# Ngăn ngừa mất mát dữ liệu

Tiếng Anh: Data Loss Prevention (DLP)

Bộ công cụ và chính sách giám sát dữ liệu nhạy cảm của khách hàng, ngăn chặn rò rỉ qua email, USB hoặc dịch vụ đám mây trái phép.

Nguồn: https://vieclam.nganhang.com/thuat-ngu/ngan-ngua-mat-mat-du-lieu-la-gi
Danh mục: An ninh & Phòng chống gian lận
Cập nhật: 13/09/2026

ăn ngừa mất mát dữ liệu là gì?

**Ngăn ngừa mất mát dữ liệu** (tiếng Anh: **Data Loss Prevention - DLP**) là tập hợp các công cụ kỹ thuật, quy trình nghiệp vụ và chính sách quản trị được thiết kế nhằm **phát hiện, giám sát và ngăn chặn** việc dữ liệu nhạy cảm bị rò rỉ, đánh cắp hoặc truyền tải ra bên ngoài tổ chức một cách trái phép. Trong lĩnh vực ngân hàng, DLP đóng vai trò then chốt trong việc bảo vệ thông tin khách hàng, dữ liệu giao dịch và các bí mật kinh doanh trước các mối đe dọa đến từ cả bên trong lẫn bên ngoài. Đây là một trong những thành phần cốt lõi không thể thiếu trong chiến lược an ninh thông tin toàn diện của các ngân hàng hiện đại.

Hệ thống **DLP** hoạt động dựa trên ba cơ chế chính: **phát hiện dữ liệu nhạy cảm** thông qua nhận dạng mẫu và so khớp nội dung (*content inspection*), **phân loại dữ liệu** dựa trên các chính sách được định sẵn và **thực thi các biện pháp kiểm soát** khi phát hiện hành vi vi phạm. Các giải pháp DLP thường được triển khai ở nhiều điểm khác nhau trong hạ tầng công nghệ thông tin, bao gồm thiết bị đầu cuối của nhân viên (*Endpoint DLP*), lưu lượng mạng nội bộ (*Network DLP*) và các kho lưu trữ đám mây (*Cloud DLP*). Khi một nhân viên cố gắng gửi email chứa số tài khoản khách hàng ra ngoài, sao chép dữ liệu vào USB cá nhân hoặc tải tệp tin mật lên các dịch vụ đám mây công cộng như Google Drive, Dropbox, hệ thống sẽ tự động phát cảnh báo, mã hóa nội dung hoặc chặn hoàn toàn hành động đó. Bên cạnh năng lực kỹ thuật, DLP còn bao gồm hệ thống chính sách quản trị, chương trình đào tạo nhân viên về nhận thức bảo mật và cơ chế kiểm toán định kỳ nhằm đảm bảo tuân thủ liên tục.

Tại Việt Nam, các ngân hàng thương mại lớn như Ngân hàng A, Ngân hàng B, Ngân hàng C và Ngân hàng D đã triển khai hệ thống DLP để giám sát việc truyền tải dữ liệu thẻ, số CMND/CCCD, số điện thoại và thông tin tài khoản của khách hàng. Về khía cạnh pháp lý, việc triển khai DLP tại các tổ chức tín dụng Việt Nam phải tuân thủ các quy định tại Thông tư 17/2024/TT-NHNN quy định về an toàn thông tin trong hoạt động ngân hàng, Thông tư 18/2024/TT-NHNN hướng dẫn về an toàn, bảo mật trong hoạt động ngân hàng điện tử, cũng như Luật An toàn thông tin mạng năm 2015 và Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.

**Thuật ngữ tiếng Anh:** Data Loss Prevention (DLP)
**Lĩnh vực:** An ninh & Phòng chống gian lận

## Đặc điểm và phân loại

Hệ thống **Ngăn ngừa mất mát dữ liệu** có những đặc điểm nhận biết rõ ràng và được phân thành nhiều loại hình triển khai khác nhau tùy theo vị trí và mục đích bảo vệ. Dưới đây là bảng phân loại chi tiết:

| **Loại hình DLP** | **Mô tả hoạt động** | **Đối tượng bảo vệ** | **Công cụ kỹ thuật điển hình** |
|---|---|---|---|
| **Endpoint DLP** | Cài đặt trực tiếp trên máy tính, laptop của nhân viên | Dữ liệu trên thiết bị cá nhân, USB, máy in | DLP agent, thiết bị kiểm soát USB, screen capture blocker |
| **Network DLP** | Giám sát toàn bộ lưu lượng mạng nội bộ | Email đi, file upload qua web, FTP | Deep packet inspection, SMTP proxy, HTTPS inspection |
| **Cloud DLP** | Bảo vệ dữ liệu trên các nền tảng đám mây | Google Workspace, Microsoft 365, Salesforce | CASB (Cloud Access Security Broker), API scanner |
| **Storage DLP** | Quét và phân loại dữ liệu trong kho lưu trữ | Database, file server, SharePoint | Fingerprinting, regex pattern matching |
| **Email DLP** | Kiểm soát nội dung email gửi đi và nhận vào | Đính kèm email, nội dung thư | Content inspection, keyword filtering |

