1. Hoạt động giao dịch chứng khoán trực tuyến là gì?
Thông tư 134/2017/TT-BTC giải thích: Hoạt động giao dịch chứng khoán trực tuyến là hoạt động giao dịch chứng khoán được thực hiện thông qua hệ thống công nghệ thông tin và môi trường mạng Internet, mạng viễn thông hoặc các mạng mở khác, bao gồm: Giao dịch chứng khoán giữa nhà đầu tư và các tổ chức cung cấp dịch vụ giao dịch chứng khoán trực tuyến; giao dịch chứng khoán giữa thành viên giao dịch và Sở giao dịch chứng khoán; giao dịch liên quan đến chứng khoán giữa thành viên lưu ký, thành viên bù trừ và Trung tâm lưu ký chứng khoán Việt Nam.
2. Hệ thống công nghệ thông tin là gì?
Hệ thống công nghệ thông tin bao gồm các trang thiết bị phần cứng, phần mềm, cơ sở dữ liệu, hệ thống mạng viễn thông, mạng Internet, mạng máy tính, trang thông tin điện tử để phục vụ giao dịch chứng khoán trực tuyến.
3. Yêu cầu chung đối với hệ thống công nghệ thông tin
Một là, hệ thống công nghệ thông tin bảo đảm đáp ứng được yêu cầu về dịch vụ, hạ tầng kỹ thuật, an ninh bảo mật và lưu trữ dữ liệu theo quy định tại Thông tư 134/2017/TT-BTC, Thông tư 73/2020/TT-BTC và phù hợp với quy định khác tại các văn bản quy phạm pháp luật chuyên ngành về chứng khoán và thị trường chứng khoán.
Hai là, hệ thống công nghệ thông tin phải được thiết kế có dự phòng; có khả năng phục hồi nhanh chóng khi xảy ra sự cố, sẵn sàng cung cấp dịch vụ giao dịch chứng khoán và cung cấp thông tin cho khách hàng; bảo đảm khả năng mở rộng, nâng cấp trong tương lai và bảo đảm tối ưu hoá năng lực xử lý thông tin của mạng máy tính.
Ba là, chủ quản hệ thống thông tin ban hành quy định về an toàn, an ninh thông tin, xử lý sự cố; quy định về trách nhiệm cập nhật, vá lỗi, khắc phục lỗ hổng bảo mật của hệ thống công nghệ thông tin; xây dựng kế hoạch định kỳ kiểm tra, rà soát về an toàn an ninh thông tin trong quá trình vận hành hệ thống.
4. Yêu cầu cụ thể đối với hệ thống công nghệ thông tin
4.1. Yêu cầu về hạ tầng kỹ thuật
Thứ nhất, yêu cầu về hạ tầng kỹ thuật hệ thống công nghệ thông tin trong hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến đó là:
– Chủ quản hệ thống thông tin phải sử dụng máy chủ chuyên dùng cho hệ thống công nghệ thông tin phục vụ hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến. Phần mềm ứng dụng và các dịch vụ liên quan đến hoạt động giao dịch của các nhà đầu tư phải được duy trì hoạt động trên các máy chủ. Không sử dụng máy tính cá nhân đóng vai trò máy chủ và không sử dụng chung máy chủ của các đơn vị khác.
– Hệ thống đường truyền kết nối với Sở giao dịch chứng khoán, Trung tâm lưu ký chứng khoán Việt Nam phải có dự phòng nóng.
– Máy chủ cài đặt phần mềm giao dịch chứng khoán, máy chủ cơ sở dữ liệu và trang thiết bị công nghệ thông tin chuyên dùng cho hệ thống giao dịch chứng khoán trực tuyến phải có dự phòng.
Thứ hai, yêu cầu đối với phòng máy chủ:
– Phòng máy chủ phải được bố trí bảo đảm đủ điều kiện cho các thiết bị hoạt động: đặt ở nơi khô ráo, tránh ánh nắng trực tiếp, tránh nguy cơ cháy nổ hoặc nguồn nhiệt cao, tránh nước ngập và bảo đảm an toàn bảo mật.
