Bảo mật AI tài chính (PHẦN 1. Cơ bản)

Đào tạo để đạt được chứng nhận ISMS-P và chứng nhận ISO27001/ISO27701

<Từ bỏ các nhiệm vụ phụ trách thông tin cá nhân hiện tại, cần thúc đẩy cải cách và đưa ra phương án thay thế> Đây là bài giảng trình bày ý kiến về nhiều vấn đề hiện tại (liên quan đến sự cố rò rỉ dữ liệu), chẳng hạn như công khai minh bạch việc xử lý thông tin cá nhân thông qua việc thay đổi phân công công việc của đội ngũ và người phụ trách thông tin cá nhân; thành lập đội TFT được tổ chức như một đội thống nhất với các nhà phát triển; cung cấp DFD để người dân có thể lựa chọn và trao quyền lựa chọn; cũng như thúc đẩy hoạt động kiểm thử xâm nhập + giám sát an ninh trong một hệ thống thống nhất về thông tin cá nhân, nhằm thực hiện các biện pháp hỗ trợ quản lý và bảo vệ kỹ thuật phù hợp với kỳ vọng của người dân.

Các biện pháp như giảm tiền phạt hành chính từng được sử dụng làm căn cứ thúc đẩy chứng nhận ISMS-P và các chứng nhận khác nay đã trở thành một chế độ hết sức quan trọng. Do các vụ rò rỉ thông tin cá nhân quy mô lớn liên tiếp xảy ra gần đây tại Coupang, SKT, Lotte Card..., Nghị định thi hành Luật Bảo vệ thông tin cá nhân đã được sửa đổi, theo đó áp dụng chính sách giảm tiền phạt hành chính đối với sự cố rò rỉ thông tin cá nhân khi đạt được hệ thống bảo vệ mang tính phòng ngừa trước (giảm 40% mức tiền phạt tương đương 10% doanh thu). Do đó, việc kiểm tra hệ thống xử lý thông tin cá nhân và bảo đảm nhân sự chuyên trách về thông tin cá nhân—những công việc trước đây rất khó thực hiện quản lý, kiểm tra dựa trên Luật Bảo vệ thông tin cá nhân hiện hành—nay đã có cơ sở pháp lý để ưu tiên triển khai thông qua chế độ giảm tiền phạt. Vì vậy, cần bổ sung các nội dung phải phản ánh vào quy định bảo vệ thông tin cá nhân, xây dựng thêm hồ sơ kết quả hoạt động liên quan đến thông tin cá nhân, đồng thời đã đến thời điểm phải tiến hành rà soát ngân sách, bao gồm thành tích triển khai các giải pháp bảo vệ thông tin cá nhân. Do đó, cần bảo đảm các nội dung được triển khai từ nửa cuối năm 2026 được phản ánh ngay vào hệ thống quản lý thông tin cá nhân để có thể thực hiện báo cáo CPO.

Đây là khóa đào tạo cùng tìm hiểu về hoạt động rà soát quyền riêng tư dịch vụ mà Naver, Kakao và Toss hướng đến, nhằm nâng cao năng lực của các đội ngũ tư vấn và bảo vệ thông tin cá nhân trong nước; đồng thời giúp xác định những nội dung cần áp dụng biện pháp bảo vệ thông tin cá nhân phù hợp với từng dịch vụ và hướng dẫn những điểm cần kiểm tra khi đánh giá dịch vụ. Đây không phải là khóa đào tạo kiểm tra dựa trên các quy định pháp luật chung hoặc checklist thông thường, mà là chương trình đào tạo kiểm tra chuyên sâu, đồng thời cung cấp cả checklist.