### Các đặc điểm nhận biết của hệ thống DLP tiêu chuẩn

- **Phát hiện theo nội dung (Content-aware):** Sử dụng kỹ thuật so khớp mẫu (*regex pattern*) và nhận dạng vân tay số (*fingerprinting*) để nhận diện dữ liệu nhạy cảm như số thẻ tín dụng (theo chuẩn PCI DSS), số CMND/CCCD, địa chỉ email khách hàng.
- **Phân loại dữ liệu tự động:** Dựa trên mức độ nhạy cảm (Public, Internal, Confidential, Restricted) để áp dụng chính sách phù hợp.
- **Chính sách kiểm soát linh hoạt:** Cho phép quản trị viên thiết lập ngưỡng cảnh báo, hành động tự động (block, encrypt, quarantine, alert).
- **Ghi nhận nhật ký kiểm toán:** Lưu trữ toàn bộ sự kiện để phục vụ điều tra, truy vết và báo cáo tuân thủ.
- **Tích hợp SIEM:** Kết nối với hệ thống quản lý sự kiện bảo mật (*Security Information and Event Management*) để phân tích hành vi người dùng (*UEBA*).
- **Quy trình phản ứng sự cố:** Khi phát hiện vi phạm, hệ thống tự động kích hoạt *incident response workflow* thông báo tới bộ phận an ninh thông tin.

### Phân biệt ba trạng thái dữ liệu mà DLP bảo vệ

1. **Data in Use** — Dữ liệu đang được sử dụng: khi nhân viên mở file, sao chép, in ấn.
2. **Data in Motion** — Dữ liệu đang di chuyển: khi truyền qua mạng, email, upload lên cloud.
3. **Data at Rest** — Dữ liệu lưu trữ: trong database, file server, kho lưu trữ đám mây.

## Ví dụ thực tế trong ngành ngân hàng

### Ví dụ 1: Phát hiện nhân viên sao chép dữ liệu khách hàng VIP ra USB

Tại Ngân hàng A, một giao dịch viên chi nhánh Hà Nội cố gắng sao chép một tệp Excel chứa **danh sách 2.500 khách hàng VIP** bao gồm họ tên, số tài khoản, số dư và lịch sử giao dịch vào USB cá nhân vào lúc 22h47 ngày 28/03/2024. Hệ thống **Endpoint DLP** đã phát hiện hành vi này thông qua cơ chế giám sát cổng USB và quét nội dung tệp tin theo chính sách mức "Confidential". Ngay lập tức, hệ thống đã thực hiện ba hành động đồng thời: (1) **chặn hoàn toàn** quá trình sao chép, (2) gửi cảnh báo thời gian thực tới Trung tâm Giám sát An ninh (SOC) và (3) khóa tài khoản người dùng trong vòng 30 giây. Sau khi điều tra, ngân hàng phát hiện nhân viên này đã chuẩn bị chuyển sang đối thủ cạnh tranh và có ý định mang theo dữ liệu. Sự cố được xử lý trong vòng 4 giờ, giúp ngân hàng tránh được nguy cơ rò rỉ dữ liệu có thể ảnh hưởng tới hơn 2.500 khách hàng và tránh khoản phạt tiềm ẩn lên tới **hàng chục tỷ đồng** theo Nghị định 13/2023/NĐ-CP.

### Ví dụ 2: Ngăn chặn email chứa thông tin thẻ tín dụng rời khỏi tổ chức

Ngân hàng B triển khai giải pháp **Network DLP** tích hợp trên cổng email gateway. Trong tháng 05/2024, hệ thống đã ghi nhận **127 sự kiện cảnh báo** liên quan đến việc nhân viên gửi email chứa thông tin nhạy cảm ra bên ngoài. Điển hình là trường hợp một chuyên viên tín dụng gửi email cho đối tác bảo hiểm với nội dung chứa **số PAN (Primary Account Number) của 15 khách hàng** trong phần đính kèm. Hệ thống DLP đã tự động phát hiện chuỗi 16 chữ số khớp với **regex pattern của thẻ Visa/Mastercard**, mã hóa tệp đính kèm và yêu cầu người gửi xác thực OTP trước khi email được phép gửi đi. Nhờ đó, ngân hàng tuân thủ đầy đủ chuẩn **PCI DSS 4.0** và tránh được rủi ro phạt từ các tổ chức thẻ quốc tế (có thể lên tới **500.000 USD** cho mỗi sự cố dữ liệu thẻ bị lộ).

