Giám đốc Bảo mật Thông tin (Chief Information Security Officer — CISO ngân hàng)
Giám đốc Bảo mật Thông tin (CISO) trong ngân hàng là chức danh cấp cao thuộc khối quản trị rủi ro, chịu trách nhiệm toàn diện về việc xây dựng, triển khai và giám sát chiến lược an toàn thông tin (ATTT), an ninh mạng và bảo vệ dữ liệu của tổ chức tín dụng. CISO là người đứng đầu bộ máy bảo mật, có nhiệm vụ bảo vệ hệ thống công nghệ thông tin (CNTT), cơ sở dữ liệu khách hàng, các kênh giao dịch điện tử (Internet Banking, Mobile Banking, ATM/POS) và các tài sản thông tin trước các mối đe dọa từ tấn công mạng, gian lận nội bộ và rò rỉ dữ liệu. Khác với Giám đốc Công nghệ Thông tin (CIO) tập trung vào vận hành và phát triển hệ thống, CISO tập trung vào phòng thủ, phát hiện, ứng phó và phục hồi sau sự cố an ninh thông tin, đồng thời đóng góp vào khung quản trị rủi ro công nghệ (Operational Risk, ICT Risk) theo chuẩn Basel II/III.
Vai trò và phạm vi trách nhiệm
Trong một ngân hàng thương mại Việt Nam, CISO thường chịu trách nhiệm trên các mảng nghiệp vụ chính:
- Xây dựng chiến lược và chính sách ATTT: ban hành các chính sách, tiêu chuẩn, quy trình ATTT phù hợp với quy định của Ngân hàng Nhà nước (NHNN) và các chuẩn quốc tế (ISO 27001, NIST CSF, PCI-DSS).
- Quản lý rủi ro an ninh thông tin: xác định, đánh giá và kiểm soát rủi ro ICT theo khung quản trị rủi ro hoạt động, tham gia vào quy trình đánh giá rủi ro khi triển khai sản phẩm/sáng kiến mới.
- Giám sát, phát hiện và ứng phó sự cố: vận hành Trung tâm Giám sát An ninh (SOC), xử lý sự cố rò rỉ dữ liệu, tấn công DDoS, phishing, ransomware, gian lận trên kênh số.
- Tuân thủ pháp lý và báo cáo cơ quan quản lý: phối hợp với các đơn vị liên quan thực hiện nghĩa vụ báo cáo sự cố ATTT theo quy định hiện hành của NHNN về an toàn, bảo mật trong hoạt động ngân hàng điện tử.
- Đào tạo nhận thức ATTT: tổ chức diễn tập, đào tạo nhân viên về nhận diện email lừa đảo, kỹ năng xử lý thông tin, phòng chống tấn công phi kỹ thuật (social engineering).
- Bảo vệ dữ liệu khách hàng: đảm bảo tuân thủ quy định về bảo vệ dữ liệu cá nhân, bí mật thông tin khách hàng theo pháp luật hiện hành.
Vị trí trong cơ cấu tổ chức và quan hệ công tác
CISO thường báo cáo trực tiếp cho Tổng Giám đốc hoặc Phó Tổng Giám đốc phụ trách khối công nghệ/rủi ro, đồng thời có tuyến báo cáo độc lập (dual reporting) lên Ủy ban Công nghệ hoặc Ủy ban Rủi ro thuộc Hội đồng Quản trị. Ở các ngân hàng lớn, CISO là thành viên Ủy ban Quản lý rủi ro công nghệ thông tin (IT Risk Committee), phối hợp chặt với CIO, Giám đốc Rủi ro (CRO), Giám đốc Pháp chế & Tuân thủ (CCO) và kiểm toán nội. Một số ngân hàng Việt Nam hiện nay đã tách bạch rõ chức năng ATTT khỏi CNTT để đảm bảo tính độc lập, tránh xung đột lợi ích khi vừa vận hành vừa kiểm soát hệ thống.
