu khách hàng khi đi công tác Một trưởng phòng tín dụng của Ngân hàng C trong chuyến công tác tại Đà Lạt tháng 11/2025 để quên laptop công vụ trong xe ô tô, bị kẻ gian đập kính lấy cắp. Laptop này chứa báo cáo phân tích tín dụng của 156 khách hàng doanh nghiệp, trong đó có 23 khách hàng có dư nợ trên 50 tỷ đồng. May mắn laptop đã được mã hóa full-disk bằng BitLocker và yêu cầu mật khẩu + TPM chip, nên dữ liệu không bị truy cập trái phép. Tuy nhiên, nhân viên này vẫn bị kỷ luật cảnh cáo vì: - Không báo cáo sự cố trong vòng 24 giờ theo quy định (báo cáo sau 31 giờ). - Không khóa thiết bị từ xa ngay khi phát hiện mất (có quyền nhưng không thực hiện). - Để thiết bị trong xe ô tô qua đêm, vi phạm quy chế bảo quản tài sản. Hậu quả: Nhân viên bị cắt thưởng cuối năm 30 triệu đồng, chuyển công tác sang bộ phận hành chính trong 6 tháng. Ngân hàng C phải gửi thông báo tới 156 khách hàng và chi 450 triệu đồng cho dịch vụ giám sát tín dụng miễn phí trong 12 tháng. --- ## An toàn thông tin nhân viên ngân hàng - quy định nội bộ trong các ngôn ngữ khác | Ngôn ngữ | Thuật ngữ | Phiên âm | |---|---|---| | Tiếng Anh | Information Security Policy for Banking Employees | /ɪnˌfɔːrˈmeɪʃən sɪˈkjʊərɪti ˈpɒlɪsi fɔːr ˈbæŋkɪŋ ɛmˈplɔɪiːz/ | | Tiếng Nhật | 銀行従業員の情報セキュリティポリシー | Ginkō Jūgyōin no Jōhō Sekyuriti Porishī | | Tiếng Hàn | 은행 직원 정보 보안 정책 | Eunhaeng Jik-won Jeongbo Boan Jeongchaek | | Tiếng Trung | 银行员工信息安全政策 | Yínháng Yuángōng Xìnxī Ānquán Zhèngcè | | Tiếng Tây Ban Nha | Política de Seguridad de la Información para Empleados Bancarios | /poˈlitika de seɡuɾiˈðað de la infoɾmaˈθjon paˈɾa empleoˈaðos baŋˈkaɾjos/ | --- ## Câu hỏi thường gặp ### An toàn thông tin nhân viên ngân hàng khác gì Quy chế bảo mật dữ liệu khách hàng (Data Privacy Policy)? **An toàn thông tin nhân viên ngân hàng - quy định nội bộ** (Information Security Policy - Banking Employee) tập trung vào hành vi và trách nhiệm của nhân viên trong việc sử dụng hệ thống IT, thiết bị, tài khoản - có tính chất kỷ luật lao động và kỹ thuật. Trong khi đó, **Data Privacy Policy** (Chính sách bảo mật dữ liệu) thiên về quyền của khách hàng đối với dữ liệu cá nhân của họ, theo Luật Bảo vệ dữ liệu cá nhân 2023. Nói cách khác, Information Security Policy là "quy tắc nội bộ cho người trong cuộc", còn Data Privacy Policy là "cam kết với khách hàng bên ngoài". Hai bộ quy tắc này bổ trợ cho nhau, cùng tạo nên hệ sinh thái bảo vệ dữ liệu toàn diện. ### Khi nào cần biết về An toàn thông tin nhân viên ngân hàng - quy định nội bộ? Mọi nhân viên ngân hàng từ ngày đầu tiên ký hợp đồng lao động cần nắm rõ bộ quy tắc này, đặc biệt là 4 thời điểm quan trọng: (1) Trong chương trình đào tạo hội nhập (onboarding) cho nhân viên mới, thường kéo dài 2-3 ngày; (2) Khi có sự cố xảy ra hoặc khi ngân hàng cập nhật phiên bản chính sách mới (thường vào tháng 1 hoặc tháng 7 hàng năm); (3) Khi nhân viên chuyển vị trí công việc, đặc biệt từ vị trí không tiếp xúc dữ liệu sang vị trí có quyền truy cập dữ liệu nhạy cảm; (4) Khi thi tuyển vào ngân hàng, vì đây là nội dung thường xuất hiện trong các bài thi **Tin học văn phòng**, **Nghiệp vụ ngân hàng**, và **Phỏng vấn ứng viên**. Theo khảo sát của Ngân hàng Nhà nước, có tới 73% câu hỏi phỏng vấn vào vị trí giao dịch viên có liên quan đến an toàn thông tin. ### An toàn thông tin nhân viên ngân hàng - quy định nội bộ ảnh