### Ví dụ 3: Kiểm soát dữ liệu trên nền tảng Cloud khi nhân viên làm việc từ xa

Trong bối cảnh làm việc hybrid sau đại dịch COVID-19, Ngân hàng C nhận thấy có tình trạng nhân viên sử dụng tài khoản Google Drive cá nhân để chia sẻ báo cáo tài chính nội bộ. Giải pháp **Cloud DLP** tích hợp với **CASB (Cloud Access Security Broker)** đã được triển khai, giúp phát hiện **hơn 340 lượt upload trái phép** trong quý I/2024. Cụ thể, một nhân viên phòng phân tích tín dụng đã cố gắng upload báo cáo rủi ro danh mục cho vay (trị giá thông tin tương đương **1.200 tỷ đồng**) lên Dropbox cá nhân. Hệ thống đã tự động chặn, đồng thời gửi cảnh báo tới quản lý trực tiếp và phòng An ninh thông tin. Sự cố giúp ngân hàng siết chặt quy trình làm việc từ xa và xây dựng thêm chính sách cấm sử dụng dịch vụ đám mây cá nhân cho dữ liệu công việc.

## Ngăn ngừa mất mát dữ liệu trong các ngôn ngữ khác

| Ngôn ngữ | Thuật ngữ | Phiên âm |
|---|---|---|
| Tiếng Anh | Data Loss Prevention (DLP) | /ˈdeɪtə lɒs prɪˈvenʃn/ |
| Tiếng Nhật | データ損失防止 (Dēta sonshitsu bōshi) | Dēta sonshitsu bōshi |
| Tiếng Hàn | 데이터 손실 방지 (Daitdeo sonsil bangji) | Datae son-sil bang-ji |
| Tiếng Trung | 数据丢失防护 (Shùjù diūshī fánghù) | Shù-jù diū-shī fáng-hù |
| Tiếng Tây Ban Nha | Prevención de pérdida de datos (DLP) | /pɾe.βenˈsjon de ˈpeɾ.ði.ða de ˈda.tos/ |

## Câu hỏi thường gặp

### Ngăn ngừa mất mát dữ liệu khác gì Quản lý quyền thông tin (IRM)?

**DLP** tập trung vào việc **ngăn chặn dữ liệu rời khỏi tổ chức** một cách trái phép, kiểm soát tại các "điểm ra" (perimeter) như email, USB, cloud upload. Trong khi đó, **IRM (Information Rights Management)** kiểm soát **quyền truy cập dữ liệu sau khi đã được chia sẻ**, ví dụ như giới hạn người có thể mở file, cấm in ấn, cấm chụp màn hình ngay cả khi file đã nằm ngoài hệ thống. Nói cách khác, DLP là "hàng rào trước cửa", còn IRM là "khóa bên trong nhà" — hai giải pháp bổ sung cho nhau trong chiến lược bảo vệ dữ liệu toàn diện.

### Khi nào cần triển khai DLP trong ngân hàng?

Ngân hàng cần triển khai DLP ngay từ giai đoạn **xây dựng hạ tầng công nghệ thông tin**, đặc biệt khi: (1) tổ chức xử lý khối lượng lớn dữ liệu cá nhân khách hàng (theo Nghị định 13/2023/NĐ-CP); (2) ngân hàng cần tuân thủ chuẩn **PCI DSS** đối với dữ liệu thẻ; (3) xuất hiện tình trạng nhân viên làm việc từ xa sử dụng thiết bị cá nhân (BYOD); (4) sau khi phát hiện sự cố rò rỉ dữ liệu hoặc có cảnh báo từ đơn vị kiểm toán; (5) khi Ngân hàng Nhà nước yêu cầu báo cáo tuân thủ định kỳ theo Thông tư 17/2024/TT-NHNN. Việc triển khai nên được thực hiện theo từng giai đoạn, ưu tiên **Endpoint DLP** trước, sau đó mở rộng sang **Network DLP** và **Cloud DLP**.

