Quyết định 379/QĐ-UBCK năm 2021 về Tiêu chuẩn cơ sở kỹ thuật hệ thống công nghệ thông tin trong hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến trên thị trường chứng khoán do Ủy ban Chứng khoán Nhà nước ban hành

QUYẾT ĐỊNH

BAN HÀNH TIÊU CHUẨN CƠ SỞ KỸ THUẬT HỆ THỐNG CÔNG NGHỆ THÔNG TIN TRONG HOẠT ĐỘNG CUNG CẤP DỊCH VỤ GIAO DỊCH CHỨNG KHOÁN TRỰC TUYẾN TRÊN THỊ TRƯỜNG CHỨNG KHOÁN

CHỦ TỊCH ỦY BAN CHỨNG KHOÁN NHÀ NƯỚC

Căn cứ Luật Giao dịch điện tử ngày 29 tháng 11 năm 2005;

Căn cứ Luật Chứng khoán ngày 26 tháng 11 năm 2019;

Căn cứ Luật An toàn thông tin mạng ngày 19 tháng 11 năm 2015;

Căn cứ Luật Tiêu chuẩn và quy chuẩn kỹ thuật ngày 29 tháng 6 năm 2006;

Căn cứ Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

Căn cứ Nghị định số 155/2020/NĐ-CP ngày 31 tháng 12 năm 2020 của Chính phủ quy định chi tiết thi hành một số điều của Luật Chứng khoán;

Căn cứ Quyết định số 48/2015/QĐ-TTg ngày 08 tháng 10 năm 2015 của Thủ tướng Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Ủy ban Chứng khoán Nhà nước trực thuộc Bộ Tài chính;

Căn cứ Thông tư số 21/2007/TT-BKHCN ngày 28 tháng 9 năm 2007 của Bộ trưởng Bộ Khoa học và Công nghệ hướng dẫn xây dựng và áp dụng tiêu chuẩn;

Căn cứ Thông tư số 03/2017/TT-BTTTT ngày 24 tháng 4 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định chi tiết và hướng dẫn một số điều của Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ;

Căn cứ Thông tư số 134/2017/TT-BTC ngày 19 tháng 12 năm 2017 của Bộ trưởng Bộ Tài chính hướng dẫn giao dịch điện tử trên thị trường chứng khoán;

Căn cứ Thông tư số 73/2020/TT-BTC ngày 07 tháng 8 năm 2020 sửa đổi, bổ sung một số điều của Thông tư số 134/2017/TT-BTC ngày 19 tháng 12 năm 2017 của Bộ trưởng Bộ Tài chính hướng dẫn giao dịch điện tử trên thị trường chứng khoán;

Theo đề nghị của Cục trưởng Cục Công nghệ thông tin,

QUYẾT ĐỊNH:

Điều 1. Ban hành kèm theo Quyết định này Tiêu chuẩn cơ sở kỹ thuật hệ thống công nghệ thông tin trong hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến trên thị trường chứng khoán, cụ thể như sau:

- Tên tiêu chuẩn: Tiêu chuẩn cơ sở kỹ thuật hệ thống công nghệ thông tin trong hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến trên thị trường chứng khoán.

- Ký hiệu: TCCS 01:2021/UBCK.

- Quy chuẩn kỹ thuật Quốc gia tham chiếu: TCVN 11930:2017 công nghệ thông tin - các kỹ thuật an toàn - yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ; TCVN 9250:2012 Trung tâm dữ liệu - yêu cầu về hạ tầng kỹ thuật viễn thông.

Điều 2. Trách nhiệm của các đơn vị:

1. Cục Công nghệ thông tin: Chủ trì hướng dẫn, kiểm tra, giám sát công ty chứng khoán, công ty quản lý quỹ, đại lý phân phối chứng chỉ quỹ và các tổ chức, cá nhân có liên quan đến hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến trên thị trường chứng khoán trong việc chấp hành Tiêu chuẩn này.

2. Vụ Quản lý kinh doanh chứng khoán và Vụ Quản lý các công ty quản lý quỹ và quỹ đầu tư chứng khoán - Ủy ban Chứng khoán Nhà nước, Sở Giao dịch chứng khoán, Trung tâm lưu ký chứng khoán Việt Nam: Phối hợp với Cục Công nghệ thông tin trong quá trình giám sát, kiểm tra các đối tượng chấp hành theo Tiêu chuẩn này.

Điều 3. Quyết định này có hiệu lực kể từ ngày ký và bãi bỏ Quyết định số 106/QĐ-UBCK ngày 08/02/2010 của Chủ tịch Ủy ban Chứng khoán Nhà nước ban hành Quy định hướng dẫn về yêu cầu hệ thống công nghệ thông tin của công ty chứng khoán.