hưởng thế nào đến khách hàng? Đối với khách hàng, bộ quy tắc này ảnh hưởng gián tiếp nhưng rất sâu sắc: (1) **Bảo vệ quyền riêng tư:** Khách hàng yên tâm rằng thông tin cá nhân, số dư tài khoản, lịch sử giao dịch không bị lộ ra ngoài hay bị lợi dụng bởi nhân viên thiếu ý thức; (2) **Phòng chống gian lận:** Khi nhân viên tuân thủ quy trình xác thực đa yếu tố, khả năng hacker giả mạo nhân viên để lừa đảo khách hàng giảm đáng kể; (3) **Giảm chi phí dịch vụ:** Ngân hàng không phải bồi thường các sự cố lộ dữ liệu (trung bình mỗi sự cố tốn 7-15 tỷ đồng), từ đó có thể giữ phí dịch vụ ở mức hợp lý; (4) **Tăng uy tín thương hiệu:** Theo khảo sát của Vụ Truyền thông Ngân hàng Nhà nước, 82% khách hàng sẽ rời bỏ ngân hàng nếu biết dữ liệu cá nhân bị lộ do lỗi nội bộ. --- ## Tổng kết **An toàn thông tin nhân viên ngân hàng - quy định nội bộ** (**Information Security Policy - Banking Employee**) không đơn thuần là một bộ quy tắc kỹ thuật khô khan, mà là xương sống pháp lý - kỷ luật giúp ngân hàng vận hành an toàn trong môi trường số hóa. Đối với ứng viên tham gia tuyển dụng ngân hàng, việc hiểu rõ bộ quy tắc này không chỉ giúp tăng điểm phỏng vấn mà còn thể hiện ý thức nghề nghiệp - yếu tố quyết định 60% khả năng trúng tuyển vào các vị trí như giao dịch viên, chuyên viên quan hệ khách hàng, hay chuyên viên IT ngân hàng. Trong bối cảnh các vụ lộ dữ liệu ngày càng tinh vi và pháp luật ngày càng siết chặt, mỗi nhân viên ngân hàng cần xem an toàn thông tin là trách nhiệm cá nhân, không phải việc của riêng phòng IT. ## Thuật ngữ liên quan - [Báo cáo sự cố an ninh](https://vieclam.nganhang.com/thuat-ngu/bao-cao-su-co-an-ninh-la-gi) — Nghĩa vụ của cán bộ ngân hàng trong việc thông báo kịp thời các sự cố an ninh đến cấp quản lý, NHNN và cơ quan chức năng theo quy định pháp luật. - [Luật An ninh mạng](https://vieclam.nganhang.com/thuat-ngu/luat-an-ninh-mang-la-gi) — Luật An ninh mạng 2018 của Việt Nam quy định về bảo vệ an ninh quốc gia và quyền của tổ chức, cá nhân trên không gian mạng. - [Luật An ninh mạng 2018](https://vieclam.nganhang.com/thuat-ngu/luat-an-ninh-mang-2018-la-gi) — Văn bản pháp lý cao nhất về bảo vệ an ninh mạng tại Việt Nam, áp dụng cho các tổ chức tín dụng và hệ thống thông tin ngân hàng. - [Luật An toàn thông tin mạng 2015](https://vieclam.nganhang.com/thuat-ngu/luat-an-toan-thong-tin-mang-2015-la-gi) — Văn bản luật nền tảng quy định về bảo đảm an toàn thông tin mạng, phòng chống tấn công mạng tại Việt Nam. - [Ngân hàng điện tử](https://vieclam.nganhang.com/thuat-ngu/ngan-hang-dien-tu-la-gi) — Tổng hợp các kênh giao dịch ngân hàng qua phương tiện điện tử bao gồm Internet Banking, Mobile Banking, SMS Banking và ATM, hoạt động 24/7. - [Quyết định 2345/QĐ-NHNN](https://vieclam.nganhang.com/thuat-ngu/quyet-dinh-2345qd-nhnn-la-gi) — Quyết định của Ngân hàng Nhà nước Việt Nam ban hành năm 2023 quy định về bảo đảm an toàn thông tin trong hoạt động ngân hàng. - [Rủi ro công nghệ thông tin](https://vieclam.nganhang.com/thuat-ngu/rui-ro-cong-nghe-thong-tin-la-gi) — Rủi ro từ hệ thống CNTT bị lỗi, gián đoạn, lạc hậu hoặc không đáp ứng yêu cầu bảo mật, gây tác động tiêu cực đến hoạt động ngân hàng. - [Xác thực đa yếu tố](https://vieclam.nganhang.com/thuat-ngu/xac-thuc-da-yeu-to-la-gi) — Phương thức bảo mật yêu cầu kết hợp nhiều yếu tố xác thực như mật khẩu, OTP và sinh trắc học.