Thông tư hợp nhất quy định an toàn, bảo mật dịch vụ Online Banking (Thông tư 50/2024/TT-NHNN sửa đổi bởi Thông tư 77/2025/TT-NHNN)
Bài giải thích của RegHub - New MarketerCập nhật lần cuối:
Dựa trên:Thông tư 50/2024/TT-NHNN; Thông tư 77/2025/TT-NHNN - Công báo Chính phủ
Bài giải thích này do AI tạo và được kiểm tra tự động bằng AI, chưa qua chuyên gia thẩm định. Đây không phải tư vấn pháp lý, thuế hay kế toán và có thể có sai sót. Vui lòng đối chiếu với văn bản chính thức trước khi áp dụng.
Đây là văn bản hợp nhất của Ngân hàng Nhà nước Việt Nam (NHNN), gộp Thông tư 50/2024/TT-NHNN ngày 31/10/2024 (có hiệu lực từ 01/01/2025) với nội dung sửa đổi, bổ sung tại Thông tư 77/2025/TT-NHNN ngày 31/12/2025 (có hiệu lực từ 01/3/2026). Văn bản quy định các yêu cầu an toàn, bảo mật bắt buộc khi cung cấp dịch vụ ngân hàng trực tuyến (Online Banking), áp dụng cho tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, công ty thông tin tín dụng và (điểm mới) tổ chức cung ứng dịch vụ Tiền di động. Các yêu cầu kỹ thuật chính gồm: hệ thống thông tin phải đạt cấp độ an toàn 3 trở lên (cấp độ 4 trở lên với hệ thống chuyển mạch tài chính, bù trừ điện tử) và tuân thủ tiêu chuẩn TCVN 11930:2017; hạ tầng mạng phải có tường lửa ứng dụng/cơ sở dữ liệu, giải pháp chống DoS/DDoS; phần mềm ứng dụng phải kiểm soát mã nguồn, thử nghiệm theo chuẩn OWASP Top Ten (web) hoặc OWASP MASVS (di động); ứng dụng Mobile Banking phải phát hành qua kho ứng dụng chính thức, có cơ chế phát hiện root/jailbreak, gỡ lỗi, giả lập và tự động thoát khi phát hiện can thiệp. Việc xác nhận giao dịch được phân loại theo mức rủi ro, sử dụng kết hợp mật khẩu, mã PIN, OTP (SMS/Voice/Soft Token), sinh trắc học hoặc chữ ký điện tử; giao dịch thanh toán của khách hàng tổ chức phải tách bạch bước tạo lập và phê duyệt, trừ hộ kinh doanh hoặc doanh nghiệp siêu nhỏ áp dụng kế toán đơn giản. Điểm mới đáng chú ý từ Thông tư 77/2025/TT-NHNN là khái niệm «khách hàng tổ chức mới» (thành lập hoặc thiết lập quan hệ trong 12 tháng gần nhất), buộc đơn vị đánh giá rủi ro để áp dụng xác nhận bằng sinh trắc học hoặc chữ ký điện tử an toàn, trừ một số nhóm được miễn như cơ quan nhà nước, tổ chức niêm yết, tổ chức thuộc danh sách Fortune Global 500. Lộ trình áp dụng các quy định mới tại Điều 3, Điều 10: đơn vị phục vụ cả khách hàng cá nhân và tổ chức phải tuân thủ từ 01/7/2026; đơn vị chỉ phục vụ khách hàng tổ chức tuân thủ từ 01/10/2026. Đây là văn bản kỹ thuật, an ninh mạng dành cho ngân hàng và trung gian thanh toán, không thuộc phạm vi thuế, kế toán, hóa đơn điện tử, lao động hay hải quan mà RegHub đang theo dõi.
Tổng quan
Văn bản này là bản hợp nhất do Ngân hàng Nhà nước Việt Nam (NHNN) công bố, gộp Thông tư số 50/2024/TT-NHNN ngày 31/10/2024 quy định về an toàn, bảo mật cho việc cung cấp dịch vụ trực tuyến trong ngành Ngân hàng (có hiệu lực từ 01/01/2025) với nội dung sửa đổi, bổ sung tại Thông tư số 77/2025/TT-NHNN ngày 31/12/2025 (có hiệu lực từ 01/3/2026). Bản hợp nhất giúp các tổ chức tín dụng và đơn vị liên quan tra cứu quy định hiện hành trong một văn bản duy nhất.
