[Các công ty thẻ tín dụng và tổ chức tài chính địa phương] Với việc Luật Tăng cường Năng lực Ứng phó với Các sự cố An ninh Mạng có hiệu lực, công tác ứng phó với sự cố sẽ thay đổi như thế này

Phần liên quan đến hợp tác công-tư của cái gọi là “Luật Tăng cường Năng lực Ứng phó An ninh Mạng” (tên chính thức: Luật về Phòng ngừa Thiệt hại do Hành vi Bất hợp pháp đối với Máy tính Quan trọng), được thông qua vào tháng 5 năm 2025, sẽ có hiệu lực vào tháng 10 năm 2026.Trong 15 lĩnh vực cơ sở hạ tầng then chốt, “tài chính” và “thẻ tín dụng” được liệt kê như hai lĩnh vực độc lập; các doanh nghiệp được chỉ định sẽ phải thực hiện nghĩa vụ pháp lý là khai báo tài sản hệ thống và báo cáo các sự cố an ninh mạng cho chính phủ.

Tuy nhiên, “cách thức áp dụng” của luật này sẽ khác nhau giữa các ngân hàng lớn và công ty thẻ tín dụng hàng đầu với các ngân hàng địa phương và quỹ tín dụng. Điều này là do việc chỉ định chỉ áp dụng cho các tổ chức đáp ứng tiêu chuẩn về quy mô, nên phần lớn các tổ chức tài chính địa phương được cho là sẽ không nằm trong đối tượng được chỉ định trực tiếp.

Vậy liệu các ngân hàng địa phương và quỹ tín dụng có liên quan gì đến vấn đề này hay không? Câu trả lời là hoàn toàn có. “Hướng dẫn về an ninh mạng trong lĩnh vực tài chính” do Cơ quan Quản lý Tài chính ban hành vào tháng 10 năm 2024 áp dụng cho một phạm vi rộng các tổ chức tài chính, bao gồm cả các tổ chức tài chính địa phương, và về bản chất, các yêu cầu về ứng phó sự cố đều đi theo cùng một hướng, bất kể các tổ chức này có được chỉ định hay không. Trong bài viết này, chúng tôi sẽ phân tích những nghĩa vụ cụ thể và những việc cần chuẩn bị từ góc độ của các công ty thẻ tín dụng và các tổ chức tài chính địa phương.

Các nghĩa vụ theo luật định: Thủ tục thông báo và báo cáo sự cố

Đối tượng trực tiếp của Luật Tăng cường là các doanh nghiệp cơ sở hạ tầng xã hội cụ thể (doanh nghiệp cơ sở hạ tầng then chốt) được chỉ định theo Luật Thúc đẩy An ninh Kinh tế; tính đến ngày 1 tháng 4 năm Reiwa 8, tổng cộng có 257 đơn vị thuộc tất cả các lĩnh vực đã được chỉ định. Cả lĩnh vực tài chính và thẻ tín dụng đều là các lĩnh vực thuộc đối tượng áp dụng ngay từ khi hệ thống này được thành lập; Cơ quan Quản lý Tài chính đã công bố việc chỉ định các doanh nghiệp cơ sở hạ tầng xã hội cụ thể trong lĩnh vực tài chính vào ngày 17 tháng 11 năm Reiwa 5, và kể từ đó đã tiếp tục thực hiện các đợt chỉ định bổ sung.Quý vị có thể xác nhận xem công ty (hoặc tổ chức tín dụng) của mình có thuộc đối tượng được chỉ định hay không thông qua các thông báo của Cơ quan Quản lý Tài chính và Bộ Kinh tế, Thương mại và Công nghiệp.

Luật Tăng cường quy định các nghĩa vụ sau đây đối với các doanh nghiệp được chỉ định: Đối với các hệ thống thông tin liên quan đến hoạt động cốt lõi mà thuộc diện “máy tính điện tử quan trọng đặc biệt”, phải thông báo cho chính phủ về tên nhà cung cấp, thông tin sản phẩm, v.v. Ngoài ra, khi bị tấn công mạng, phải báo cáo sự cố.