Điều 4. Chánh Văn phòng, Cục trưởng Cục Công nghệ thông tin, Vụ trưởng Vụ Quản lý kinh doanh chứng khoán, Vụ trưởng Vụ Quản lý các công ty quản lý quỹ và quỹ đầu tư chứng khoán, Thủ trưởng các đơn vị liên quan thuộc, trực thuộc Ủy ban Chứng khoán Nhà nước, Tổng Giám đốc Sở Giao dịch chứng khoán Việt Nam, Tổng Giám đốc Sở Giao dịch chứng khoán Hà Nội, Tổng Giám đốc Sở giao dịch chứng khoán thành phố Hồ Chí Minh, Tổng Giám đốc Trung tâm lưu ký chứng khoán Việt Nam, công ty chứng khoán, công ty quản lý quỹ, đại lý phân phối chứng chỉ quỹ và các tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Quyết định này./.

(Ban hành kèm theo Quyết định số 379/QĐ-UBCK ngày 03/6/2021 của Chủ tịch Ủy ban Chứng khoán Nhà nước)

TCCS 01:2021/UBCK

TIÊU CHUẨN CƠ SỞ KỸ THUẬT HỆ THỐNG CÔNG NGHỆ THÔNG TIN TRONG HOẠT ĐỘNG CUNG CẤP DỊCH VỤ GIAO DỊCH CHỨNG KHOÁN TRỰC TUYẾN TRÊN THỊ TRƯỜNG CHỨNG KHOÁN

MỤC LỤC

MỞ ĐẦU

LỜI GIỚI THIỆU

CHƯƠNG I. QUY ĐỊNH CHUNG

1.1. Phạm vi điều chỉnh, đối tượng áp dụng

1.2. Giải thích thuật ngữ

1.3. Yêu cầu chung đối với hệ thống công nghệ thông tin

CHƯƠNG II. QUY ĐỊNH VỀ HẠ TẦNG KỸ THUẬT

2.1. Yêu cầu về hạ tầng kỹ thuật hệ thống công nghệ thông tin trong hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến

2.2. Yêu cầu đối với phòng máy chủ

2.3. Yêu cầu về nguồn điện

CHƯƠNG III. QUY ĐỊNH VỀ PHẦN MỀM VÀ DỮ LIỆU DỰ PHÒNG

3.1. Yêu cầu đối với phần mềm ứng dụng

3.2. Yêu cầu về lưu trữ và cung cấp dữ liệu cho cơ quan chức năng

3.3. Yêu cầu về sao lưu, phục hồi dữ liệu

CHƯƠNG IV. QUY ĐỊNH VỀ AN TOÀN BẢO MẬT

4.1. Yêu cầu về hệ thống máy chủ và hạ tầng mạng

4.2. Yêu cầu đối với phần mềm ứng dụng

4.3. Yêu cầu đối với trang thông tin điện tử

CHƯƠNG V. QUY ĐỊNH VỀ XÁC THỰC VÀ NHẬN DẠNG THIẾT BỊ ĐẶT LỆNH

5.1. Yêu cầu về sử dụng chữ ký số và xác thực giao dịch

5.2. Yêu cầu về nhận dạng thiết bị đặt lệnh

CHƯƠNG VI. QUY ĐỊNH VỀ NHÂN SỰ QUẢN LÝ HỆ THỐNG CÔNG NGHỆ THÔNG TIN

MỞ ĐẦU

Tiêu chuẩn cơ sở TCCS 01:2021/UBCK quy định về tiêu chuẩn kỹ thuật hệ thống công nghệ thông tin trong hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến trên thị trường chứng khoán do Cục Công nghệ thông tin - Ủy ban Chứng khoán Nhà nước biên soạn.

TCCS 01:2021/UBCK được xây dựng trên cơ sở tham khảo các bộ tiêu chuẩn quốc gia, các văn bản quy định về hệ thống công nghệ thông tin và có điều chỉnh, sửa đổi, bổ sung để phù hợp với các quy định về ứng dụng công nghệ thông tin trong hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến trên thị trường chứng khoán như sau:

- TCVN 11930:2017 công nghệ thông tin - các kỹ thuật an toàn - yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ;

- TCVN 9250:2012 Trung tâm dữ liệu - yêu cầu về hạ tầng kỹ thuật viễn thông;

- Thông tư số 31/2017/TT-BTTTT ngày 15 tháng 11 năm 2017 của Bộ trưởng Bộ Thông tin và Truyền thông quy định hoạt động giám sát an toàn hệ thống thông tin;

- Thông tư số 134/2017/TT-BTC ngày 19 tháng 12 năm 2017 của Bộ trưởng Bộ Tài chính hướng dẫn giao dịch điện tử trên thị trường chứng khoán.

- Thông tư số 73/2020/TT-BTC ngày 07 tháng 8 năm 2020 sửa đổi, bổ sung một số điều của Thông tư số 134/2017/TT-BTC ngày 19 tháng 12 năm 2017 của Bộ trưởng Bộ Tài chính hướng dẫn giao dịch điện tử trên thị trường chứng khoán.

LỜI GIỚI THIỆU

Tiêu chuẩn cơ sở TCCS 01:2021/UBCK quy định về tiêu chuẩn kỹ thuật hệ thống công nghệ thông tin trong hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến trên thị trường chứng khoán quy định yêu cầu chi tiết về hệ thống công nghệ thông tin trong hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến trên thị trường chứng khoán, gồm các nhóm nội dung sau:

- Quy định chung.