– Phòng máy chủ phải có nội quy và áp dụng các biện pháp bảo vệ, kiểm soát ra vào, cửa ra vào phải chắc chắn, có khả năng chống cháy, sử dụng ít nhất hai loại khóa khác nhau (khóa cơ, thẻ, mã số, sinh trắc học); có hệ thống camera giám sát, ghi lại thông tin ra vào phòng máy chủ và mọi hoạt động tại các khu vực trong phòng máy chủ; hệ thống phải được quản lý tập trung và được theo dõi, giám sát 24/7, có nhật ký kiểm soát vào ra. Dữ liệu nhật ký camera phải được lưu trữ tối thiểu một (01) tháng; thiết bị hệ thống phải được đặt trong phòng máy chủ và có tủ bảo vệ (tủ rack), được đặt cố định và gắn nhãn mô tả.
– Phòng máy chủ phải lắp đặt hệ thống cảnh báo cháy và chữa cháy tự động, chất chữa cháy là khí không gây ngạt cho nhân viên thao tác hoặc chưa kịp thoát ra, bảo đảm khi chữa cháy không làm hư hỏng thiết bị lắp đặt bên trong; có các hình thức phát tín hiệu cảnh báo cháy khác nhau (bằng âm thanh, ánh sáng…).
– Có hệ thống chống sét trực tiếp và lan truyền; có hệ thống theo dõi, kiểm soát nhiệt độ và độ ẩm; có hệ thống điều hòa bảo đảm hoạt động liên tục. Hệ thống điều hòa không khí tại phòng máy chủ phải bảo đảm hoạt động liên tục và riêng biệt hoàn toàn với các hệ thống điều hòa khác trong tòa nhà.
– Phòng máy chủ không được xây dựng cửa sổ, không được đặt các thiết bị không liên quan đến việc hỗ trợ phòng máy chủ (như hệ thống ống dẫn, hệ thống ống hơi,…) ở trong phòng máy chủ. Không được chạy ống thoát nước và ống dẫn nước gần hoặc trực tiếp trên thiết bị trong phòng máy chủ.
– Ban hành quy định quản lý, vận hành và sử dụng phòng máy chủ.
Thứ ba, yêu cầu về nguồn điện:
– Phòng máy chủ có tối thiểu một nguồn điện lưới và một nguồn điện máy phát. Có hệ thống chuyển mạch tự động giữa hai nguồn điện, khi cắt điện lưới, trong thời gian tối đa ba (03) phút máy phát phải tự động khởi động cấp nguồn; Nguồn điện trong phòng máy chủ phải được bảo đảm ổn định, chống quá tải và phải đấu nối qua bộ cấp điện liên tục trực tuyến (UPS online) để cấp nguồn cho thiết bị, bảo đảm khả năng duy trì hoạt động của thiết bị trong thời gian tối thiểu 30 phút.
– Nguồn điện dự phòng phải đủ tiêu chuẩn, công suất cho hoạt động bình thường của hệ thống công nghệ thông tin trong thời gian nguồn điện chính có sự cố.
4.2. Quy định về phần mềm và dữ liệu dự phòng
Thứ nhất, yêu cầu đối với phần mềm ứng dụng
– Phải thực hiện theo quy định của pháp luật hiện hành về bản quyền phần mềm. Giải pháp công nghệ để xây dựng phần mềm ứng dụng phải đáp ứng khả năng nâng cấp mở rộng, có khả năng kiểm soát các truy cập về thao tác nghiệp vụ trong giao dịch, bảo đảm thực hiện đúng quy trình. Phải có khả năng tự động kiểm tra dữ liệu nhập vào ứng dụng, bảo đảm dữ liệu được nhập vào chính xác và hợp lệ; có khả năng lưu vết các giao dịch và các tương tác của người dùng.
– Trước khi đưa vào sử dụng phải được đặt tên, thuyết minh rõ xuất xứ, tính năng kỹ thuật và có tài liệu hướng dẫn cụ thể kèm theo như: phân tích thiết kế hệ thống, tài liệu yêu cầu người sử dụng, hướng dẫn sử dụng.