Nhằm cải thiện so với năm ngoái bằng cách tham khảo các trường hợp điển hình của nhiều cơ quan khác nhau, trong bối cảnh thành tích của các sự kiện và chiến dịch như Ngày An ninh thông tin hoặc Ngày Bảo vệ thông tin cá nhân được tổ chức mỗi tháng một lần hoặc mỗi năm một lần đang có xu hướng giảm sút, cần thay đổi các chiến dịch nâng cao nhận thức vốn không được quy định trong quy chế và thường chỉ kết thúc bằng việc phát quà tặng. Từ nay, cần chuyển từ các sự kiện phát quà do Đội An ninh thông tin chủ trì thành các sự kiện mà toàn thể cán bộ nhân viên cùng tham gia duy trì, đồng thời xây dựng mối quan hệ giữa các bên liên quan thông qua việc thiết lập cơ chế giao tiếp nhằm nội tại hóa an ninh. Cuối cùng, thực tế cho thấy chỉ khi cán bộ nhân viên hiểu rõ về an ninh thông tin, Luật Bảo vệ thông tin cá nhân và các quy định liên quan thì mới có thể bảo vệ tổ chức khỏi hành vi tấn công mạng cũng như các mối đe dọa từ nội bộ. Bên cạnh đó, từ khâu lập kế hoạch và đặt hàng các dự án khác nhau, quản lý bên nhận ủy thác, kiểm soát ứng dụng và thiết lập bảo mật, lập kế hoạch cho các dự án tin học hóa, đến kiểm toán IT, các bộ phận và người phụ trách không thuộc đội an ninh đều được quy định là chịu trách nhiệm tổng thể. Vì vậy, đội an ninh đang phân chia công việc cho từng bộ phận, nhưng các bộ phận hiện chỉ bày tỏ sự bất mãn. Cần tận dụng thời gian này để thoát khỏi thực trạng đó (chỉ một cơ chế phối hợp nội bộ là chưa đủ). Trong hệ thống đánh giá nhân sự có tính ràng buộc cao, cần phản ánh cơ chế điểm số về an ninh. Thông qua các cuộc kiểm tra đột xuất, những người không tuân thủ phải bị kỷ luật, áp dụng hình thức cắt giảm lương hoặc đình chỉ công tác. Ngược lại, những người tuân thủ tốt các quy định an ninh và chứng minh được thành tích vì an ninh cần được chi trả một khoản tiền lớn thông qua chế độ khuyến khích. Qua đó, cần nội tại hóa an ninh để cán bộ nhân viên tự giác hành động. Theo đó, dưới sự chủ trì của CISO, cần điều chỉnh KPI đánh giá bộ phận/đánh giá cá nhân thông qua báo cáo lên CEO. Đồng thời, thông qua chế độ chỉ định người chịu trách nhiệm/người phụ trách an ninh thông tin tại từng bộ phận và phụ cấp chức vụ, cần tăng cường hệ thống an ninh nhân sự có thể bảo vệ khỏi các vụ tấn công và rò rỉ, bao gồm việc quản lý tài liệu do từng bộ phận quản lý và quản lý các công ty cung cấp dịch vụ.

Các vụ tấn công mạng cùng loại liên tục xảy ra tại các công ty thẻ và công ty bảo hiểm, làm rò rỉ thông tin cá nhân của đông đảo người dân. Các đơn vị xử lý thông tin cá nhân khác cũng liên tục gặp sự cố vì không thể ngăn chặn những nguyên nhân và thủ đoạn tấn công tương tự. Không thể phát hiện sự cố, nhưng vẫn tiêu tốn ngân sách để nâng cấp hoạt động giám sát; nhân sự liên tục được tuyển thêm, song hệ thống báo cáo và quy định nội bộ vẫn còn thiếu sót. Đây là một phần của bài giảng nhằm nghiên cứu và hướng dẫn liên tục để giải quyết tình trạng khách hàng liên tục bất mãn, gặp bất tiện do cơ chế quản lý khó hiểu và niềm tin vào dịch vụ bằng không'.

Khi xảy ra và được công bố sự cố rò rỉ thông tin liên kết, các biện pháp như đánh giá tầm quan trọng của thông tin CI và thực trạng quản lý đã được triển khai. Theo đó, chương trình đào tạo chuyên môn được tổ chức.