- Quy định về hạ tầng kỹ thuật.

- Quy định về phần mềm và dữ liệu dự phòng.

- Quy định về an toàn bảo mật.

- Quy định về xác thực và nhận dạng thiết bị đặt lệnh

- Quy định về nhân sự quản lý hệ thống công nghệ thông tin.

Hệ thống công nghệ thông tin trong hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến trên thị trường chứng khoán phải bảo đảm đáp ứng quy định tại Thông tư 134/2017/TT-BTC ngày 19/12/2017 của Bộ trưởng Bộ Tài chính hướng dẫn giao dịch điện tử trên thị trường chứng khoán (sau đây gọi là Thông tư 134/2017/TT-BTC), Thông tư số 73/2020/TT-BTC ngày 07/8/2020 sửa đổi, bổ sung một số điều của Thông tư số 134/2017/TT-BTC ngày 19/12/2017 của Bộ trưởng Bộ Tài chính hướng dẫn giao dịch điện tử trên thị trường chứng khoán (sau đây gọi là Thông tư 73/2020/TT-BTC) và các nội dung hướng dẫn tại tiêu chuẩn này.

Chương I.

QUY ĐỊNH CHUNG

1.1. Phạm vi điều chỉnh, đối tượng áp dụng

1.1.1. Quy định này hướng dẫn chi tiết về tiêu chuẩn kỹ thuật đối với hệ thống công nghệ thông tin trong hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến trên thị trường chứng khoán.

Hoạt động trao đổi thông tin điện tử trên thị trường chứng khoán và các hoạt động khác liên quan đến giao dịch điện tử trên thị trường chứng khoán được thực hiện theo các quy định tại Thông tư 134/2017/TT-BTC ngày 19 tháng 12 năm 2017 của Bộ trưởng Bộ Tài chính hướng dẫn giao dịch điện tử trên thị trường chứng khoán, Thông tư số 73/2020/TT-BTC ngày 07 tháng 8 năm 2020 sửa đổi, bổ sung một số điều của Thông tư số 134/2017/TT-BTC và quy định của pháp luật về giao dịch điện tử trong hoạt động tài chính.

1.1.2. Đối tượng áp dụng: công ty chứng khoán, công ty quản lý quỹ, đại lý phân phối chứng chỉ quỹ và các tổ chức, cá nhân có liên quan đến hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến.

1.2. Giải thích thuật ngữ

1.2.1. Hệ thống công nghệ thông tin bao gồm các trang thiết bị phần cứng, phần mềm, cơ sở dữ liệu, hệ thống mạng viễn thông, mạng Internet, mạng máy tính, trang thông tin điện tử để phục vụ giao dịch chứng khoán trực tuyến.

1.2.2. Chủ quản hệ thống thông tin phục vụ giao dịch chứng khoán trực tuyến (sau đây gọi tắt là “chủ quản hệ thống thông tin”) là cơ quan, tổ chức, cá nhân có thẩm quyền quản lý trực tiếp hệ thống thông tin phục vụ hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến.

1.2.3. Vùng mạng biên là vùng mạng được thiết lập để cung cấp các kết nối hệ thống ra bên ngoài Internet và các mạng khác.

1.2.4. Vùng DMZ (demilitarized zone) là vùng mạng được thiết lập để đặt các máy chủ công cộng, cho phép truy cập trực tiếp từ các mạng bên ngoài và mạng Internet.

1.2.5. Vùng mạng nội bộ (LAN - local area network) là vùng mạng được thiết lập để cung cấp kết nối mạng cho các máy trạm và các thiết bị đầu cuối và các thiết bị mạng khác của người sử dụng vào hệ thống.

1.2.6. Dự phòng nóng là khả năng hoạt động thay thế chức năng của thiết bị khi xảy ra sự cố mà không làm gián đoạn hoạt động của hệ thống.

1.2.7. Máy chủ (Server) chuyên dùng là một máy tính được thiết kế cho phép hoạt động 24/7; hỗ trợ dự phòng và thay nóng bộ cấp nguồn, ổ đĩa cứng được kết nối với một mạng máy tính hoặc Internet, có địa chỉ IP tĩnh, có năng lực xử lý cao và trên đó có thể cài đặt các phần mềm để phục vụ cho các máy tính khác truy cập để yêu cầu cung cấp các dịch vụ và tài nguyên.

1.2.8. Mã hóa một chiều là phương pháp mã hóa sử dụng hàm băm (Hash function) để biến một chuỗi thông tin thành một chuỗi có độ dài nhất định (chuỗi hash) không thể giải mã.

1.2.9. Thông tin định danh thiết bị đặt lệnh là thông tin gắn với mỗi thiết bị dùng để nhận dạng thiết bị khi thực hiện giao dịch chứng khoán trực tuyến.

1.2.10. Lần thực hiện giao dịch là lần nhà đầu tư đăng nhập hệ thống giao dịch chứng khoán trực tuyến để thực hiện các lệnh giao dịch chứng khoán trực tuyến.