Về khung báo cáo, theo phương án (dự thảo) về hướng triển khai được trình bày tại Hội nghị các chuyên gia của Văn phòng Nội các, việc báo cáo được chia thành hai giai đoạn.Khi phát hiện sự cố, cần nhanh chóng phát đi “báo cáo sơ bộ” và nộp “báo cáo chi tiết” trong vòng 30 ngày. Trong cả hai trường hợp, chỉ cần báo cáo những thông tin đã nắm được tại thời điểm đó, không yêu cầu phải phân tích nguyên nhân một cách hoàn hảo ngay từ giai đoạn xử lý ban đầu. Đối tượng báo cáo không chỉ bao gồm dấu vết của các “hành vi vi phạm cụ thể” như truy cập trái phép, mà còn bao gồm cả các sự kiện có liên quan. Thiết kế này quy định nghĩa vụ báo cáo bắt đầu ngay từ giai đoạn có dấu hiệu báo trước.

Các quy định về việc xử lý khi sử dụng dịch vụ đám mây cũng đã được hệ thống hóa. Trong trường hợp SaaS hoặc PaaS (liên quan đến phần mềm trung gian và hệ điều hành), việc “biết được” được coi là đã xảy ra ngay khi nhận được thông báo từ nhà cung cấp dịch vụ đám mây. Về các biện pháp xử phạt, quy định nêu rõ: nếu vi phạm nghĩa vụ thông báo và không tuân thủ lệnh khắc phục của cơ quan quản lý, sẽ bị phạt tiền không quá 2 triệu yên; nếu không đáp ứng yêu cầu cung cấp tài liệu, v.v., sẽ bị phạt tiền không quá 300.000 yên.

Và điều đặc biệt quan trọng trong ngành tài chính là tác động lan tỏa đến các doanh nghiệp và tổ chức không thuộc diện chỉ định.Người ta đã chỉ ra rằng các nhà cung cấp CNTT và các công ty thành viên trong tập đoàn được ủy thác vận hành các máy tính điện tử quan trọng cụ thể, cũng như các thiết bị do bên được ủy thác sở hữu (tùy thuộc vào cấu trúc hệ thống) cũng có thể nằm trong phạm vi ảnh hưởng. Đối với các tổ chức tài chính địa phương, nơi hình thức chủ yếu là giao phó hệ thống kế toán cho trung tâm chung và phụ thuộc vào dịch vụ của các nhà cung cấp bên ngoài cho các dịch vụ ngân hàng trực tuyến và xử lý thanh toán, cũng như trong ngành thẻ tín dụng, nơi các hoạt động ủy thác và nhận ủy thác xử lý được liên kết với nhau thành nhiều tầng lớp, “Công ty chúng tôi không được chỉ định, nhưng đang sử dụng cùng một hệ thống với các doanh nghiệp được chỉ định”“chúng tôi là đơn vị được nhà cung cấp được chỉ định ủy thác” lại là những trường hợp khá phổ biến.

Các tổ chức tài chính địa phương: Hướng dẫn của Cơ quan Quản lý Tài chính là tiêu chuẩn thực tế

Đối với các ngân hàng địa phương và quỹ tín dụng, trọng tâm trong thực tiễn không phải là Luật Tăng cường mà trước hết là “Hướng dẫn về an ninh mạng trong lĩnh vực tài chính” do Cơ quan Quản lý Tài chính ban hành vào ngày 4 tháng 10 năm Reiwa 6. Phạm vi áp dụng rất rộng, bao gồm từ các ngân hàng lớn đến các tổ chức tài chính vừa và nhỏ, tổ chức tài chính địa phương, công ty bảo hiểm, doanh nghiệp chuyển tiền và sàn giao dịch tiền điện tử; đây là văn bản cụ thể hóa các điểm trọng tâm trong quản lý an ninh mạng, vốn trước đây chỉ được đề cập ở mức nguyên tắc trong các hướng dẫn giám sát.

Hướng dẫn này được xây dựng theo hai cấp độ: “Các biện pháp ứng phó cơ bản” mà tất cả các tổ chức tài chính và các đơn vị liên quan cần thực hiện, và “Các biện pháp ứng phó được khuyến khích” mà các tổ chức nên áp dụng dựa trên quy mô, đặc điểm, v.v.; nhờ đó, các tổ chức tài chính địa phương có thể thiết kế mức độ ứng phó phù hợp với quy mô của mình. Từ góc độ ứng phó với sự cố, cần lưu ý các điểm sau đây.