Yêu cầu năng lực và lộ trình nghề nghiệp
Để đảm nhận vị trí CISO ngân hàng, ứng viên thường cần:
- Trình độ chuyên môn: tốt nghiệp đại học trở lên chuyên ngành CNTT, ATTT, Toán tin hoặc Điện tử Viễn thông; ưu tiên bằng cấp sau đại học về quản trị rủi ro/quản trị kinh doanh (MBA).
- Chứng chỉ nghề nghiệp: CISSP, CISM, CISA, CRISC, ISO 27001 Lead Auditor/Implementer, CEH là những chứng chỉ được tuyển dụng ngân hàng Việt Nam yêu cầu phổ biến.
- Kinh nghiệm: tối thiểu 10–15 năm trong lĩnh vực CNTT-ATTT, trong đó ít nhất 5 năm ở vị trí quản lý cấp cao tại tổ chức tài chính ngân hàng, fintech hoặc các đơn vị cung cấp dịch vụ an ninh mạng cho ngân hàng.
- Kỹ năng quản trị: khả năng giao tiếp với Hội đồng Quản trị, diễn giải rủi ro bảo mật theo ngôn ngữ kinh doanh, thuyết phục cấp lãnh đạo phân bổ ngân sách; am hiểu quy định pháp luật Việt Nam về ATTT, an ninh mạng, bảo vệ dữ liệu.
Câu hỏi thường gặp
Hỏi: CISO khác gì CIO và Giám đốc Rủi ro (CRO) trong ngân hàng? Trả lời: CIO chịu trách nhiệm xây dựng, vận hành và phát triển toàn bộ hệ thống CNTT phục vụ nghiệp vụ ngân hàng. CRO chịu trách nhiệm tổng thể về quản trị rủi ro (tín dụng, thị trường, hoạt động, thanh khoản). CISO nằm trong hệ thống quản trị rủi ro nhưng chuyên sâu về rủi ro an ninh thông tin, có quyền độc lập trong việc cảnh báo, từ chối triển khai hệ thống nếu không đảm bảo an toàn, và thường có tuyến báo cáo trực tiếp lên Ủy ban Rủi ro hoặc Hội đồng Quản trị.
Hỏi: Khi xảy ra sự cố rò rỉ dữ liệu khách hàng, CISO có phải là người chịu trách nhiệm chính và trực tiếp báo cáo cơ quan quản lý không? Trả lời: CISO là người điều phối kỹ thuật xử lý sự cố, nhưng trách nhiệm pháp lý cuối cùng thường thuộc Tổng Giám đốc và Hội đồng Quản trị. Theo quy định hiện hành của NHNN về an toàn, bảo mật trong hoạt động ngân hàng điện tử, ngân hàng phải báo cáo sự cố ATTT nghiêm trọng cho NHNN trong thời hạn nhất định; CISO là đầu mối chuẩn bị nội dung báo cáo và đề xuất phương án khắc phục.
Hỏi: Trong đề thi tuyển dụng ngân hàng, vị trí CISO thường được hỏi ở dạng câu hỏi nào? Trả lời: Các câu hỏi thường xoay quanh: (i) phân biệt vai trò CISO với CIO và CRO; (ii) các bước xử lý khi phát hiện tấn công ransomware vào hệ thống core banking; (iii) các chứng chỉ nghề nghiệp cần thiết cho vị trí CISO ngân hàng; (iv) cách CISO tham gia vào quy trình quản trị rủi ro khi ngân hàng triển khai sản phẩm ngân hàng số mới. Ứng viên cần nắm vững cả kiến thức kỹ thuật lẫn khung quản trị rủi ro để trả lời trọn điểm.
Nội dung trên mang tính tham khảo tổng quát về nghiệp vụ quản trị an ninh thông tin trong ngân hàng, không thay thế tư vấn pháp lý chuyên ngành hay tư vấn tuyển dụng cụ thể của từng tổ chức tín dụng.