1.2.11. SSL (Secure Sockets Layer) là tiêu chuẩn công nghệ cho phép thiết lập kết nối được mã hóa an toàn giữa máy chủ web và trình duyệt của người dùng, bảo đảm tính riêng tư và toàn vẹn của dữ liệu được truyền nhận giữa máy chủ web và trình duyệt của người dùng.

1.2.12. Địa chỉ vật lý của thiết bị đặt lệnh (còn gọi là địa chỉ MAC - Media Access Control) là mã duy nhất được gán bởi nhà sản xuất dùng để nhận dạng thiết bị.

1.2.13. Xác thực sinh trắc học (Biometric) là công nghệ sử dụng những thuộc tính vật lý, đặc điểm sinh học riêng của mỗi cá nhân như vân tay, khuôn mặt, mống mắt, tĩnh mạch,... để nhận diện, xác thực bảo mật.

1.3. Yêu cầu chung đối với hệ thống công nghệ thông tin

1.3.1. Hệ thống công nghệ thông tin bảo đảm đáp ứng được yêu cầu về dịch vụ, hạ tầng kỹ thuật, an ninh bảo mật và lưu trữ dữ liệu theo quy định tại Thông tư 134/2017/TT-BTC , Thông tư 73/2020/TT-BTC và phù hợp với quy định khác tại các văn bản quy phạm pháp luật chuyên ngành về chứng khoán và thị trường chứng khoán.

1.3.2. Hệ thống công nghệ thông tin phải được thiết kế có dự phòng; có khả năng phục hồi nhanh chóng khi xảy ra sự cố, sẵn sàng cung cấp dịch vụ giao dịch chứng khoán và cung cấp thông tin cho khách hàng; bảo đảm khả năng mở rộng, nâng cấp trong tương lai và bảo đảm tối ưu hoá năng lực xử lý thông tin của mạng máy tính.

1.3.3. Chủ quản hệ thống thông tin ban hành quy định về an toàn, an ninh thông tin, xử lý sự cố; quy định về trách nhiệm cập nhật, vá lỗi, khắc phục lỗ hổng bảo mật của hệ thống công nghệ thông tin; xây dựng kế hoạch định kỳ kiểm tra, rà soát về an toàn an ninh thông tin trong quá trình vận hành hệ thống.

Chương II.

QUY ĐỊNH VỀ HẠ TẦNG KỸ THUẬT

2.1. Yêu cầu về hạ tầng kỹ thuật hệ thống công nghệ thông tin trong hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến

2.1.1. Chủ quản hệ thống thông tin phải sử dụng máy chủ chuyên dùng cho hệ thống công nghệ thông tin phục vụ hoạt động cung cấp dịch vụ giao dịch chứng khoán trực tuyến. Phần mềm ứng dụng và các dịch vụ liên quan đến hoạt động giao dịch của các nhà đầu tư phải được duy trì hoạt động trên các máy chủ. Không sử dụng máy tính cá nhân đóng vai trò máy chủ và không sử dụng chung máy chủ của các đơn vị khác.

2.1.2. Hệ thống đường truyền kết nối với Sở giao dịch chứng khoán, Trung tâm lưu ký chứng khoán Việt Nam phải có dự phòng nóng.

2.1.3. Máy chủ cài đặt phần mềm giao dịch chứng khoán, máy chủ cơ sở dữ liệu và trang thiết bị công nghệ thông tin chuyên dùng cho hệ thống giao dịch chứng khoán trực tuyến phải có dự phòng.

2.2. Yêu cầu đối với phòng máy chủ

2.2.1. Phòng máy chủ phải được bố trí bảo đảm đủ điều kiện cho các thiết bị hoạt động: đặt ở nơi khô ráo, tránh ánh nắng trực tiếp, tránh nguy cơ cháy nổ hoặc nguồn nhiệt cao, tránh nước ngập và bảo đảm an toàn bảo mật.

2.2.2. Phòng máy chủ phải có nội quy và áp dụng các biện pháp bảo vệ, kiểm soát ra vào, cửa ra vào phải chắc chắn, có khả năng chống cháy, sử dụng ít nhất hai loại khóa khác nhau (khóa cơ, thẻ, mã số, sinh trắc học); có hệ thống camera giám sát, ghi lại thông tin ra vào phòng máy chủ và mọi hoạt động tại các khu vực trong phòng máy chủ; hệ thống phải được quản lý tập trung và được theo dõi, giám sát 24/7, có nhật ký kiểm soát vào ra. Dữ liệu nhật ký camera phải được lưu trữ tối thiểu một (01) tháng; thiết bị hệ thống phải được đặt trong phòng máy chủ và có tủ bảo vệ (tủ rack), được đặt cố định và gắn nhãn mô tả.

2.2.3. Phòng máy chủ phải lắp đặt hệ thống cảnh báo cháy và chữa cháy tự động, chất chữa cháy là khí không gây ngạt cho nhân viên thao tác hoặc chưa kịp thoát ra, bảo đảm khi chữa cháy không làm hư hỏng thiết bị lắp đặt bên trong; có các hình thức phát tín hiệu cảnh báo cháy khác nhau (bằng âm thanh, ánh sáng...).