• Phải nêu rõ trách nhiệm của ban lãnh đạo

  Việc ứng phó với rủi ro an ninh mạng được xác định là nhiệm vụ của ban lãnh đạo; do đó, cần phải phân bổ nguồn lực như bố trí nhân sự chuyên môn và phân bổ ngân sách, đồng thời xây dựng các kênh báo cáo, liên lạc và tham vấn xuyên tổ chức — bao gồm cả những rủi ro phát sinh từ bên thứ ba — cũng như hệ thống chỉ huy và ra lệnh. Cơ chế quản lý liên tục cũng được đưa vào, bao gồm việc rà soát các quy định ít nhất một lần mỗi năm và theo dõi tình hình thông qua các chỉ số KPI và KRI.

• Xây dựng hệ thống quản lý rủi ro

  Cần thiết lập hệ thống báo cáo và truyền thông khi xảy ra các cuộc tấn công mạng, cũng như thành lập các đội ứng phó khẩn cấp trong tổ chức, chẳng hạn như CSIRT. Kế hoạch ứng phó khẩn cấp nên bao gồm cả kế hoạch khôi phục và được xây dựng riêng cho từng loại hình tấn công, như việc website bị giả mạo hay nhiễm phần mềm độc hại; đồng thời, tài liệu hướng dẫn của FISC (Trung tâm Hệ thống Thông tin Tài chính) được đề cập làm tài liệu tham khảo.

• Sự liên tục với các báo cáo trước đây của cơ quan chức năng

  Các tổ chức tài chính vốn đã có quy trình báo cáo cho cơ quan chức năng khi xảy ra sự cố hệ thống, v.v., dựa trên các hướng dẫn giám sát và các quy định liên quan. Cơ quan Dịch vụ Tài chính Nhật Bản (FSA) cũng đang triển khai Chương trình Tự đánh giá An ninh mạng (CSSA) dành cho các tổ chức tài chính địa phương, do đó đã có đầy đủ cơ sở để so sánh tình hình triển khai các biện pháp bảo mật của từng tổ chức với tiêu chuẩn ngành.Các thông báo sơ bộ và chi tiết về Luật Tăng cường An ninh Mạng đối với các tổ chức được chỉ định sẽ tạo thành một lớp yêu cầu mới chồng lên quy trình báo cáo hiện có; còn đối với các tổ chức tài chính không thuộc diện chỉ định, cần hiểu rằng “tốc độ từ khi phát hiện đến khi báo cáo” sẽ trở thành tiêu chuẩn chung của ngành.

Ngoài ra, từ cuối năm 2024 đến đầu năm 2025, đã xảy ra hàng loạt các cuộc tấn công DDoS nhắm vào các tổ chức tài chính và hãng hàng không trong nước, dẫn đến các báo cáo về sự cố tạm thời trong dịch vụ ngân hàng trực tuyến. Ngay cả với những cuộc tấn công không kèm theo việc xâm nhập hệ thống, các dịch vụ dành cho khách hàng vẫn bị gián đoạn, đồng thời các cơ quan chức năng phải tiến hành báo cáo và xử lý các phản hồi từ khách hàng. Thay vì “chỉ hành động sau khi có bằng chứng về vi phạm”, cần thiết lập một cơ chế để quy trình báo cáo và truyền thông bắt đầu được triển khai ngay khi dịch vụ bị ảnh hưởng.

Thẻ tín dụng: Xử lý sự cố có liên quan đến các biện pháp phòng chống sử dụng trái phép

Ngành thẻ tín dụng đã có một hệ thống các quy định riêng được tích lũy từ trước khi Luật Tăng cường An ninh có hiệu lực. Điều 35-16 của Luật Bán hàng Trả góp quy định các doanh nghiệp xử lý số thẻ tín dụng và các thông tin liên quan phải thực hiện các biện pháp cần thiết để quản lý số thẻ và các thông tin liên quan một cách thích hợp (các biện pháp quản lý thích hợp đối với số thẻ và các thông tin liên quan); với lần sửa đổi luật năm 2021, đối tượng áp dụng đã được mở rộng sang 7 loại hình doanh nghiệp, trong đó bao gồm cả các doanh nghiệp cung cấp dịch vụ thanh toán qua mã QR.Hướng dẫn thực tiễn về nghĩa vụ này được quy định trong “Hướng dẫn An ninh Thẻ tín dụng” của Hội đồng Tư vấn Các biện pháp An ninh Giao dịch Thẻ tín dụng, và đã được sửa đổi lên phiên bản 6.0 vào tháng 3 năm 2025.

