# Quy trình báo cáo sự cố an ninh theo Nghị định 13

Tiếng Anh: Security Incident Reporting Procedure under Decree 13

Quy định nghĩa vụ báo cáo sự cố dữ liệu cá nhân cho cơ quan chức năng trong vòng 72 giờ theo Nghị định 13/2023.

Nguồn: https://vieclam.nganhang.com/thuat-ngu/quy-trinh-bao-cao-su-co-an-ninh-theo-nghi-dinh-13-la-gi
Danh mục: An ninh & Phòng chống gian lận
Cập nhật: 13/09/2026

**Quy trình báo cáo sự cố an ninh theo Nghị định 13** (Security Incident Reporting Procedure under Decree 13) là tập hợp các bước thủ tục bắt buộc mà các tổ chức, doanh nghiệp — đặc biệt là các **ngân hàng** và **tổ chức tín dụng** (credit institutions) — phải tuân thủ khi xảy ra sự cố liên quan đến dữ liệu cá nhân của khách hàng. Nghị định 13/2023/NĐ-CP ban hành ngày 17/04/2023, có hiệu lực từ ngày 01/07/2023, được xem là văn bản pháp lý nền tảng đầu tiên tại Việt Nam quy định chi tiết về bảo vệ dữ liệu cá nhân (**Personal Data Protection** — PDP), trong đó nổi bật nhất là quy định "**thời hạn 72 giờ**" (72-hour notification window) để báo cáo sự cố cho cơ quan chức năng.

Theo Điều 14 của Nghị định 13, khi xảy ra sự cố an ninh thông tin mà dẫn đến mất, lộ, rò rỉ hoặc bị xâm phạm dữ liệu cá nhân, tổ chức xử lý dữ liệu (**Data Controller**) phải thông báo bằng văn bản cho Cục An toàn thông tin — Bộ Thông tin và Truyền thông và chủ thể dữ liệu bị ảnh hưởng trong thời hạn **72 giờ** kể từ thời điểm phát hiện sự cố. Quy định này tương đồng với Điều 33 của **GDPR** (General Data Protection Regulation) của Liên minh Châu Âu, nhưng có những điểm riêng phù hợp với bối cảnh Việt Nam.

Trong bối cảnh ngành ngân hàng Việt Nam, đây là quy trình đặc biệt quan trọng vì ngân hàng là nơi lưu trữ khối lượng dữ liệu cá nhân khổng lồ: số CMND/CCCD, số điện thoại, địa chỉ, thông tin tài khoản, lịch sử giao dịch, dữ liệu sinh trắc học (**biometric data**), v.v. Một sự cố an ninh không được xử lý đúng quy trình có thể dẫn đến hậu quả nghiêm trọng cả về tài chính lẫn pháp lý, với mức phạt lên tới 5% doanh thu năm trước hoặc 10 tỷ đồng theo Nghị định 13/2023.

**Thuật ngữ tiếng Anh:** Security Incident Reporting Procedure under Decree 13
**Lĩnh vực:** An ninh & Phòng chống gian lận (Security & Fraud Prevention)

## Đặc điểm và phân loại

### Đặc điểm chính của quy trình

Quy trình báo cáo sự cố theo Nghị định 13 có **5 đặc điểm cốt lõi** sau:

1. **Tính bắt buộc về thời gian:** Thời hạn "72 giờ vàng" (golden 72 hours) được tính từ thời điểm tổ chức phát hiện sự cố, không phải từ thời điểm sự cố xảy ra. Điều này khuyến khích các ngân hàng phải có hệ thống **giám sát an ninh** (Security Information and Event Management — **SIEM**) hoạt động 24/7.

2. **Tính minh bạch:** Nội dung báo cáo phải nêu rõ bản chất sự cố, số lượng chủ thể dữ liệu bị ảnh hưởng, các biện pháp khắc phục tạm thời, và đánh giá rủi ro.

3. **Phạm vi áp dụng rộng:** Áp dụng cho mọi tổ chức xử lý dữ liệu cá nhân tại Việt Nam, bao gồm cả tổ chức nước ngoài xử lý dữ liệu của công dân Việt Nam.

4. **Phân cấp mức độ sự cố:** Dựa trên nguy cơ gây thiệt hại cho quyền và lợi ích hợp pháp của chủ thể dữ liệu.

5. **Chế tài nghiêm minh:** Vi phạm quy trình có thể bị xử phạt hành chính từ 60 triệu đến 10 tỷ đồng, kèm theo các biện pháp khắc phục hậu quả.