2.2.4. Có hệ thống chống sét trực tiếp và lan truyền; có hệ thống theo dõi, kiểm soát nhiệt độ và độ ẩm; có hệ thống điều hòa bảo đảm hoạt động liên tục. Hệ thống điều hòa không khí tại phòng máy chủ phải bảo đảm hoạt động liên tục và riêng biệt hoàn toàn với các hệ thống điều hòa khác trong tòa nhà.

2.2.5. Phòng máy chủ không được xây dựng cửa sổ, không được đặt các thiết bị không liên quan đến việc hỗ trợ phòng máy chủ (như hệ thống ống dẫn, hệ thống ống hơi,...) ở trong phòng máy chủ. Không được chạy ống thoát nước và ống dẫn nước gần hoặc trực tiếp trên thiết bị trong phòng máy chủ.

2.2.6. Ban hành quy định quản lý, vận hành và sử dụng phòng máy chủ.

2.3. Yêu cầu về nguồn điện

2.3.1. Phòng máy chủ có tối thiểu một nguồn điện lưới và một nguồn điện máy phát. Có hệ thống chuyển mạch tự động giữa hai nguồn điện, khi cắt điện lưới, trong thời gian tối đa ba (03) phút máy phát phải tự động khởi động cấp nguồn; Nguồn điện trong phòng máy chủ phải được bảo đảm ổn định, chống quá tải và phải đấu nối qua bộ cấp điện liên tục trực tuyến (UPS online) để cấp nguồn cho thiết bị, bảo đảm khả năng duy trì hoạt động của thiết bị trong thời gian tối thiểu 30 phút.

2.3.2. Nguồn điện dự phòng phải đủ tiêu chuẩn, công suất cho hoạt động bình thường của hệ thống công nghệ thông tin trong thời gian nguồn điện chính có sự cố.

Chương III.

QUY ĐỊNH VỀ PHẦN MỀM VÀ DỮ LIỆU DỰ PHÒNG

3.1. Yêu cầu đối với phần mềm ứng dụng

3.1.1. Phải thực hiện theo quy định của pháp luật hiện hành về bản quyền phần mềm. Giải pháp công nghệ để xây dựng phần mềm ứng dụng phải đáp ứng khả năng nâng cấp mở rộng, có khả năng kiểm soát các truy cập về thao tác nghiệp vụ trong giao dịch, bảo đảm thực hiện đúng quy trình. Phải có khả năng tự động kiểm tra dữ liệu nhập vào ứng dụng, bảo đảm dữ liệu được nhập vào chính xác và hợp lệ; có khả năng lưu vết các giao dịch và các tương tác của người dùng.

3.1.2. Trước khi đưa vào sử dụng phải được đặt tên, thuyết minh rõ xuất xứ, tính năng kỹ thuật và có tài liệu hướng dẫn cụ thể kèm theo như: phân tích thiết kế hệ thống, tài liệu yêu cầu người sử dụng, hướng dẫn sử dụng.

3.1.3. Hệ thống phần mềm giao dịch chứng khoán trực tuyến phải có tính năng giám sát người sử dụng như: tài khoản và thời gian truy cập vào hệ thống (giây:phút:giờ, ngày/tháng/năm); tài khoản và thời gian tạo ra dữ liệu, thời gian sửa dữ liệu cuối cùng, thông tin đăng nhập (tên tài khoản và thời gian đăng nhập/đăng xuất, các thao tác thực hiện trong thời gian đó), thông tin định danh thiết bị đặt lệnh.

3.1.4. Kiểm soát sự thay đổi của phiên bản phần mềm, quy trình vận hành; ghi chép lại các thay đổi, lập kế hoạch, thực hiện kiểm tra, thử nghiệm sự thay đổi, báo cáo kết quả và phải được phê duyệt của người có thẩm quyền trước khi áp dụng chính thức.

3.2. Yêu cầu về lưu trữ và cung cấp dữ liệu cho cơ quan chức năng

3.2.1. Dữ liệu giao dịch chứng khoán phải được lưu trữ tối thiểu mười (10) năm, bảo đảm giá trị pháp lý trong quá trình lưu trữ và bảo đảm các điều kiện quy định tại khoản 1 Điều 15 Luật giao dịch điện tử.

3.2.2. Dữ liệu giao dịch chứng khoán phải bảo đảm truy cập được, sử dụng được dưới dạng hoàn chỉnh khi cần thiết.

3.2.3. Trong trường hợp cần thiết, khi có yêu cầu của cơ quan chức năng, chủ quản hệ thống thông tin phải cung cấp đầy đủ, kịp thời dữ liệu giao dịch chứng khoán.