Tiếp nối bài giảng “Kiểm toán dữ liệu cá nhân 1”, vẫn còn tình trạng chưa nâng cao được nghiệp vụ của cán bộ phụ trách dữ liệu cá nhân nội bộ; công việc hằng năm vẫn được duy trì như năm trước, dẫn đến việc chưa chủ động phòng ngừa và ngăn chặn sự cố do lơ là. Do CEO, CPO, trưởng khối, trưởng bộ phận và các cấp lãnh đạo khác chưa hiểu đầy đủ về bảo vệ dữ liệu cá nhân, nên việc đào tạo nội bộ và trao đổi các nội dung trọng yếu của Nhóm Bảo vệ dữ liệu cá nhân còn chưa đầy đủ. Nhóm Dữ liệu cá nhân, với tư cách là bộ phận phụ trách dữ liệu cá nhân, chỉ tiếp tục sử dụng danh sách kiểm tra phục vụ việc đánh giá và kiểm tra pháp lý chính xác. Cần khắc phục vấn đề này, vì việc kiểm tra chỉ dựa trên các điều khoản tối thiểu theo quy định pháp luật còn để lại rất nhiều điểm mù. Cần tổ chức đào tạo về kiến thức chính xác, bởi công tác kiểm tra phải dựa trên các án lệ và chế tài chính xác.

Thiết lập hệ thống báo cáo về việc triển khai các nội dung như Hội đồng Chính sách Bảo vệ Thông tin Cá nhân, Hội đồng Công tác và các hạng mục khác; đồng thời báo cáo ban lãnh đạo (CEO) về kết quả kiểm tra của Giám đốc Bảo vệ Thông tin Cá nhân (CPO), bao gồm việc tuân thủ các biện pháp an toàn và nghĩa vụ pháp lý. Cần xây dựng và triển khai cơ chế tự kiểm toán về thông tin cá nhân, tiến hành điều tra sơ bộ và kiểm tra nội bộ một cách chuyên nghiệp đối với các vụ tấn công mạng và rò rỉ dữ liệu gần đây. Nhận thức rằng các hệ thống chứng nhận hiện có như ISMS-P không thể ngăn chặn sự cố. Dù cần xây dựng danh mục kiểm tra kiểm toán phản ánh đặc điểm đa dạng của dịch vụ và ngành nghề, đồng thời triển khai các công việc phong phú và trên phạm vi rộng như kiểm tra các tệp thông tin cá nhân nội bộ và phân tích quy trình nghiệp vụ tại các đối tác (hơn 1.000 đơn vị) và chi nhánh kinh doanh (hơn 100 địa điểm), những công việc này vẫn chưa được thực hiện. Cần phòng vệ trước nhiều điểm mù, nhưng do các chuyên gia không nhận biết được nên không thể phòng vệ. Việc kiểm toán phù hợp đối với hệ thống bảo mật hiện có chưa được triển khai; các chuyên gia về hệ thống quản lý trên thực tế lại không phải là chuyên gia, khiến sự cố liên tục xảy ra và rủi ro vẫn còn tồn tại. Thông qua đợt nghiên cứu này, sẽ khắc phục các điểm mù, tăng cường kiểm tra hệ thống bảo mật hiện có (thực hiện kiểm tra chi tiết), xác định các hạng mục cần cải thiện và báo cáo.

Đào tạo về công tác kiểm toán an ninh của Ban Bảo vệ Thông tin, với các tình huống tiêu biểu năm 2026 có thể tham khảo khi tiến hành kiểm toán tại hiện trường; đồng thời hướng dẫn phương án kiểm tra cụ thể (kiểm tra thực tế), phù hợp với đặc thù của hoạt động kiểm toán, để có thể cải tiến sau khi rà soát hệ thống công việc hiện tại.

Trong khóa học An ninh AI tài chính (PART1. Cơ bản), chúng tôi đã trình bày tổng quan về an ninh AI. Xin lưu ý đây là khóa đào tạo thực hành dành cho các chuyên gia về những hạng mục kiểm tra AI cần thiết khi thẩm định an toàn bảo mật, hướng đến các chuyên gia mô phỏng tấn công (Red TEAM). Khóa học này bao gồm những nội dung thiết thực và giải thích cách tiến hành kiểm thử xâm nhập mô phỏng ở khía cạnh kỹ thuật (có kèm danh sách kiểm tra). Trong quá trình học, có thể bạn thấy AI khó hiểu; hoặc do các hướng dẫn về AI được xây dựng dựa trên tiêu chuẩn mô hình nên việc thẩm định gặp khó khăn, khiến rất nhiều doanh nghiệp chưa thể áp dụng. Tôi cũng cho rằng khi kiểm toán, các doanh nghiệp đã nhận được nhiều phản hồi về việc thiết lập quản trị an ninh AI trên thực tế. Nguyên nhân đương nhiên là vì hiện trạng vận hành nội bộ chưa có bằng chứng rõ ràng về an ninh AI. Đã đến lúc cần xây dựng hệ thống này. Mong rằng bạn sẽ tìm hiểu về an ninh AI và lựa chọn con đường trở thành người phụ trách an ninh AI.

