# Quy trình quản lý sự cố

Tiếng Anh: Incident management process

Quy trình chuẩn gồm phát hiện, phân loại, ứng phó, khôi phục và rút kinh nghiệm sau mỗi sự cố an ninh, giúp ngân hàng cải tiến liên tục.

Nguồn: https://vieclam.nganhang.com/thuat-ngu/quy-trinh-quan-ly-su-co-la-gi
Danh mục: An ninh & Phòng chống gian lận
Cập nhật: 13/09/2026

**Quy trình quản lý sự cố** (tiếng Anh: **Incident Management Process**) là một chuỗi các bước chuẩn hóa mà ngân hàng và các tổ chức tài chính sử dụng để phát hiện, ghi nhận, phân loại, ứng phó, khôi phục và rút kinh nghiệm sau mỗi sự cố an ninh thông tin hoặc sự cố vận hành. Trong bối cảnh ngành ngân hàng Việt Nam đang chuyển đổi số mạnh mẽ, quy trình này đóng vai trò "xương sống" giúp đảm bảo hệ thống thanh toán, dữ liệu khách hàng và các dịch vụ trực tuyến luôn được bảo vệ trước các cuộc tấn công mạng, gian lận thẻ, rò rỉ dữ liệu hay sự cố kỹ thuật bất ngờ.

Theo khung quản lý dịch vụ CNTT quốc tế **ITIL** (Information Technology Infrastructure Library) và tiêu chuẩn **NIST SP 800-61** của Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ, quy trình quản lý sự cố thường bao gồm 5 giai đoạn chính: **Phát hiện** (Detection), **Phân loại và ghi nhận** (Classification & Logging), **Ứng phó** (Response), **Khôi phục** (Recovery) và **Rút kinh nghiệm** (Post-Incident Review / Lessons Learned). Mỗi giai đoạn đều có chỉ số **SLA** (Service Level Agreement) — thỏa thuận mức dịch vụ — và **KPI** (Key Performance Indicator) — chỉ số hiệu suất then chốt — để đo lường hiệu quả, ví dụ như thời gian phản ứng trung bình (MTTR - Mean Time To Respond) hay thời gian khôi phục dịch vụ (MTTR - Mean Time To Recover).

Trong ngành ngân hàng, mỗi phút hệ thống ngừng hoạt động có thể gây thiệt hại hàng trăm triệu đồng do gián đoạn giao dịch, mất uy tín và ảnh hưởng đến niềm tin của khách hàng. Một nghiên cứu của **IBM** năm 2023 cho thấy chi phí trung bình cho một sự cố rò rỉ dữ liệu trong lĩnh vực tài chính toàn cầu lên tới 5,9 triệu USD/vụ. Vì vậy, việc xây dựng và vận hành một **quy trình quản lý sự cố** chặt chẽ không chỉ là yêu cầu tuân thủ theo Thông tư 31/2017/TT-NHNN của Ngân hàng Nhà nước Việt Nam về an toàn, bảo mật trong hoạt động ngân hàng điện tử, mà còn là yếu tố sống còn để duy trì lợi thế cạnh tranh.

**Thuật ngữ tiếng Anh:** Incident Management Process
**Lĩnh vực:** An ninh & Phòng chống gian lận

## Đặc điểm và phân loại

### Các giai đoạn chính của quy trình

Quy trình quản lý sự cố được chia thành 5 giai đoạn cốt lõi, mỗi giai đoạn có mục tiêu, công cụ và đầu ra rõ ràng:

| Giai đoạn | Mục tiêu chính | Công cụ/Phương pháp thường dùng | KPI đo lường |
|---|---|---|---|
| **1. Phát hiện (Detection)** | Xác định sự cố sớm nhất có thể | Hệ thống **SIEM** (Security Information and Event Management), IDS/IPS, log giám sát 24/7 | Thời gian phát hiện trung bình (MTTD) |
| **2. Ghi nhận & Phân loại (Logging & Classification)** | Ghi nhận đầy đủ thông tin, phân loại mức độ nghiêm trọng | Hệ thống **Ticketing**, phân loại theo thang **P1-P4** (Priority) | Tỷ lệ phân loại chính xác |
| **3. Ứng phó (Response)** | Khống chế, ngăn chặn sự cố lan rộng | Đội ngũ **CSIRT** (Computer Security Incident Response Team), playbook ứng phó | Thời gian phản ứng (MTTR phản ứng) |
| **4. Khôi phục (Recovery)** | Đưa hệ thống về trạng thái hoạt động bình thường | Backup, **DR site** (Disaster Recovery site), failover | Thời gian khôi phục (MTTR khôi phục) |
| **5. Rút kinh nghiệm (Post-Incident Review)** | Phân tích nguyên nhân gốc, cập nhật quy trình | Báo cáo **RCA** (Root Cause Analysis), cuộc họp blameless | Số lỗi lặp lại, tỷ lệ cải tiến |

### Phân loại sự cố theo mức độ nghiêm trọng

Ngân hàng thường phân sự cố thành 4 cấp độ ưu tiên để quyết định tốc độ và nguồn lực ứng phó:

- **P1 - Sự cố nghiêm trọng (Critical):** Hệ thống thanh toán core ngừng hoạt động, rò rỉ dữ liệu hàng loạt, website/app chính không truy cập được. Thời gian phản ứng: ≤ 15 phút, thời gian khôi phục mục tiêu: ≤ 4 giờ.
- **P2 - Sự cố cao (High):** Một kênh giao dịch trực tuyến gián đoạn, lỗi bảo mật nghiêm trọng chưa ảnh hưởng dữ liệu. Thời gian phản ứng: ≤ 30 phút, khôi phục: ≤ 8 giờ.
- **P3 - Sự cố trung bình (Medium):** Lỗi chức năng phụ, giảm hiệu năng hệ thống, cảnh báo bảo mật. Thời gian phản ứng: ≤ 4 giờ, khôi phục: ≤ 24 giờ.
- **P4 - Sự cố thấp (Low):** Yêu cầu bảo trì, lỗi giao diện nhỏ, đề xuất cải tiến. Thời gian phản ứng: ≤ 24 giờ.

### Phân loại theo loại hình sự cố

| Loại sự cố | Đặc điểm | Ví dụ thường gặp |
|---|---|---|
| Sự cố an ninh mạng (**Cyber Incident**) | Tấn công có chủ đích từ hacker, malware, ransomware | Tấn công **DDoS** vào cổng thanh toán, mã độc đánh cắp thông tin thẻ |
| Sự cố gian lận (**Fraud Incident**) | Gian lận tài chính, lừa đảo khách hàng | Skimming thẻ ATM, phishing chiếm đoạt OTP, giả mạo nhân viên ngân hàng |
| Sự cố vận hành (**Operational Incident**) | Lỗi phần cứng, phần mềm, con người | Sập server core database, lỗi batch job cuối ngày |
| Sự cố tuân thủ (**Compliance Incident**) | Vi phạm quy định pháp luật, nội bộ | Rò rỉ dữ liệu khách hàng vi phạm Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân |
| Sự cố dịch vụ bên thứ ba (**Third-party Incident**) | Nhà cung cấp cloud, đối tác thanh toán gặp sự cố | Đứt cáp quang biển ảnh hưởng kết nối AWS, lỗi cổng thanh toán quốc tế |

### Đặc điểm nổi bật của một quy trình chuẩn

Một quy trình quản lý sự cố hiệu quả trong ngân hàng cần có 6 đặc điểm cốt lõi:

1. **Tính chuẩn hóa (Standardization):** Mọi sự cố đều được xử lý theo quy trình thống nhất, không phụ thuộc cá nhân.
2. **Tính phân cấp rõ ràng (Escalation Hierarchy):** Phân công trách nhiệm cụ thể từ L1 (tổng đài) đến L3 (chuyên gia bảo mật).
3. **Tính khả truy (Traceability):** Mọi hành động đều được log, có báo cáo phục vụ kiểm toán.
4. **Tính chủ động (Proactive):** Không chỉ chờ sự cố xảy ra mà còn tổ chức diễn tập định kỳ.
5. **Tính liên tục (Continuous Improvement):** Cập nhật quy trình sau mỗi sự cố thông qua vòng lặp **PDCA** (Plan - Do - Check - Act).
6. **Tính tuân thủ (Compliance):** Đáp ứng yêu cầu của NHNN, **ISO 27001**, **PCI DSS** (Payment Card Industry Data Security Standard).