3.3. Yêu cầu về sao lưu, phục hồi dữ liệu

3.3.1. Chủ quản hệ thống thông tin có trách nhiệm xây dựng, triển khai và thực hiện nghiêm túc các quy trình về sao lưu, dự phòng, phục hồi hệ thống thông tin, dữ liệu, tệp cấu hình thiết bị; tổ chức thực hiện phục hồi dữ liệu khi cần thiết cho hệ thống công nghệ thông tin.

3.3.2. Phải lập danh sách các dữ liệu, phần mềm, tập tin cấu hình hệ thống, bản dự phòng hệ điều hành máy chủ, thông tin nghiệp vụ, các file ghi âm đặt lệnh cần được sao lưu, có phân loại theo mức độ quan trọng, thời gian lưu trữ, thời gian sao lưu, phương pháp sao lưu và thời gian kiểm tra phục hồi hệ thống từ dữ liệu sao lưu.

3.3.3. Dữ liệu của hệ thống giao dịch chứng khoán trực tuyến phải được sao lưu ra phương tiện lưu trữ ngoài (như băng từ, đĩa cứng, đĩa quang hoặc phương tiện lưu trữ khác) và phương tiện lưu trữ phải được bảo quản tách rời với khu vực sao lưu. Dữ liệu lưu trên các thiết bị lưu trữ phải được bảo vệ vật lý trong môi trường bảo mật và bảo đảm khôi phục thông tin, dữ liệu trong vòng hai mươi bốn (24) giờ kể từ khi phát sinh sự cố.

3.3.4. Cần tách biệt giữa sao lưu dữ liệu và sao lưu ứng dụng. Mọi ứng dụng được cài đặt hoặc xóa bỏ khỏi hệ thống thông tin đều cần được sao lưu vào hệ thống dự phòng, tách biệt khỏi hệ thống sao lưu dữ liệu. Dữ liệu phải được kiểm soát và đối chiếu sau khi sao lưu.

3.3.5. Việc sao lưu và phục hồi trang thông tin điện tử phải bảo đảm các yêu cầu sau: Trang thông tin điện tử phải được sao lưu toàn bộ, bao gồm cả phần mềm và cơ sở dữ liệu lưu nội dung thông tin. Trong trường hợp gặp sự cố, trang thông tin điện tử phải được phục hồi trong thời gian không quá hai mươi bốn (24) giờ kể từ khi xảy ra sự cố.

Chương IV.

QUY ĐỊNH VỀ AN TOÀN BẢO MẬT

4.1. Yêu cầu về hệ thống máy chủ và hạ tầng mạng

4.1.1. Sử dụng giải pháp phát hiện, ngăn chặn xâm nhập và ngăn chặn tấn công trực tiếp vào các thông tin quan trọng của hệ thống.

4.1.2. Hệ thống dịch vụ giao dịch chứng khoán trực tuyến được giám sát chặt chẽ; có khả năng phát hiện, cảnh báo về: Các giao dịch đáng ngờ, gian lận dựa vào việc xác định thời gian, tần suất giao dịch, khối lượng giao dịch, số lần xác thực sai quy định và các dấu hiệu bất thường khác; hoạt động bất thường của hệ thống; Các cuộc tấn công từ chối dịch vụ (DoS - Denial of Service), tấn công từ chối dịch vụ phân tán (DDoS - Distributed Denial of Service).

4.1.3. Sử dụng phần mềm chống virus, phần mềm chống phần mềm gián điệp trên tất cả các máy chủ, máy trạm và tại cổng kết nối với các mạng bên ngoài bao gồm cả các cổng kết nối tới các đối tác và Internet. Các phần mềm này phải có bản quyền, có nguồn gốc rõ ràng. Định kỳ cập nhật các bản vá lỗi phù hợp với hệ điều hành máy chủ, máy trạm, tường lửa, hệ thống ngăn chặn xâm nhập (IPS - Intrusion Prevention Systems) và các phần mềm hệ thống khác.

4.1.4. Sử dụng các giải pháp như: mạng riêng ảo, mã hóa các dữ liệu trên đường truyền, kiểm soát truy cập web nhằm giảm thiểu các nguy cơ mất an toàn cho các máy trạm khi truy cập web, ngăn chặn thư rác, tường lửa cho ứng dụng web. Việc truy cập hệ thống phải được phân quyền đến từng bộ phận, cá nhân sử dụng để bảo vệ các lớp thông tin khác nhau. Các máy chủ phải được cài đặt, cấu hình để hệ thống có thể lưu vết mọi xâm nhập.

4.1.5. Hệ thống mạng của các tổ chức cung cấp dịch vụ giao dịch chứng khoán trực tuyến phải được thiết lập tối thiểu gồm các phân vùng: vùng mạng nội bộ, vùng mạng biên, vùng DMZ.

4.1.6. Các phân vùng mạng phải có chính sách bảo mật cho từng vùng.

4.1.7. Chủ quản hệ thống thông tin phải có các biện pháp bảo đảm chỉ nhân sự được giao quản trị hệ thống có thể tiếp cận và vận hành các máy tính thực hiện công tác quản trị hệ thống; các máy tính thực hiện công tác quản trị hệ thống không được kết nối Internet.