Nhằm thiết lập hệ thống bảo vệ chủ động, phòng ngừa từ sớm như đã thông báo trước trong đợt kiểm tra thực trạng theo Luật Bảo vệ thông tin cá nhân và của Ủy ban Bảo vệ Thông tin Cá nhân vào tháng 6 năm 2026, mỗi doanh nghiệp cần tự rà soát tình hình hiện tại, xác định những điểm cần cải thiện trong thời gian tới và lập kế hoạch cải thiện. Trước hết, khóa đào tạo này được xây dựng để giúp người phụ trách thông tin cá nhân nhận thức và hiểu rõ các nội dung liên quan. Dựa trên kinh nghiệm hơn 8 năm tư vấn và hỗ trợ công tác bảo vệ thông tin tín dụng cá nhân, khóa đào tạo này được xây dựng nhằm phục vụ việc hoạch định chiến lược và soạn thảo tài liệu báo cáo ban lãnh đạo.

Tình trạng thiếu PM tại các công ty tư vấn bảo mật vẫn tiếp diễn. Vì vậy, có rất nhiều trường hợp những người ở độ tuổi ４０～５０, vốn làm việc trong các lĩnh vực hoàn toàn khác từ trước đến nay, gia nhập công ty và đảm nhiệm công việc xử lý phản hồi từ phía người phụ trách với vai trò PM. Do đó, các PM ở độ tuổi ４０～５０ này thường chưa từng làm trong lĩnh vực kỹ thuật, tư vấn hay bảo mật, nên gặp rất nhiều khó khăn. Họ gia nhập công ty với suy nghĩ rằng sẽ học hỏi bằng cách nhận bàn giao công việc từ các PM khác, rồi tiếp tục đảm nhiệm công việc. Bản thân tôi cũng đã đào tạo các PM và bàn giao công việc theo những nội dung dưới đây, và mức độ hài lòng rất cao.

Tất cả các cơ quan đã được tư vấn trong tổng cộng 6 năm về đánh giá mức độ bảo vệ thông tin cá nhân dành cho cơ quan công, đều đạt mức xếp hạng cao nhất. Thành tích bao gồm nhiều loại cơ quan công khác nhau <từ cơ quan hành chính trung ương đến doanh nghiệp nhà nước, cơ quan công quy mô nhỏ, chính quyền địa phương, v.v.>; duy trì mức xếp hạng cao nhất tại tất cả các cơ quan (có kinh nghiệm tư vấn liên tục cho cùng một cơ quan) và đạt 100 điểm (đứng đầu toàn quốc). Dựa trên cẩm nang năm 2026, với các mức phạt được siết chặt hơn sau sự cố Coupang và các chỉ số đã thay đổi, có thể phân bổ hiệu quả các hoạt động cần triển khai và bằng chứng thành tích cần có để lập báo cáo định lượng/định tính. Tùy theo tình hình của từng doanh nghiệp, ngay cả khi đầu tư quá mức hoặc ứng phó thận trọng một cách có chiến lược, vẫn có thể đạt danh hiệu trường hợp thực tiễn xuất sắc.

Năng lực kiểm tra các công nghệ mới (hệ thống quản lý đám mây) còn hạn chế do nhân sự kiểm tra hệ thống quản lý thiếu kiến thức và cơ sở lý thuyết. Đào tạo nhằm nâng cao chuyên môn cho đội ngũ nhân sự xác định những thiếu sót trong hệ thống quản lý và chủ động phòng ngừa sự cố do doanh nghiệp bị tin tặc tấn công. Đào tạo nhân sự phụ trách hạ tầng hiện có và kiểm thử xâm nhập để chuyển sang phụ trách hệ thống quản lý. Cung cấp dữ liệu nền tảng, giúp đảm bảo năng lực và tài liệu vững chắc!