### DLP ảnh hưởng thế nào đến khách hàng và nhân viên ngân hàng?

Đối với **khách hàng**, DLP mang lại sự bảo vệ tối đa cho thông tin cá nhân, tài khoản và lịch sử giao dịch, giảm thiểu nguy cơ bị lừa đảo, đánh cắp danh tính hoặc mất tiền do lộ dữ liệu. Đối với **nhân viên ngân hàng**, DLP tạo ra một số thay đổi trong quy trình làm việc: phải xác thực bổ sung khi gửi dữ liệu nhạy cảm, bị giới hạn sử dụng USB cá nhân, phải tuân thủ chính sách sử dụng cloud công ty. Tuy nhiên, những thay đổi này là cần thiết vì theo thống kê, **có tới 60% sự cố rò rỉ dữ liệu** đến từ chính nhân viên nội bộ (có chủ đích hoặc vô tình). DLP giúp ngân hàng cân bằng giữa **năng suất làm việc** và **bảo mật dữ liệu**.

## Tổng kết

**Ngăn ngừa mất mát dữ liệu (DLP)** không chỉ là một giải pháp công nghệ đơn lẻ mà là một **hệ sinh thái bảo mật toàn diện** bao gồm công cụ kỹ thuật, chính sách quản trị, đào tạo nhân viên và tuân thủ pháp lý. Trong bối cảnh các ngân hàng Việt Nam đang chuyển đổi số mạnh mẽ với lượng dữ liệu khách hàng khổng lồ được xử lý mỗi ngày, DLP đóng vai trò **tuyến phòng thủ quan trọng** giúp bảo vệ uy tín thương hiệu, tránh các khoản phạt nặng từ cơ quan quản lý và đặc biệt là bảo vệ quyền lợi hợp pháp của hàng triệu khách hàng. Đối với ứng viên thi tuyển vào ngân hàng, việc nắm vững kiến thức về DLP, ba loại hình triển khai (Endpoint, Network, Cloud), các thuật ngữ chuyên ngành và khung pháp lý liên quan là **lợi thế cạnh tranh** trong các vòng phỏng vấn kỹ thuật cũng như khi tham gia các chương trình đào tạo chứng chỉ quốc tế như CISSP, CISM hay CEH.

## Thuật ngữ liên quan

- [Báo cáo tuân thủ](https://vieclam.nganhang.com/thuat-ngu/bao-cao-tuan-thu-la-gi) — Văn bản tổng hợp tình hình tuân thủ giới hạn đầu tư, quy định pháp luật và quy trình nội bộ. Báo cáo tuân thủ thường do bộ phận kiểm soát nội bộ lập và trình B…
- [Chương trình đào tạo nội bộ](https://vieclam.nganhang.com/thuat-ngu/chuong-trinh-dao-tao-noi-bo-la-gi) — Các khóa học, hội thảo do ngân hàng tổ chức nhằm phát triển năng lực cho cán bộ nhân viên theo khung năng lực đề ra.
- [Giao dịch viên](https://vieclam.nganhang.com/thuat-ngu/giao-daeich-viaen-la-gi) — Nhân viên giao dịch trực tiếp với khách hàng tại quầy ngân hàng.
- [Hệ thống Core Banking](https://vieclam.nganhang.com/thuat-ngu/he-thong-core-banking-la-gi) — Hệ thống xử lý nghiệp vụ lõi của ngân hàng, là nền tảng kết nối với các kênh giao dịch như Mobile Banking, Internet Banking và quầy giao dịch.
- [Mã hóa dữ liệu](https://vieclam.nganhang.com/thuat-ngu/ma-hoa-du-lieu-la-gi) — Kỹ thuật chuyển đổi dữ liệu nhạy cảm sang dạng mã hóa bằng thuật toán AES, RSA nhằm ngăn truy cập trái phép trong truyền tải và lưu trữ.
- [Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân](https://vieclam.nganhang.com/thuat-ngu/nghi-dinh-132023nd-cp-ve-bao-ve-du-lieu-ca-nhan-la-gi) — Văn bản pháp lý quan trọng quy định bảo vệ dữ liệu cá nhân tại Việt Nam, áp dụng cho dịch vụ tài chính số.
- [Ngân hàng điện tử](https://vieclam.nganhang.com/thuat-ngu/ngan-hang-dien-tu-la-gi) — Tổng hợp các kênh giao dịch ngân hàng qua phương tiện điện tử bao gồm Internet Banking, Mobile Banking, SMS Banking và ATM, hoạt động 24/7.
- [Quản trị rủi ro](https://vieclam.nganhang.com/thuat-ngu/quan-tri-rui-ro-la-gi) — Cơ cấu tổ chức, quy trình phân cấp trách nhiệm và cơ chế ra quyết định về rủi ro trong ngân hàng.