Nguyên nhân đằng sau là tình trạng thiệt hại ngày càng nghiêm trọng. Tổng giá trị thiệt hại do sử dụng thẻ tín dụng trái phép đã đạt mức kỷ lục mới là 55,5 tỷ yên vào năm 2024, trong đó hơn 90% là do hành vi “lạm dụng số thẻ”, tức là sử dụng thông tin thẻ bị đánh cắp qua các vụ rò rỉ dữ liệu hoặc lừa đảo trực tuyến.Hướng dẫn này đang thúc đẩy các biện pháp khắc phục lỗ hổng bảo mật tại các cửa hàng thương mại điện tử cũng như việc triển khai tiêu chuẩn EMV 3-D Secure; các công ty thẻ tín dụng và nhà cung cấp dịch vụ thanh toán (PSP) được yêu cầu thực hiện vai trò tư vấn và cung cấp thông tin cho các cửa hàng thành viên.

Tham khảo: https://www.j-credit.or.jp/customer/5countermeasures-creditcard_fraud/

Điểm khác biệt trong cách xử lý sự cố của các công ty thẻ tín dụng so với các ngành khác nằm ở việc họ phải triển khai “chiến lược hai mặt trận”: vừa “phục hồi hệ thống” vừa “ngăn chặn việc sử dụng trái phép”. Nếu thông tin thẻ bị rò rỉ tại các cửa hàng thành viên hoặc nhà cung cấp dịch vụ thanh toán (PSP), ngay cả khi hệ thống nội bộ của công ty vẫn an toàn, các biện pháp như tăng cường giám sát việc sử dụng trái phép, thông báo cho các thành viên liên quan, thay thế thẻ và phối hợp với các cửa hàng thành viên cũng như các thương hiệu sẽ được triển khai đồng loạt.Mặc dù các vụ việc phải báo cáo theo Luật Tăng cường An ninh dự kiến sẽ tập trung chủ yếu vào các cuộc tấn công nhắm vào hệ thống cốt lõi chịu trách nhiệm về xác thực và xử lý thanh toán, nhưng trong công tác xử lý sự cố tại hiện trường, cần thiết kế quy trình dựa trên giả định rằng các hoạt động như báo cáo theo quy định pháp luật, xử lý theo Luật Bán hàng Trả góp, báo cáo theo quy tắc của thương hiệu và hỗ trợ thành viên sẽ diễn ra song song.

Các vấn đề đặc thù của lĩnh vực tài chính: Cấu trúc ủy thác và thiết kế “nhận thức”

Điểm yếu chung của lĩnh vực tài chính và thẻ tín dụng chính là mức độ phụ thuộc sâu sắc vào cơ cấu ủy thác hệ thống. Các trung tâm vận hành chung, nhà cung cấp hệ thống kế toán, mạng lưới thanh toán, các dịch vụ SaaS trên nền tảng đám mây — nói cách khác, bất kỳ sự cố nào xảy ra bên ngoài doanh nghiệp đều dẫn trực tiếp đến việc ngừng cung cấp dịch vụ hoặc rò rỉ thông tin của chính doanh nghiệp đó.

Việc phương án “Quy định tăng cường” coi thời điểm nhận được thông báo từ nhà cung cấp dịch vụ đám mây là “thời điểm nhận thức” có ý nghĩa rất quan trọng; việc thiết kế “điểm tiếp nhận thông báo” – tức là ai sẽ tiếp nhận thông báo về sự cố hoặc vi phạm từ nhà cung cấp hoặc trung tâm hợp tác, tại bộ phận nào, và trong vòng bao nhiêu giờ sẽ đưa thông tin đó vào quy trình ra quyết định báo cáo – trên thực tế sẽ quyết định liệu nghĩa vụ báo cáo có được thực hiện đầy đủ hay không. Cần kiểm tra xem các điều khoản về thông báo có được đưa vào hợp đồng ủy thác hay SLA hay không, và liệu địa chỉ email của người đã nghỉ việc có vẫn được giữ lại làm địa chỉ nhận thông báo hay không.Dù có vẻ đơn giản, nhưng đây chính là điểm kiểm tra đầu tiên.