4.1.8. Các máy trạm, đặc biệt là các máy tính trang bị cho cán bộ nghiệp vụ liên quan đến giao dịch chứng khoán phải có biện pháp an toàn bảo mật: niêm phong thùng máy và các cổng kết nối ngoại vi, cài đặt mật khẩu cho máy tính, thực hiện thu hồi quyền truy cập khi cán bộ chấm dứt hoặc thay đổi công việc.

4.1.9. Chủ quản hệ thống thông tin phải quy định rõ nhiệm vụ, quyền hạn và trách nhiệm của các đối tượng tham gia quản lý, sử dụng hệ thống công nghệ thông tin và dịch vụ cung cấp.

4.1.10. Xây dựng danh mục và xác định mức độ quan trọng của dữ liệu, trên cơ sở đó áp dụng các chính sách, giải pháp an ninh bảo mật phù hợp với mức độ quan trọng của từng loại dữ liệu.

4.1.11. Chủ quản hệ thống thông tin phải ký hợp đồng với các tổ chức được thuê thực hiện nâng cấp, bảo trì, sửa lỗi phần mềm, trong đó quy định chi tiết các nội dung công việc, dữ liệu, quy định rõ trách nhiệm của các bên liên quan. Bảo đảm an toàn bảo mật thông tin, dữ liệu của hệ thống giao dịch chứng khoán trực tuyến của công ty và thông tin, dữ liệu của nhà đầu tư.

4.2. Yêu cầu đối với phần mềm ứng dụng

4.2.1. Phần mềm ứng dụng phải bảo đảm có khả năng phân quyền theo chức năng đến từng người sử dụng. Mỗi người sử dụng được phân định rõ ràng về nhiệm vụ và quyền hạn. Người không được phân quyền không thể truy cập vào công việc của người khác. Thiết lập cấu hình ứng dụng để xác thực người sử dụng khi truy cập, quản trị, cấu hình ứng dụng.

4.2.2. Các phần mềm ứng dụng có chức năng giao dịch qua Internet phải có cơ chế xác thực người sử dụng và mã hóa dữ liệu trên đường truyền.

4.2.3. Khi cung cấp phần mềm ứng dụng giao dịch chứng khoán trực tuyến trên Internet phải áp dụng các biện pháp bảo đảm tính toàn vẹn của phần mềm.

4.2.4. Mật khẩu người sử dụng khi lưu trữ phải được mã hóa một chiều. Nghiêm cấm trao đổi mật khẩu người sử dụng dưới dạng văn bản không mã hóa (clear text), trừ trường hợp cung cấp trực tiếp cho khách hàng khi khách hàng đến làm thủ tục cấp mới hoặc cấp lại mật khẩu.

4.2.5. Phần mềm ứng dụng phải có các cơ chế:

- Yêu cầu người sử dụng thay đổi mật khẩu lần đầu tiên đăng nhập và định kỳ thay đổi;

- Thiết lập quy tắc đặt mật khẩu theo số lượng ký tự, loại ký tự; thiết lập thời gian yêu cầu thay đổi mật khẩu;

- Hạn chế số lần đăng nhập sai, có cơ chế cảnh báo và tạm thời khóa tài khoản người dùng nếu đăng nhập sai thông tin nhiều lần;

- Phần mềm giao dịch chứng khoán trực tuyến phải được thiết lập thời gian cho mỗi lần thực hiện giao dịch và thiết lập khoảng thời gian khách hàng không thao tác trên hệ thống để kích hoạt tính năng thoát (logout) khỏi hệ thống.

4.3. Yêu cầu đối với trang thông tin điện tử

4.3.1. Hệ thống máy chủ của trang thông tin điện tử phải được trang bị giải pháp giám sát việc thay đổi quyền điều khiển, giám sát sự thay đổi nội dung của trang thông tin điện tử.

4.3.2. Đối với những trang thông tin điện tử thực hiện giao dịch chứng khoán trực tuyến, phần nội dung giao dịch chứng khoán trực tuyến phải được tách riêng và đặt trên máy chủ riêng biệt. Các thông tin giao dịch, tài khoản và mật khẩu phải được mã hoá, bảo đảm bí mật cho khách hàng.

4.3.3. Trang thông tin điện tử phải được xác thực sử dụng chứng thư số SSL, phải được áp dụng các biện pháp bảo vệ nhằm ngăn chặn, chống sửa đổi trái phép, chống giả mạo.

Chương V.

QUY ĐỊNH VỀ XÁC THỰC VÀ NHẬN DẠNG THIẾT BỊ ĐẶT LỆNH

5.1. Yêu cầu về sử dụng chữ ký số và xác thực giao dịch

5.1.1. Khuyến khích nhà đầu tư lựa chọn sử dụng chứng thư số, chữ ký số của tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng khi thực hiện lệnh giao dịch chứng khoán trực tuyến.

5.1.2. Hệ thống phần mềm giao dịch chứng khoán trực tuyến phải tích hợp giải pháp sử dụng chứng thư số, chữ ký số để nhà đầu tư xác thực danh tính và ký phiếu lệnh điện tử khi lựa chọn giải pháp này để thực hiện giao dịch.