## Ví dụ thực tế trong ngành ngân hàng

### Ví dụ 1: Ngân hàng A xử lý sự cố tấn công DDoS vào cổng Internet Banking

Vào 14h chiều một ngày thứ 6, Ngân hàng A phát hiện lưu lượng truy cập tăng đột biến gấp 50 lần bình thường vào cổng Internet Banking, khiến gần 2 triệu khách hàng không thể đăng nhập. Hệ thống **SIEM** tự động cảnh báo mức P1 trong vòng 3 phút, đội **CSIRT** lập tức kích hoạt playbook ứng phó DDoS đã được diễn tập 2 tháng trước.

Theo quy trình, đội ngũ thực hiện:
- **Ghi nhận & Phân loại:** Mở ticket P1, ghi nhận 2 triệu người dùng bị ảnh hưởng, thời điểm bắt đầu 14h02.
- **Ứng phó trong 15 phút:** Kích hoạt dịch vụ **CDN** (Content Delivery Network) của Cloudflare để lọc traffic độc hại, chuyển hướng sang IP dự phòng.
- **Khôi phục sau 1 giờ 45 phút:** Hệ thống hoạt động bình thường, tỷ lệ truy cập thành công đạt 99,5%.
- **Rút kinh nghiệm:** Cuộc họp RCA sau 3 ngày phát hiện nguyên nhân gốc là nhà cung cấp **ISP** đối tác không kịp thời chặn IP nguồn. Ngân hàng quyết định nâng cấp lên giải pháp chống DDoS chuyên dụng với ngưỡng 100 Gbps, tăng gấp 5 lần năng lực hiện tại. Chi phí thiệt hại ước tính khoảng 3,2 tỷ đồng nếu không có quy trình, nhưng nhờ quy trình chuẩn, thời gian downtime giảm từ 8 giờ xuống còn dưới 2 giờ, tiết kiệm khoảng 1,8 tỷ đồng.

### Ví dụ 2: Ngân hàng B ứng phó sự cố gian lận thẻ tín dụng hàng loạt

Ngân hàng B nhận được cảnh báo từ hệ thống giám sát giao dịch thẻ tín dụng về hơn 500 giao dịch bất thường trong vòng 30 phút tại một quốc gia châu Á, tổng giá trị gần 8 tỷ đồng. Đây là dấu hiệu điển hình của tấn công **BIN attack** — hacker dò số thẻ hợp lệ thông qua các giao dịch nhỏ.

Đội phòng chống gian lận áp dụng quy trình theo các bước:
- **Phát hiện:** Hệ thống **FDS** (Fraud Detection System) tự động đánh dấu giao dịch bất thường dựa trên machine learning với độ chính xác 96%.
- **Phân loại P1:** Trong 10 phút, trung tâm điều hành quyết định khoá tạm thời 12.000 thẻ nghi ngờ bị lộ thông tin.
- **Ứng phó:** Liên hệ tổng đài gọi ra xác minh chủ thẻ, gửi SMS cảnh báo, phối hợp với tổ chức thẻ quốc tế truy vết giao dịch.
- **Khôi phục:** Sau 6 giờ, hoàn tất cấp lại thẻ mới cho 11.800 khách hàng hợp lệ, 200 khách hàng bị ảnh hưởng được hoàn tiền theo quy định.
- **Rút kinh nghiệm:** Ngân hàng điều chỉnh ngưỡng cảnh báo FDS từ 0,5% xuống 0,1% giao dịch quốc tế bất thường, đồng thời tích hợp thêm cơ sở dữ liệu blacklist toàn cầu. Nhờ vậy, 3 tháng sau tỷ lệ gian lận thẻ giảm 78%.

