Thông tư 50/2024: an toàn, bảo mật dịch vụ ngân hàng trực tuyến

Tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, đơn vị cung ứng tiền di động hoặc công ty thông tin tín dụng cung cấp ngân hàng trực tuyến cần xác định cả nghĩa vụ và ngày áp dụng.

Ngân hàng Nhà nước ban hành Thông tư 50/2024/TT-NHNN ngày 31 tháng 10 năm 2024, có hiệu lực chung từ ngày 1 tháng 1 năm 2025. Phạm vi gồm tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán và công ty thông tin tín dụng cung cấp dịch vụ trực tuyến. Từ ngày 1 tháng 3 năm 2026, Thông tư 77/2025 mở rộng sang đơn vị cung ứng tiền di động.

Các mốc hiệu lực theo giai đoạn của Thông tư 50 và 77 đều đã qua. Quy định hiện hành gồm chứng nhận phát hiện tấn công giả mạo sinh trắc học (PAD) theo khoản 1 Điều 7 Thông tư 77 và bản sao chứng nhận tương ứng trong báo cáo trước cung cấp dịch vụ. Thông tư 50 đồng thời chấm dứt Thông tư 35/2016, 35/2018 và bãi bỏ Điều 25 Thông tư 09/2020.

Điều 10 Thông tư 77 thay các phụ lục phân loại thanh toán và phương thức xác nhận, gồm Phụ lục 01, 02, 04. Ngày áp dụng phụ thuộc nhóm khách hàng:

• Chỉ khách hàng cá nhân: ngày 1 tháng 3 năm 2026, theo cách loại trừ từ khoản 1 Điều 12 Thông tư 77.
• Cá nhân và tổ chức: ngày 1 tháng 7 năm 2026.
• Chỉ khách hàng tổ chức: ngày 1 tháng 10 năm 2026.

Các sửa đổi hiện hành còn có xác nhận khi thay đổi thông tin định danh, chứng nhận PAD và phương thức chữ ký điện tử. Khoản 8 Điều 11, được khoản 2 Điều 7 Thông tư 77 sửa, dùng PGP thay phương thức chữ ký điện tử chung. Khoản 9 Điều 11, được khoản 3 Điều 7 sửa, yêu cầu chữ ký số hoặc chữ ký điện tử nước ngoài được công nhận đối với phương thức chữ ký điện tử an toàn.

Điều 23 Thông tư 50 cho phép đăng ký trích nợ tự động trên tài khoản thanh toán, ví điện tử và thẻ trước khi Thông tư có hiệu lực tiếp tục đến hết thời hạn thỏa thuận, hoặc đến ngày 31 tháng 12 năm 2026 nếu không có thời hạn. Điều 9 Thông tư 77 áp dụng quy tắc tương tự cho tài khoản tiền di động. Sửa đổi, bổ sung và gia hạn phải theo khoản 2 Điều 10; khoản 3 Điều 6 Thông tư 77 áp dụng quy tắc xác nhận đó cho trích nợ tiền di động.

• Bản ghi khung: trong Bản địa hóa, các thẻ hiển thị yêu cầu, thời hạn, thủ tục, hướng dẫn phụ lục và rủi ro theo điều. Thẻ Phạt và rủi ro có ba vùng rủi ro; không ghi mức phạt tiền vì văn bản không nêu.
• Lớp phủ ngành: danh mục liệt kê Thông tư như văn bản ngân hàng, cùng trạng thái và ngày.
• Công việc và lịch: từng nghĩa vụ được tổ chức chọn thành công việc có chủ sở hữu, hạn; lịch hiện ngày do tổ chức đặt.
• Rà soát nhà cung cấp: ghi rà soát bên thứ ba hỗ trợ xử lý xuyên suốt tại rủi ro nhà cung cấp.
• Sự cố và nhật ký kiểm toán: ghi sự cố, từng thông báo vi phạm dữ liệu trong Sự cố; nhật ký lưu thay đổi.

Từng nghĩa vụ tổ chức chọn thực hiện trở thành công việc có chủ sở hữu và hạn; công việc quá hạn hiện trong danh sách. Thời hạn của Thông tư nằm cạnh điều khoản nguồn trên bản ghi khung. Tổ chức quyết định phần nào trở thành công việc; nền tảng không tự tạo hạn.

Lộ dữ liệu khách hàng được ghi một lần thành sự cố, kèm thông báo và lịch sử ai thay đổi khi nào. Rà soát bên thứ ba hỗ trợ xử lý xuyên suốt nằm cạnh nhà cung cấp tương ứng để có thể xuất trình.

Đặt lịch demo để xem yêu cầu, ngày và hồ sơ. Trao đổi về thí điểm để cài yêu cầu, thời hạn và công việc đầu tiên; trao đổi nhu cầu về nhóm đơn vị, mốc Thông tư 77 và trích nợ.