– Hệ thống phần mềm giao dịch chứng khoán trực tuyến phải có tính năng giám sát người sử dụng như: tài khoản và thời gian truy cập vào hệ thống (giây:phút:giờ, ngày/tháng/năm); tài khoản và thời gian tạo ra dữ liệu, thời gian sửa dữ liệu cuối cùng, thông tin đăng nhập (tên tài khoản và thời gian đăng nhập/đăng xuất, các thao tác thực hiện trong thời gian đó), thông tin định danh thiết bị đặt lệnh.
– Kiểm soát sự thay đổi của phiên bản phần mềm, quy trình vận hành; ghi chép lại các thay đổi, lập kế hoạch, thực hiện kiểm tra, thử nghiệm sự thay đổi, báo cáo kết quả và phải được phê duyệt của người có thẩm quyền trước khi áp dụng chính thức.
Thứ hai, yêu cầu về lưu trữ và cung cấp dữ liệu cho cơ quan chức năng
– Dữ liệu giao dịch chứng khoán phải được lưu trữ tối thiểu mười (10) năm, bảo đảm giá trị pháp lý trong quá trình lưu trữ và bảo đảm các điều kiện quy định tại khoản 1 Điều 15 Luật giao dịch điện tử.
– Dữ liệu giao dịch chứng khoán phải bảo đảm truy cập được, sử dụng được dưới dạng hoàn chỉnh khi cần thiết.
– Trong trường hợp cần thiết, khi có yêu cầu của cơ quan chức năng, chủ quản hệ thống thông tin phải cung cấp đầy đủ, kịp thời dữ liệu giao dịch chứng khoán.
Thứ ba, yêu cầu về sao lưu, phục hồi dữ liệu
– Chủ quản hệ thống thông tin có trách nhiệm xây dựng, triển khai và thực hiện nghiêm túc các quy trình về sao lưu, dự phòng, phục hồi hệ thống thông tin, dữ liệu, tệp cấu hình thiết bị; tổ chức thực hiện phục hồi dữ liệu khi cần thiết cho hệ thống công nghệ thông tin.
– Phải lập danh sách các dữ liệu, phần mềm, tập tin cấu hình hệ thống, bản dự phòng hệ điều hành máy chủ, thông tin nghiệp vụ, các file ghi âm đặt lệnh cần được sao lưu, có phân loại theo mức độ quan trọng, thời gian lưu trữ, thời gian sao lưu, phương pháp sao lưu và thời gian kiểm tra phục hồi hệ thống từ dữ liệu sao lưu.
– Dữ liệu của hệ thống giao dịch chứng khoán trực tuyến phải được sao lưu ra phương tiện lưu trữ ngoài (như băng từ, đĩa cứng, đĩa quang hoặc phương tiện lưu trữ khác) và phương tiện lưu trữ phải được bảo quản tách rời với khu vực sao lưu. Dữ liệu lưu trên các thiết bị lưu trữ phải được bảo vệ vật lý trong môi trường bảo mật và bảo đảm khôi phục thông tin, dữ liệu trong vòng hai mươi bốn (24) giờ kể từ khi phát sinh sự cố.
– Cần tách biệt giữa sao lưu dữ liệu và sao lưu ứng dụng. Mọi ứng dụng được cài đặt hoặc xóa bỏ khỏi hệ thống thông tin đều cần được sao lưu vào hệ thống dự phòng, tách biệt khỏi hệ thống sao lưu dữ liệu. Dữ liệu phải được kiểm soát và đối chiếu sau khi sao lưu.
– Việc sao lưu và phục hồi trang thông tin điện tử phải bảo đảm các yêu cầu sau: Trang thông tin điện tử phải được sao lưu toàn bộ, bao gồm cả phần mềm và cơ sở dữ liệu lưu nội dung thông tin. Trong trường hợp gặp sự cố, trang thông tin điện tử phải được phục hồi trong thời gian không quá hai mươi bốn (24) giờ kể từ khi xảy ra sự cố.
4.3. Yêu cầu về an toàn bảo mật
Thứ nhất, yêu cầu về hệ thống máy chủ và hạ tầng mạng
– Sử dụng giải pháp phát hiện, ngăn chặn xâm nhập và ngăn chặn tấn công trực tiếp vào các thông tin quan trọng của hệ thống.