### Ví dụ 3: Khách hàng B gặp sự cố khi giao dịch trên App

Chị Nguyễn Thị B, khách hàng cá nhân của Ngân hàng C, giao dịch chuyển tiền 15 triệu đồng qua ứng dụng di động lúc 23h tối nhưng hệ thống báo lỗi, đồng thời số dư bị trừ. Chị B gọi tổng đài, nhân viên **L1** ghi nhận ticket P3 và chuyển cho **L2** xử lý trong 30 phút. Đội vận hành kiểm tra log, phát hiện đây là sự cố timeout kết nối giữa app và core banking, giao dịch thực tế chưa được ghi nhận ở hệ thống backend. Sau 4 giờ, giao dịch được rollback tự động, số dư được hoàn trả, chị B nhận được SMS xác nhận và email xin lỗi kèm mã giảm giá 100.000 đồng cho giao dịch kế tiếp. Đây là minh chứng cho thấy quy trình quản lý sự cố hiệu quả không chỉ giải quyết vấn đề kỹ thuật mà còn bảo vệ trải nghiệm khách hàng — **NPS** (Net Promoter Score) của ngân hàng tăng 7 điểm nhờ cách xử lý chuyên nghiệp này.

## Quy trình quản lý sự cố trong các ngôn ngữ khác

| Ngôn ngữ | Thuật ngữ | Phiên âm |
|---|---|---|
| Tiếng Anh | Incident Management Process | /ˈɪnsɪdənt ˈmænɪdʒmənt ˈprɑːses/ |
| Tiếng Nhật | インシデント管理プロセス | Inshidento kanri purosesu |
| Tiếng Hàn | 사고 관리 프로세스 | Sago gwanli peurojeseu |
| Tiếng Trung | 事件管理流程 | Shìjiàn guǎnlǐ liúchéng |
| Tiếng Tây Ban Nha | Proceso de gestión de incidentes | /proˈθeso ðe xeˈstjon ðe inˈθidentes/ |

## Câu hỏi thường gặp

### Quy trình quản lý sự cố khác gì Quản lý rủi ro (Risk Management)?

Quản lý rủi ro (**Risk Management**) là quy trình xác định, đánh giá và kiểm soát các rủi ro **trước** khi sự cố xảy ra, mang tính chủ động và phòng ngừa. Trong khi đó, quy trình quản lý sự cố (**Incident Management Process**) tập trung vào việc phản ứng, khắc phục và rút kinh nghiệm **sau** khi sự cố đã xảy ra, mang tính phản ứng và khôi phục. Hai quy trình này bổ trợ cho nhau: quản lý rủi ro tốt giúp giảm tần suất sự cố, còn quản lý sự cố tốt giúp giảm thiệt hại khi sự cố xảy ra. Trong ngân hàng, cả hai đều thuộc hệ thống quản trị **GRC** (Governance, Risk and Compliance).

### Khi nào cần áp dụng quy trình quản lý sự cố?

Quy trình này cần được áp dụng trong mọi tình huống bất thường ảnh hưởng đến dịch vụ tài chính, bao gồm: hệ thống core banking, ATM, Internet Banking, Mobile Banking, cổng thanh toán thẻ, API kết nối đối tác fintech, và các dịch vụ khách hàng. Trong thực tế, quy trình được kích hoạt ngay khi có cảnh báo từ hệ thống giám sát (SIEM, FDS) hoặc khi nhận được phản ánh từ khách hàng qua tổng đài, email, mạng xã hội. Đặc biệt, các ngân hàng tại Việt Nam phải áp dụng quy trình theo Thông tư 31/2017/TT-NHNN và báo cáo sự cố an ninh mạng cho NHNN trong vòng 24 giờ nếu ở mức nghiêm trọng.