5.1.3. Chủ quản hệ thống thông tin có thể tích hợp các giải pháp xác thực khác có độ an toàn tối thiểu phải tương đương giải pháp xác thực hai yếu tố trở lên (OTP, thẻ ma trận, sinh trắc học...). Trường hợp sử dụng dịch vụ của bên thứ ba (đơn vị cung cấp giải pháp xác thực), phải có tối thiểu một yếu tố xác thực do chủ quản hệ thống thông tin quản lý.

5.1.4. Cơ chế xác thực theo lần thực hiện giao dịch:

- Trong mỗi lần thực hiện giao dịch, nhà đầu tư có thể thực hiện nhiều lệnh giao dịch; nhà đầu tư phải xác thực khi thực hiện lệnh giao dịch đầu tiên, không bắt buộc xác thực khi thực hiện các lệnh tiếp theo. Lần giao dịch kết thúc nếu sau một khoảng thời gian (do chủ quản hệ thống thông tin thiết lập) mà nhà đầu tư không tiếp tục thực hiện lệnh giao dịch.

- Thông tin xác thực của mỗi lần thực hiện giao dịch phải được gắn với tất cả các phiếu lệnh điện tử được khởi tạo trong lần thực hiện giao dịch đó, bảo đảm phù hợp với nội dung quy định về phiếu lệnh điện tử tại Thông tư 134/2017/TT-BTC và Thông tư 73/2020/TT-BTC .

5.2. Yêu cầu về nhận dạng thiết bị đặt lệnh

Hệ thống có thể truy cập các thông tin định danh thiết bị đặt lệnh như sau:

5.2.1. Đối với ứng dụng trên thiết bị di động hoặc trên máy tính:

- Ứng dụng trên thiết bị di động có thể truy cập thông tin như: Số IMEI, số Serial, WLAN MAC, số Android ID hoặc thông tin định danh duy nhất khác của thiết bị.

- Ứng dụng chạy trực tiếp trên máy tính với các hệ điều hành (Linux, Windows, MacOS,...) có thể truy cập thông tin địa chỉ MAC hoặc thông tin định danh thiết bị khác thông qua các API (Application Programming Interface) của hệ điều hành.

5.2.2. Đối với trình duyệt (cho thiết bị di động hoặc máy tính): Xây dựng công cụ mở rộng cho phép truy xuất thông tin nhận dạng thiết bị thông qua các API (ví dụ: plugin,...) để người dùng cài đặt lên trình duyệt khi có nhu cầu đặt lệnh qua website.

Chương VI.

QUY ĐỊNH VỀ NHÂN SỰ QUẢN LÝ HỆ THỐNG CÔNG NGHỆ THÔNG TIN

6.1. Nhân sự quản lý hệ thống công nghệ thông tin phải có lý lịch rõ ràng, trình độ chuyên môn phù hợp với vị trí công việc được phân công. Chủ quản hệ thống thông tin phải có chính sách thẩm tra, xác minh lý lịch của cán bộ quản lý và cán bộ kỹ thuật vận hành, chịu trách nhiệm tại các vị trí quan trọng của hệ thống thông tin như: Quản trị hệ thống, quản trị hệ thống an ninh bảo mật, vận hành hệ thống, quản trị cơ sở dữ liệu.

6.2. Hợp đồng tuyển dụng cán bộ công nghệ thông tin phải bao gồm cam kết bảo mật thông tin. Cam kết này phải bao gồm các điều khoản về trách nhiệm bảo đảm an toàn, bảo mật hệ thống thông tin trong và sau khi làm việc tại vị trí công việc được giao; điều khoản xử lý vi phạm và trách nhiệm bồi thường do vi phạm các quy định về an toàn bảo mật hệ thống công nghệ thông tin của cán bộ được tuyển dụng trong và sau khi làm việc tại vị trí công việc được giao.

6.3. Khi cán bộ, nhân viên công nghệ thông tin chấm dứt hoặc thay đổi vị trí công việc, phải có biên bản bàn giao tài sản công nghệ thông tin; thu hồi quyền truy cập hệ thống thông tin của cán bộ, nhân viên nghỉ việc hoặc thay đổi quyền truy cập hệ thống công nghệ thông tin của cán bộ, nhân viên phù hợp với công việc được thay đổi.

6.4. Chủ quản hệ thống thông tin thực hiện phổ biến và cập nhật các quy định về an toàn bảo mật công nghệ thông tin cho cán bộ, nhân viên tại đơn vị. Yêu cầu và kiểm tra việc thi hành các quy định về an toàn, bảo mật công nghệ thông tin của cá nhân, tổ chức thuộc đơn vị tối thiểu một (01) năm một (01) lần.

6.5. Những công việc quan trọng như cấu hình hệ thống an ninh mạng, thay đổi tham số hệ điều hành, cài đặt thiết bị tường lửa, thiết bị phát hiện và ngăn chặn xâm nhập phải được thực hiện bởi ít nhất hai người hoặc phải có người giám sát./.