Về khung cơ chế chia sẻ thông tin, các cơ chế của ngành như ISAC tài chính hay Scepter đã hoạt động từ trước đến nay. Sau khi Luật Tăng cường có hiệu lực, việc báo cáo theo quy định pháp luật cho Chính phủ và việc chia sẻ thông tin trong ngành sẽ diễn ra song song; do đó, việc sắp xếp trước trong thời bình xem thông tin nào sẽ được cung cấp, dựa trên quyết định của ai và gửi đến đâu sẽ giúp giảm bớt sự hỗn loạn khi có sự cố xảy ra.

Cần chuẩn bị những gì trước khi luật có hiệu lực

Trước tiên, cần kiểm tra thông qua thông báo chính thức để xác định xem công ty (kho của công ty) có được chỉ định là đơn vị vận hành cơ sở hạ tầng xã hội cụ thể hay không. Nếu đã được chỉ định, nhiệm vụ cấp bách hiện nay là tiến hành kiểm kê các máy tính điện tử quan trọng cụ thể thuộc đối tượng phải khai báo, đồng thời hoàn thiện quy trình báo cáo để nộp báo cáo sơ bộ và báo cáo chi tiết đúng hạn. Nếu đã có danh sách thiết bị được lập để đáp ứng yêu cầu thẩm định trước theo Luật Thúc đẩy An ninh Kinh tế, danh sách này có thể được sử dụng làm điểm khởi đầu.

Ngay cả khi không có quy định cụ thể, nội dung các công việc cần thực hiện cũng hầu như không thay đổi. Cần xác định khoảng cách giữa “Các biện pháp ứng phó cơ bản” trong Hướng dẫn của Cơ quan Quản lý Tài chính và thực trạng hiện tại của tổ chức mình, đồng thời hoàn thiện CSIRT, kế hoạch ứng phó khẩn cấp và hệ thống báo cáo, truyền thông. Nên tiến hành một lần diễn tập ứng phó khi nhận được thông báo từ trung tâm hợp tác hoặc nhà cung cấp.Đối với các doanh nghiệp phát hành thẻ, trong kịch bản xử lý đồng thời sự cố rò rỉ thông tin và việc sử dụng trái phép, cần tích hợp các cơ quan báo cáo khác nhau như Luật Bán hàng Trả góp, Luật Bảo vệ Thông tin Cá nhân, Quy tắc Thương hiệu và (nếu có) Luật Tăng cường Bảo vệ vào một quy trình xử lý duy nhất. Càng có nhiều hệ thống báo cáo, việc tập trung hóa hồ sơ – theo nguyên tắc “chỉ cần ghi chép một lần là có thể sử dụng cho các báo cáo theo từng hệ thống” – sẽ càng phát huy hiệu quả.

Cuối cùng là sự tham gia của ban lãnh đạo. Như Hướng dẫn của Cơ quan Quản lý Tài chính đã nêu rõ rằng an ninh mạng là trách nhiệm của ban lãnh đạo, việc phê duyệt kế hoạch ứng phó sự cố và tham gia các buổi diễn tập không phải là nhiệm vụ của bộ phận hệ thống mà là trách nhiệm của ban lãnh đạo. Trước khi hệ thống báo cáo có thời hạn — bao gồm báo cáo sơ bộ và báo cáo chi tiết — chính thức đi vào hoạt động, tổ chức cần xác định rõ vị trí này.

Vẫn còn một số chi tiết cụ thể của luật chưa được hoàn thiện và sẽ được quy định cụ thể trong các nghị định của Chính phủ, các bộ và quy tắc thực thi trước khi luật có hiệu lực; do đó, những nội dung được ghi là “dự thảo” trong bài viết này có thể sẽ thay đổi trong tương lai. Để có thông tin mới nhất, vui lòng tham khảo các tài liệu công bố của Văn phòng Nội các (phụ trách An ninh mạng và An ninh kinh tế), Cơ quan Dịch vụ Tài chính và Bộ Kinh tế, Thương mại và Công nghiệp.