### Quy trình quản lý sự cố ảnh hưởng thế nào đến khách hàng?

Với khách hàng cá nhân, quy trình quản lý sự cố hiệu quả giúp giao dịch được khôi phục nhanh chóng, tiền trong tài khoản được bảo vệ, thông tin cá nhân không bị rò rỉ, đồng thời nhận được thông báo minh bạch và hỗ trợ kịp thời. Với khách hàng doanh nghiệp, quy trình giúp đảm bảo dòng tiền không bị gián đoạn, các khoản thanh toán lương, thuế, nhà cung cấp được thực hiện đúng hạn. Một quy trình chuẩn giúp giảm 60-80% thời gian gián đoạn dịch vụ, từ đó bảo vệ **CSAT** (Customer Satisfaction Score) và **NPS** — hai chỉ số quyết định sự trung thành của khách hàng. Ngược lại, nếu xử lý sự cố chậm hoặc sai quy trình, ngân hàng có thể mất khách hàng vĩnh viễn và đối mặt với các khoản phạt từ cơ quan quản lý lên tới hàng tỷ đồng.

## Tổng kết

**Quy trình quản lý sự cố** là nền tảng không thể thiếu trong hệ thống an ninh và vận hành của mọi ngân hàng hiện đại. Với 5 giai đoạn chuẩn từ phát hiện đến rút kinh nghiệm, quy trình giúp ngân hàng giảm thiểu thiệt hại tài chính, bảo vệ dữ liệu khách hàng, duy trì uy tín thương hiệu và tuân thủ quy định pháp luật. Trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi và tần suất gia tăng 15-20% mỗi năm tại Việt Nam, việc đầu tư xây dựng quy trình chuẩn, đào tạo đội ngũ **CSIRT** chuyên nghiệp, tích hợp công nghệ tự động hóa (SOAR - Security Orchestration, Automation and Response) và tổ chức diễn tập định kỳ chính là chìa khóa để ngân hàng đứng vững trước mọi sự cố, từ đó tạo nền tảng vững chắc cho hành trình chuyển đổi số bền vững.

## Thuật ngữ liên quan

- [Hệ thống Core Banking](https://vieclam.nganhang.com/thuat-ngu/he-thong-core-banking-la-gi) — Hệ thống xử lý nghiệp vụ lõi của ngân hàng, là nền tảng kết nối với các kênh giao dịch như Mobile Banking, Internet Banking và quầy giao dịch.
- [Khóa thẻ tạm thời](https://vieclam.nganhang.com/thuat-ngu/khoa-the-tam-thoi-la-gi) — Tính năng trên app ngân hàng cho phép khách hàng tạm khóa thẻ khi nghi ngờ mất an toàn và mở lại ngay khi cần mà không phải làm lại thẻ.
- [Ngân hàng điện tử](https://vieclam.nganhang.com/thuat-ngu/ngan-hang-dien-tu-la-gi) — Tổng hợp các kênh giao dịch ngân hàng qua phương tiện điện tử bao gồm Internet Banking, Mobile Banking, SMS Banking và ATM, hoạt động 24/7.
- [Phân tích nguyên nhân gốc](https://vieclam.nganhang.com/thuat-ngu/phan-tich-nguyen-nhan-goc-la-gi) — Phương pháp điều tra có hệ thống nhằm xác định nguyên nhân gốc rễ của sự cố rủi ro hoạt động để đề xuất biện pháp khắc phục triệt để.
- [Phân tích nguyên nhân gốc rễ](https://vieclam.nganhang.com/thuat-ngu/phan-tich-nguyen-nhan-goc-re-la-gi) — Phương pháp truy ngược vấn đề đến nguyên nhân sâu xa nhằm khắc phục triệt để các sự cố nhân sự tái diễn.
- [Phòng chống gian lận](https://vieclam.nganhang.com/thuat-ngu/phong-chong-gian-lan-la-gi) — Hệ thống quy trình và công nghệ ngân hàng nhằm ngăn chặn giao dịch gian lận.
- [Quản trị rủi ro](https://vieclam.nganhang.com/thuat-ngu/quan-tri-rui-ro-la-gi) — Cơ cấu tổ chức, quy trình phân cấp trách nhiệm và cơ chế ra quyết định về rủi ro trong ngân hàng.
- [Rủi ro công nghệ thông tin](https://vieclam.nganhang.com/thuat-ngu/rui-ro-cong-nghe-thong-tin-la-gi) — Rủi ro từ hệ thống CNTT bị lỗi, gián đoạn, lạc hậu hoặc không đáp ứng yêu cầu bảo mật, gây tác động tiêu cực đến hoạt động ngân hàng.