### Phân loại sự cố an ninh theo Nghị định 13

| Mức độ sự cố | Mô tả | Ví dụ trong ngân hàng | Thời hạn báo cáo |
|---|---|---|---|
| **Mức nghiêm trọng (Critical)** | Lộ dữ liệu nhạy cảm của hơn 1.000 chủ thể, gây thiệt hại tài chính trực tiếp | Hack hệ thống lộ thông tin thẻ tín dụng của hàng nghìn khách hàng | Trong vòng 72 giờ |
| **Mức cao (High)** | Lộ dữ liệu cá nhân cơ bản, ảnh hưởng 100-1.000 chủ thể | Nhân viên gửi nhầm file chứa dữ liệu khách hàng ra ngoài | Trong vòng 72 giờ |
| **Mức trung bình (Medium)** | Sự cố kỹ thuật có nguy cơ nhưng chưa xác nhận rò rỉ | Hệ thống bị tấn công **DDoS** nhưng chưa có dữ liệu bị lộ | Trong vòng 72 giờ |
| **Mức thấp (Low)** | Vi phạm nội bộ, sự cố kỹ thuật nhỏ, khắc phục ngay | Lỗi cấu hình máy chủ khiến truy cập nội bộ bị gián đoạn | Báo cáo định kỳ hàng quý |

### 6 bước của quy trình báo cáo

1. **Phát hiện & xác minh sự cố** (Detection & Verification): Hệ thống SIEM phát hiện bất thường, đội ngũ **SOC** (Security Operations Center) xác minh trong vòng 1-2 giờ đầu tiên.

2. **Đánh giá mức độ & phạm vi** (Impact Assessment): Xác định loại dữ liệu bị ảnh hưởng, số lượng chủ thể dữ liệu, nguyên nhân và tác động.

3. **Thông báo nội bộ** (Internal Notification): Báo cáo lên Ban lãnh đạo, Phòng Pháp chế, Phòng Quản trị Rủi ro (Risk Management) và CISO (Chief Information Security Officer).

4. **Khắc phục tạm thời** (Containment): Cô lập hệ thống bị ảnh hưởng, ngăn chặn rò rỉ tiếp, lưu giữ bằng chứng số (**digital forensics**).

5. **Báo cáo cơ quan chức năng** (Regulatory Reporting): Gửi văn bản chính thức đến Cục An toàn thông tin — Bộ TT&TT trong vòng 72 giờ kèm biểu mẫu theo quy định.

6. **Thông báo cho chủ thể dữ liệu** (Data Subject Notification): Gửi thông báo đến từng khách hàng bị ảnh hưởng về bản chất sự cố và các biện pháp bảo vệ quyền lợi.

## Ví dụ thực tế trong ngành ngân hàng

### Ví dụ 1: Ngân hàng A bị tấn công ransomware

Ngân hàng A — một ngân hàng thương mại cổ phần lớn tại Việt Nam với hơn 12 triệu khách hàng — phát hiện hệ thống **core banking** bị mã hóa bởi mã độc tống tiền (**ransomware**) vào lúc 03:00 sáng ngày 15/03/2024. Hệ thống SIEM ghi nhận hơn 50.000 yêu cầu truy cập bất thường trong 30 phút. Trong vòng 4 giờ đầu tiên, đội ngũ SOC đã cô lập 3 máy chủ bị ảnh hưởng, ngăn chặn lây lan. Đến 11:00 sáng cùng ngày, CISO đã trình báo cáo sơ bộ lên Tổng Giám đốc. Trong vòng 60 giờ, Ngân hàng A hoàn tất báo cáo chính thức gửi Cục An toàn thông tin, xác định có khoảng 850.000 bản ghi dữ liệu khách hàng (gồm họ tên, số CMND, số điện thoại) có nguy cơ bị truy cập. Ngân hàng đồng thời gửi SMS và email đến toàn bộ khách hàng bị ảnh hưởng, đề nghị đổi mật khẩu **Internet Banking** và miễn phí dịch vụ giám sát tín dụng trong 12 tháng. Tổng chi phí ứng phó sự cố ước tính 47 tỷ đồng.

### Ví dụ 2: Công ty tài chính B rò rỉ dữ liệu qua đối tác

Công ty tài chính B (thuộc nhóm fintech cho vay tiêu dùng) phát hiện một đối tác thu hồi nợ thứ ba đã vô tình đăng tải file Excel chứa thông tin 35.000 khách vay lên một diễn đàn công khai. Sự cố được phát hiện vào 14:00 ngày 22/08/2024 nhờ công cụ quét **dark web**. Phòng Pháp chế đánh giá đây là sự cố mức cao, ảnh hưởng đến quyền được bảo vệ dữ liệu cá nhân của khách hàng. Công ty B hoàn tất thủ tục báo cáo trong 68 giờ (vẫn trong khung 72 giờ), đồng thời chấm dứt hợp đồng với đối tác vi phạm, khởi kiện yêu cầu bồi thường 8,5 tỷ đồng. Bài học rút ra: cần đánh giá **Data Processing Agreement** (DPA) với từng bên thứ ba.