– Hệ thống dịch vụ giao dịch chứng khoán trực tuyến được giám sát chặt chẽ; có khả năng phát hiện, cảnh báo về: Các giao dịch đáng ngờ, gian lận dựa vào việc xác định thời gian, tần suất giao dịch, khối lượng giao dịch, số lần xác thực sai quy định và các dấu hiệu bất thường khác; hoạt động bất thường của hệ thống; Các cuộc tấn công từ chối dịch vụ (DoS – Denial of Service), tấn công từ chối dịch vụ phân tán (DDoS – Distributed Denial of Service).
– Sử dụng phần mềm chống virus, phần mềm chống phần mềm gián điệp trên tất cả các máy chủ, máy trạm và tại cổng kết nối với các mạng bên ngoài bao gồm cả các cổng kết nối tới các đối tác và Internet. Các phần mềm này phải có bản quyền, có nguồn gốc rõ ràng. Định kỳ cập nhật các bản vá lỗi phù hợp với hệ điều hành máy chủ, máy trạm, tường lửa, hệ thống ngăn chặn xâm nhập (IPS – Intrusion Prevention Systems) và các phần mềm hệ thống khác.
– Sử dụng các giải pháp như: mạng riêng ảo, mã hóa các dữ liệu trên đường truyền, kiểm soát truy cập web nhằm giảm thiểu các nguy cơ mất an toàn cho các máy trạm khi truy cập web, ngăn chặn thư rác, tường lửa cho ứng dụng web. Việc truy cập hệ thống phải được phân quyền đến từng bộ phận, cá nhân sử dụng để bảo vệ các lớp thông tin khác nhau. Các máy chủ phải được cài đặt, cấu hình để hệ thống có thể lưu vết mọi xâm nhập.
– Hệ thống mạng của các tổ chức cung cấp dịch vụ giao dịch chứng khoán trực tuyến phải được thiết lập tối thiểu gồm các phân vùng: vùng mạng nội bộ, vùng mạng biên, vùng DMZ.
– Các phân vùng mạng phải có chính sách bảo mật cho từng vùng.
– Chủ quản hệ thống thông tin phải có các biện pháp bảo đảm chỉ nhân sự được giao quản trị hệ thống có thể tiếp cận và vận hành các máy tính thực hiện công tác quản trị hệ thống; các máy tính thực hiện công tác quản trị hệ thống không được kết nối Internet.
– Các máy trạm, đặc biệt là các máy tính trang bị cho cán bộ nghiệp vụ liên quan đến giao dịch chứng khoán phải có biện pháp an toàn bảo mật: niêm phong thùng máy và các cổng kết nối ngoại vi, cài đặt mật khẩu cho máy tính, thực hiện thu hồi quyền truy cập khi cán bộ chấm dứt hoặc thay đổi công việc.
– Chủ quản hệ thống thông tin phải quy định rõ nhiệm vụ, quyền hạn và trách nhiệm của các đối tượng tham gia quản lý, sử dụng hệ thống công nghệ thông tin và dịch vụ cung cấp.
– Xây dựng danh mục và xác định mức độ quan trọng của dữ liệu, trên cơ sở đó áp dụng các chính sách, giải pháp an ninh bảo mật phù hợp với mức độ quan trọng của từng loại dữ liệu.
– Chủ quản hệ thống thông tin phải ký hợp đồng với các tổ chức được thuê thực hiện nâng cấp, bảo trì, sửa lỗi phần mềm, trong đó quy định chi tiết các nội dung công việc, dữ liệu, quy định rõ trách nhiệm của các bên liên quan. Bảo đảm an toàn bảo mật thông tin, dữ liệu của hệ thống giao dịch chứng khoán trực tuyến của công ty và thông tin, dữ liệu của nhà đầu tư.
Thứ hai, yêu cầu đối với phần mềm ứng dụng
– Phần mềm ứng dụng phải bảo đảm có khả năng phân quyền theo chức năng đến từng người sử dụng. Mỗi người sử dụng được phân định rõ ràng về nhiệm vụ và quyền hạn. Người không được phân quyền không thể truy cập vào công việc của người khác. Thiết lập cấu hình ứng dụng để xác thực người sử dụng khi truy cập, quản trị, cấu hình ứng dụng.