Và thế là Incident Lake

Như chúng ta đã thấy cho đến nay, lĩnh vực xử lý sự cố trong ngành tài chính và thẻ tín dụng là một lĩnh vực nổi bật bởi số lượng cơ quan cần báo cáo rất lớn. Việc báo cáo cho cơ quan giám sát, gửi báo cáo sơ bộ và chi tiết theo Luật Tăng cường Bảo vệ Dữ liệu, báo cáo cho Ủy ban Bảo vệ Thông tin Cá nhân, liên hệ với các thương hiệu và hiệp hội ngành, cũng như thông báo cho khách hàng và thành viên — trong khi phải ngăn chặn việc sử dụng trái phép và khôi phục dịch vụ ở tuyến đầu xử lý sự cố, việc liên tục thực hiện tất cả các công việc này đúng hạn và không mâu thuẫn chỉ dựa vào nhân lực là điều có giới hạn.

Incident Lake là nền tảng quản lý sự cố hỗ trợ toàn bộ quy trình này. Nền tảng này tự động hóa toàn bộ quy trình, từ việc báo cáo khi sự cố xảy ra cho đến khi hệ thống hoạt động trở lại, cũng như việc lập và quản lý báo cáo, giúp nhân viên có thể dành thời gian tập trung vào nhiệm vụ cốt lõi là “ngăn chặn thiệt hại và bảo vệ khách hàng”. Đặc biệt trong bối cảnh các báo cáo có thời hạn như báo cáo khẩn cấp và báo cáo chi tiết đang dần trở thành quy định chính thức, chúng tôi khuyến nghị các doanh nghiệp nên chuyển đổi cơ chế báo cáo và lưu trữ sang hình thức không còn phụ thuộc vào nỗ lực cá nhân.

Tài liệu tham khảo

• Cơ quan Quản lý Tài chính “Hướng dẫn về an ninh mạng trong lĩnh vực tài chính” (ngày 4 tháng 10 năm Reiwa 6) https://www.fsa.go.jp/news/r6/sonota/20241004/18.pdf

• Cơ quan Quản lý Tài chính “Về các biện pháp an ninh mạng trong lĩnh vực tài chính” https://www.fsa.go.jp/policy/cybersecurity/index.html

• Cơ quan Quản lý Tài chính “Các biện pháp an ninh kinh tế trong lĩnh vực tài chính” (Thông báo chỉ định các đơn vị vận hành cơ sở hạ tầng xã hội đặc biệt) https://www.fsa.go.jp/news/r5/economicsecurity/231117infrastructure.html

• Bộ Kinh tế, Thương mại và Công nghiệp: “Hướng dẫn về an ninh thẻ tín dụng đã được sửa đổi” (Phiên bản 6.0, tháng 3 năm 2025) https://www.meti.go.jp/press/2024/03/20250305002/20250305002.html

• Bộ Kinh tế, Thương mại và Công nghiệp: “Tình hình thiệt hại do sử dụng thẻ tín dụng trái phép” (Tài liệu phiên họp thứ nhất của Hội đồng nghiên cứu về các biện pháp phòng chống sử dụng trái phép tại các đơn vị chấp nhận thẻ, tháng 4 năm 2025) https://www.meti.go.jp/shingikai/mono_info_service/measures_against_fraud/pdf/001_01_04.pdf

• Văn phòng Nội các: “Hệ thống đảm bảo cung cấp ổn định các dịch vụ cơ sở hạ tầng then chốt” https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/infra.html

• Cục trưởng Cục Điều phối Chính sách, Văn phòng Nội các (phụ trách An ninh mạng): “Dự thảo phương hướng hướng tới việc thi hành Luật Tăng cường Năng lực Ứng phó An ninh mạng (Hợp tác công-tư)” (tháng 12 năm Reiwa 7) https://www.cao.go.jp/cybersecurity/kaigi/pdf/04shiryo05.pdf

• Nikkei CrossTech: “Luật Tăng cường Năng lực Ứng phó với Các mối đe dọa mạng sẽ có hiệu lực vào tháng 10, cũng tiềm ẩn rủi ro bị loại khỏi danh sách đối tác” (năm 2026) https://xtech.nikkei.com/atcl/nxt/column/18/00989/042300207/