### Ví dụ 3: Ngân hàng C xử lý sự cố nội bộ

Ngân hàng C phát hiện một chuyên viên tín dụng đã truy cập và sao chép dữ liệu của 240 khách hàng VIP (khách hàng cá nhân có giá trị cao) ra USB cá nhân nhằm mục đích chuyển sang đối thủ cạnh tranh. Hệ thống **DLP** (Data Loss Prevention) phát hiện hành vi bất thường lúc 09:30 sáng. Trong vòng 24 giờ, Ngân hàng C đã khóa tài khoản truy cập, thu hồi USB, tiến hành kỷ luật sa thải và khởi kiện hình sự. Mặc dù số lượng bản ghi bị ảnh hưởng dưới ngưỡng 1.000, ngân hàng vẫn chủ động báo cáo cho Cục An toàn thông tin và thông báo đến 240 khách hàng VIP, kèm quà tặng bồi thường thiệt hại tổng trị giá 1,2 tỷ đồng.

## Quy trình báo cáo sự cố an ninh theo Nghị định 13 trong các ngôn ngữ khác

| Ngôn ngữ | Thuật ngữ | Phiên âm |
|---|---|---|
| Tiếng Anh | Security Incident Reporting Procedure under Decree 13 | /sɪˈkjʊərɪti ˈɪnsɪdənt rɪˈpɔːtɪŋ prəˈsiːdʒər ˈʌndər dɪˈkriː θɜːrtiːn/ |
| Tiếng Nhật | 政令第13号に基づくセキュリティインシデント報告手順 | seirei dai jūsan-gō ni motozuku sekyuriti inshidento hōkoku junjun |
| Tiếng Hàn | 대통령령 제13호에 따른 보안 사고 보고 절차 | daetongryeongnyeong je 13-ho-e ttaraun boan sago bogu jeolcha |
| Tiếng Trung | 根据第13号法令的安全事件报告程序 | gēnjù dì shísān hào fǎlìng de ānquán shìjiàn bàogào chéngxù |
| Tiếng Tây Ban Nha | Procedimiento de notificación de incidentes de seguridad según el Decreto 13 | /pɾoθeðiˈmjento ðe notifiˈkaθjon ðe inθiˈðentes ðe seɣuˈriðað seˈɣun el deˈkɾeto tɾeθe/ |

## Câu hỏi thường gặp

### Quy trình báo cáo sự cố theo Nghị định 13 khác gì với quy trình theo GDPR?

Điểm giống nhau là cả hai đều quy định thời hạn **72 giờ** để thông báo cho cơ quan giám sát. Tuy nhiên, Nghị định 13 của Việt Nam có những điểm khác biệt: (1) Không yêu cầu thông báo cho cơ quan giám sát ở mọi trường hợp mà phân theo mức độ nghiêm trọng; (2) Hình thức báo cáo chủ yếu bằng văn bản gửi Cục An toàn thông tin, trong khi GDPR quy định chi tiết hơn về nội dung thông báo; (3) Chế tài tại Việt Nam có mức trần 10 tỷ đồng hoặc 5% doanh thu, trong khi GDPR có thể phạt đến 4% doanh thu toàn cầu hoặc 20 triệu EUR. Ngân hàng tại Việt Nam nếu hoạt động xuyên biên giới cần tuân thủ đồng thời cả hai hệ thống pháp luật.

### Khi nào ngân hàng cần thực hiện quy trình báo cáo sự cố theo Nghị định 13?

Ngân hàng cần kích hoạt quy trình ngay khi phát hiện bất kỳ sự cố nào liên quan đến dữ liệu cá nhân của khách hàng, bao gồm: bị tấn công mạng (cyberattack), nhân viên cố tình hoặc vô ý làm lộ dữ liệu, đối tác thứ ba vi phạm hợp đồng bảo mật, mất thiết bị lưu trữ (laptop, USB, điện thoại) chứa dữ liệu, hoặc hệ thống bị lỗi kỹ thuật dẫn đến truy cập trái phép. Thời điểm "phát hiện" được tính từ khi có đủ cơ sở hợp lý để tin rằng sự cố đã xảy ra — không nhất thiết phải xác nhận chắc chắn 100% ngay lập tức. Do đó, các ngân hàng cần thiết lập quy trình **Incident Response Plan** (IRP) rõ ràng và tổ chức diễn tập định kỳ ít nhất 2 lần/năm.