– Các phần mềm ứng dụng có chức năng giao dịch qua Internet phải có cơ chế xác thực người sử dụng và mã hóa dữ liệu trên đường truyền.
– Khi cung cấp phần mềm ứng dụng giao dịch chứng khoán trực tuyến trên Internet phải áp dụng các biện pháp bảo đảm tính toàn vẹn của phần mềm.
– Mật khẩu người sử dụng khi lưu trữ phải được mã hóa một chiều. Nghiêm cấm trao đổi mật khẩu người sử dụng dưới dạng văn bản không mã hóa (clear text), trừ trường hợp cung cấp trực tiếp cho khách hàng khi khách hàng đến làm thủ tục cấp mới hoặc cấp lại mật khẩu.
– Phần mềm ứng dụng phải có các cơ chế:
+ Yêu cầu người sử dụng thay đổi mật khẩu lần đầu tiên đăng nhập và định kỳ thay đổi;
+ Thiết lập quy tắc đặt mật khẩu theo số lượng ký tự, loại ký tự; thiết lập thời gian yêu cầu thay đổi mật khẩu;
+ Hạn chế số lần đăng nhập sai, có cơ chế cảnh báo và tạm thời khóa tài khoản người dùng nếu đăng nhập sai thông tin nhiều lần;
+ Phần mềm giao dịch chứng khoán trực tuyến phải được thiết lập thời gian cho mỗi lần thực hiện giao dịch và thiết lập khoảng thời gian khách hàng không thao tác trên hệ thống để kích hoạt tính năng thoát (logout) khỏi hệ thống.
Thứ ba, yêu cầu đối với trang thông tin điện tử
– Hệ thống máy chủ của trang thông tin điện tử phải được trang bị giải pháp giám sát việc thay đổi quyền điều khiển, giám sát sự thay đổi nội dung của trang thông tin điện tử.
– Đối với những trang thông tin điện tử thực hiện giao dịch chứng khoán trực tuyến, phần nội dung giao dịch chứng khoán trực tuyến phải được tách riêng và đặt trên máy chủ riêng biệt. Các thông tin giao dịch, tài khoản và mật khẩu phải được mã hoá, bảo đảm bí mật cho khách hàng.
– Trang thông tin điện tử phải được xác thực sử dụng chứng thư số SSL, phải được áp dụng các biện pháp bảo vệ nhằm ngăn chặn, chống sửa đổi trái phép, chống giả mạo.
4.4. Yêu cầu về xác thực và nhận dạng thiết bị đặt lệnh
Thứ nhất, yêu cầu về sử dụng chữ ký số và xác thực giao dịch
– Khuyến khích nhà đầu tư lựa chọn sử dụng chứng thư số, chữ ký số của tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng khi thực hiện lệnh giao dịch chứng khoán trực tuyến.
– Hệ thống phần mềm giao dịch chứng khoán trực tuyến phải tích hợp giải pháp sử dụng chứng thư số, chữ ký số để nhà đầu tư xác thực danh tính và ký phiếu lệnh điện tử khi lựa chọn giải pháp này để thực hiện giao dịch.
– Chủ quản hệ thống thông tin có thể tích hợp các giải pháp xác thực khác có độ an toàn tối thiểu phải tương đương giải pháp xác thực hai yếu tố trở lên (OTP, thẻ ma trận, sinh trắc học…). Trường hợp sử dụng dịch vụ của bên thứ ba (đơn vị cung cấp giải pháp xác thực), phải có tối thiểu một yếu tố xác thực do chủ quản hệ thống thông tin quản lý.
– Cơ chế xác thực theo lần thực hiện giao dịch:
+ Trong mỗi lần thực hiện giao dịch, nhà đầu tư có thể thực hiện nhiều lệnh giao dịch; nhà đầu tư phải xác thực khi thực hiện lệnh giao dịch đầu tiên, không bắt buộc xác thực khi thực hiện các lệnh tiếp theo. Lần giao dịch kết thúc nếu sau một khoảng thời gian (do chủ quản hệ thống thông tin thiết lập) mà nhà đầu tư không tiếp tục thực hiện lệnh giao dịch.