Trong trường hợp chỉ có kinh nghiệm kiểm tra cơ sở hạ tầng thông tin và truyền thông trọng yếu nên còn thiếu kinh nghiệm về cơ sở hạ tầng tài chính điện tử, hoặc có kinh nghiệm về máy chủ, cơ sở dữ liệu, mạng và thiết bị bảo mật nhưng còn thiếu kinh nghiệm làm PL hoặc PM hạ tầng, dẫn đến thiếu hiểu biết tổng quát về các dự án cơ sở hạ tầng, cần nâng cao năng lực kiểm tra các hạng mục kiểm tra hạ tầng mạng và cung cấp dữ liệu tham khảo phục vụ kiểm tra.

Khi PaaS trong môi trường đám mây công cộng và riêng tư (trước đây được phân loại thành WEB/WAS) được đưa vào vận hành PaaS nội bộ, cần đáp ứng các yêu cầu chứng nhận như ISMS-P, bao gồm nhận diện và phân loại tài sản đám mây, xác định mức độ quan trọng và đưa kết quả đánh giá rủi ro vào quản lý. Các hạng mục kiểm tra container và hệ thống quản lý đám mây riêng trong tiêu chuẩn bảo mật dành cho công ty tài chính (khi phân tích, đánh giá lỗ hổng của cơ sở hạ tầng tài chính điện tử) được bổ sung và tăng cường vào năm 2026; đồng thời, các hạng mục về ảo hóa và đám mây cũng được bổ sung, sửa đổi đối với cơ sở hạ tầng thông tin và truyền thông trọng yếu. Đào tạo dành cho PL hạ tầng, người phụ trách quản lý tổng thể khoảng 10 nhân sự kiểm tra hạ tầng. Đào tạo dành cho nhân sự phụ trách kiểm tra lỗ hổng.

Thiếu dữ liệu tham chiếu để kiểm tra đám mây riêng!! Rất thiếu người có kinh nghiệm kiểm tra IaaS!! Cung cấp dữ liệu tham chiếu giúp nâng cao kỹ năng thực tiễn (nghiệp vụ) và hỗ trợ các hoạt động chứng nhận như kiểm tra hạ tầng thông tin-truyền thông trọng yếu, đánh giá bảo mật trong lĩnh vực tài chính, ISMS-P, ISO 27001, v.v. Đào tạo chuyên sâu dành cho trưởng nhóm hạ tầng (Infrastructure PL), người tổng quản lý khoảng 10 nhân sự kiểm tra hạ tầng Cung cấp kiến thức về lĩnh vực kỹ thuật của hệ thống quản lý đám mây và dữ liệu kiểm tra!

Cung cấp thông tin chuyên sâu và tài liệu để Project Leader phụ trách tổng thể hoạt động kiểm thử xâm nhập mô phỏng tại các công ty tài chính quản lý tổng thể các chuyên gia kiểm thử xâm nhập mô phỏng (WEB, Mobile, HTS). Tình trạng các bộ phận liên tục nộp báo cáo trống (trang trắng) khi không phát hiện lỗ hổng (tình trạng tương tự cũng xảy ra ở khu vực công). Vì vậy, cần kiểm soát để kết quả kiểm tra từng hạng mục được xây dựng cùng với tài liệu đào tạo. Thực hiện kiểm tra theo từng chủ đề phù hợp, sử dụng kết quả để rà soát bảo mật và phục vụ công tác thẩm định bảo mật nội bộ.

Tổ chức đào tạo nâng cao năng lực về máy chủ Windows nhằm khắc phục tình trạng các tư vấn viên bảo mật mới vào nghề và có kinh nghiệm ở lĩnh vực khác chỉ tập trung vào máy chủ Linux Hiểu về hệ điều hành Windows cũng như các máy chủ và chương trình được cài đặt trên hệ điều hành này, có liên quan đến Windows, như PC, WEB, WAS, DBMS Duy trì việc tìm hiểu lỗ hổng bảo mật và các hoạt động kiểm tra, khắc phục lỗ hổng