### Quy trình này ảnh hưởng thế nào đến khách hàng ngân hàng?

Về quyền lợi, khách hàng được bảo vệ tốt hơn nhờ yêu cầu ngân hàng phải thông báo kịp thời, giúp họ chủ động thay đổi mật khẩu, theo dõi giao dịch bất thường và yêu cầu bồi thường. Tuy nhiên, về phía khách hàng, họ có thể nhận được nhiều thông báo hơn, đôi khi gây lo lắng, đặc biệt với các sự cố được công bố rộng rãi. Ngoài ra, quy trình này cũng tạo áp lực chi phí lên ngân hàng (ước tính chi phí trung bình cho một sự cố nghiêm trọng từ 20-50 tỷ đồng), dẫn đến phí dịch vụ có thể tăng nhẹ. Bù lại, uy tín ngân hàng tuân thủ tốt sẽ được nâng cao, thu hút thêm khách hàng quan tâm đến bảo mật dữ liệu.

## Tổng kết

**Quy trình báo cáo sự cố an ninh theo Nghị định 13** là một trong những quy định pháp lý quan trọng nhất mà mọi ngân hàng và tổ chức tài chính tại Việt Nam phải nắm vững. Với thời hạn "72 giờ vàng", quy trình này đòi hỏi các tổ chức phải xây dựng hệ thống giám sát, phát hiện và ứng phó sự cố chuyên nghiệp, đồng thời có sự phối hợp chặt chẽ giữa các phòng ban và cơ quan quản lý nhà nước. Trong bối cảnh tội phạm mạng ngày càng tinh vi và khối lượng dữ liệu khách hàng ngân hàng tăng theo cấp số nhân, việc tuân thủ quy trình không chỉ là nghĩa vụ pháp lý mà còn là nền tảng để xây dựng niềm tin của khách hàng và bảo vệ thương hiệu ngân hàng trong dài hạn. Các ứng viên tham gia tuyển dụng ngân hàng cần hiểu rõ quy trình này để sẵn sàng làm việc trong môi trường tài chính số ngày càng phức tạp.

## Thuật ngữ liên quan

- [Báo cáo sự cố](https://vieclam.nganhang.com/thuat-ngu/bao-cao-su-co-la-gi) — Tài liệu ngân hàng hoặc bên thứ ba gửi cơ quan quản lý khi xảy ra sự cố bảo mật nghiêm trọng ảnh hưởng đến API ngân hàng mở.
- [Luật Các tổ chức tín dụng 2024](https://vieclam.nganhang.com/thuat-ngu/luat-cac-to-chuc-tin-dung-2024-la-gi) — Luật số 32/2024/QH15 sửa đổi quy định về cấp phép, hoạt động, mua bán sáp nhập và giám sát các tổ chức tín dụng tại Việt Nam.
- [Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân](https://vieclam.nganhang.com/thuat-ngu/nghi-dinh-132023nd-cp-ve-bao-ve-du-lieu-ca-nhan-la-gi) — Văn bản pháp lý quan trọng quy định bảo vệ dữ liệu cá nhân tại Việt Nam, áp dụng cho dịch vụ tài chính số.
- [Ngân hàng số](https://vieclam.nganhang.com/thuat-ngu/ngan-hang-so-la-gi) — Mô hình ngân hàng vận hành chủ yếu qua kênh số (Internet, mobile), cho phép khách hàng thực hiện hầu hết giao dịch mà không cần đến quầy truyền thống.
- [Ngân hàng điện tử](https://vieclam.nganhang.com/thuat-ngu/ngan-hang-dien-tu-la-gi) — Tổng hợp các kênh giao dịch ngân hàng qua phương tiện điện tử bao gồm Internet Banking, Mobile Banking, SMS Banking và ATM, hoạt động 24/7.
- [Phòng chống gian lận](https://vieclam.nganhang.com/thuat-ngu/phong-chong-gian-lan-la-gi) — Hệ thống quy trình và công nghệ ngân hàng nhằm ngăn chặn giao dịch gian lận.
- [Rủi ro pháp lý](https://vieclam.nganhang.com/thuat-ngu/rui-ro-phap-ly-la-gi) — Rủi ro phát sinh từ việc hợp đồng không có hiệu lực pháp lý, tranh chấp kiện tụng hoặc xử phạt từ cơ quan quản lý.
- [Ứng dụng ngân hàng số](https://vieclam.nganhang.com/thuat-ngu/ung-dung-ngan-hang-so-la-gi) — Phần mềm cài trên điện thoại thông minh giúp khách hàng thực hiện giao dịch ngân hàng mọi lúc mọi nơi. Là kênh giao dịch chính trong chiến lược ngân hàng số củ…