+ Thông tin xác thực của mỗi lần thực hiện giao dịch phải được gắn với tất cả các phiếu lệnh điện tử được khởi tạo trong lần thực hiện giao dịch đó, bảo đảm phù hợp với nội dung quy định về phiếu lệnh điện tử tại Thông tư 134/2017/TT-BTC và Thông tư 73/2020/TT-BTC.
Thứ hai, yêu cầu về nhận dạng thiết bị đặt lệnh
Hệ thống có thể truy cập các thông tin định danh thiết bị đặt lệnh như sau:
– Đối với ứng dụng trên thiết bị di động hoặc trên máy tính:
+ Ứng dụng trên thiết bị di động có thể truy cập thông tin như: Số IMEI, số Serial, WLAN MAC, số Android ID hoặc thông tin định danh duy nhất khác của thiết bị.
+ Ứng dụng chạy trực tiếp trên máy tính với các hệ điều hành (Linux, Windows, MacOS,…) có thể truy cập thông tin địa chỉ MAC hoặc thông tin định danh thiết bị khác thông qua các API (Application Programming Interface) của hệ điều hành.
– Đối với trình duyệt (cho thiết bị di động hoặc máy tính): Xây dựng công cụ mở rộng cho phép truy xuất thông tin nhận dạng thiết bị thông qua các API (ví dụ: plugin,…) để người dùng cài đặt lên trình duyệt khi có nhu cầu đặt lệnh qua website.
4.5. Yêu cầu về nhân sự quản lý hệ thống công nghệ thông tin
Nhân sự quản lý hệ thống công nghệ thông tin phải có lý lịch rõ ràng, trình độ chuyên môn phù hợp với vị trí công việc được phân công. Chủ quản hệ thống thông tin phải có chính sách thẩm tra, xác minh lý lịch của cán bộ quản lý và cán bộ kỹ thuật vận hành, chịu trách nhiệm tại các vị trí quan trọng của hệ thống thông tin như: Quản trị hệ thống, quản trị hệ thống an ninh bảo mật, vận hành hệ thống, quản trị cơ sở dữ liệu.
Hợp đồng tuyển dụng cán bộ công nghệ thông tin phải bao gồm cam kết bảo mật thông tin. Cam kết này phải bao gồm các điều khoản về trách nhiệm bảo đảm an toàn, bảo mật hệ thống thông tin trong và sau khi làm việc tại vị trí công việc được giao; điều khoản xử lý vi phạm và trách nhiệm bồi thường do vi phạm các quy định về an toàn bảo mật hệ thống công nghệ thông tin của cán bộ được tuyển dụng trong và sau khi làm việc tại vị trí công việc được giao.
Khi cán bộ, nhân viên công nghệ thông tin chấm dứt hoặc thay đổi vị trí công việc, phải có biên bản bàn giao tài sản công nghệ thông tin; thu hồi quyền truy cập hệ thống thông tin của cán bộ, nhân viên nghỉ việc hoặc thay đổi quyền truy cập hệ thống công nghệ thông tin của cán bộ, nhân viên phù hợp với công việc được thay đổi.
Chủ quản hệ thống thông tin thực hiện phổ biến và cập nhật các quy định về an toàn bảo mật công nghệ thông tin cho cán bộ, nhân viên tại đơn vị. Yêu cầu và kiểm tra việc thi hành các quy định về an toàn, bảo mật công nghệ thông tin của cá nhân, tổ chức thuộc đơn vị tối thiểu một (01) năm một (01) lần.
Những công việc quan trọng như cấu hình hệ thống an ninh mạng, thay đổi tham số hệ điều hành, cài đặt thiết bị tường lửa, thiết bị phát hiện và ngăn chặn xâm nhập phải được thực hiện bởi ít nhất hai người hoặc phải có người giám sát.
Trên đây là tư vấn của chúng tôi. Nếu còn vướng mắc, chưa rõ hoặc cần hỗ trợ pháp lý khác bạn vui lòng liên hệ bộ phận tư vấn pháp luật trực tuyến qua tổng đài điện thoại số: 1900.0191 để được giải đáp.
Rất mong nhận được sự hợp tác!
Trân trọng./.
Bộ phận tư vấn pháp luật Doanh nghiệp – Công ty luật LVN Group