Phạm vi và đối tượng áp dụng
Thông tư điều chỉnh yêu cầu an toàn, bảo mật khi cung cấp dịch vụ ngân hàng trực tuyến (gọi tắt Online Banking), bao gồm: hoạt động ngân hàng và hoạt động kinh doanh khác của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài; hoạt động cung ứng dịch vụ trung gian thanh toán; hoạt động thông tin tín dụng; và (bổ sung mới) hoạt động cung ứng dịch vụ Tiền di động. Đối tượng áp dụng gồm tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, tổ chức cung ứng dịch vụ Tiền di động và công ty thông tin tín dụng (gọi chung là «đơn vị»).
Nguyên tắc an toàn, bảo mật chung
Hệ thống Online Banking phải bảo đảm an toàn hệ thống thông tin cấp độ 3 trở lên; riêng hệ thống cung cấp dịch vụ chuyển mạch tài chính, bù trừ điện tử phải đạt cấp độ 4 trở lên, đồng thời tuân thủ tiêu chuẩn TCVN 11930:2017. Đơn vị phải bảo đảm tính bí mật, toàn vẹn thông tin khách hàng và tính sẵn sàng liên tục của hệ thống; phân loại, đánh giá rủi ro giao dịch theo nhóm khách hàng, hành vi sử dụng, loại giao dịch và hạn mức; kiểm tra, đánh giá an toàn bảo mật định kỳ hàng năm; bảo đảm trang thiết bị hạ tầng có bản quyền, nguồn gốc rõ ràng.
Hạ tầng kỹ thuật và phần mềm ứng dụng
Hệ thống mạng phải có tường lửa ứng dụng, tường lửa cơ sở dữ liệu, giải pháp chống tấn công từ chối dịch vụ (DoS/DDoS) và hệ thống quản lý, phân tích sự kiện an toàn thông tin; thông tin khách hàng không được lưu tại vùng kết nối Internet hoặc vùng DMZ. Máy chủ phải có máy chủ dự phòng, tách biệt với hệ thống nghiệp vụ khác, sử dụng tối đa trung bình 80% công suất thiết kế hằng tháng. Phần mềm ứng dụng Online Banking phải kiểm soát mã nguồn chặt chẽ, được thử nghiệm theo chuẩn OWASP Top Ten (nền tảng web) hoặc OWASP Mobile Application Security (di động) trước khi vận hành, mã hóa dữ liệu điểm đầu đến điểm cuối, tự động ngắt phiên khi không thao tác, và bắt buộc tách bước tạo lập - phê duyệt đối với giao dịch thanh toán của khách hàng tổ chức (trừ hộ kinh doanh, doanh nghiệp siêu nhỏ áp dụng kế toán đơn giản). Ứng dụng Mobile Banking riêng phải phát hành qua kho ứng dụng chính thức, đánh giá an toàn bảo mật định kỳ tối thiểu 03 tháng/lần, có cơ chế phát hiện và tự động thoát khi phát hiện trình gỡ lỗi, môi trường giả lập hoặc thiết bị đã root/jailbreak.
Xác nhận giao dịch điện tử
Việc xác nhận giao dịch được phân loại theo mức độ rủi ro và có thể sử dụng một hoặc kết hợp nhiều hình thức: mật khẩu (Password, tối thiểu 8 ký tự, hiệu lực tối đa 12 tháng), mã PIN (tối thiểu 6 ký tự), mã OTP dùng một lần (SMS OTP, Voice OTP, Soft OTP/Token OTP), khớp đúng thông tin sinh trắc học, hoặc chữ ký điện tử an toàn. Đối với các bước phê duyệt cuối cùng của giao dịch nhiều bước, đơn vị bắt buộc phải thực hiện xác nhận giao dịch.
Điểm mới từ Thông tư 77/2025/TT-NHNN
Thông tư sửa đổi bổ sung khái niệm «khách hàng tổ chức mới» - tổ chức mới thành lập hoặc mới thiết lập quan hệ với đơn vị trong vòng 12 tháng - buộc đơn vị đánh giá rủi ro để xác định thời điểm áp dụng xác nhận bằng sinh trắc học hoặc chữ ký điện tử an toàn cho nhóm khách hàng này. Một số nhóm được miễn áp dụng, gồm cơ quan nhà nước, đơn vị sự nghiệp công lập, tổ chức tín dụng, tổ chức niêm yết, tổ chức thuộc danh sách Fortune Global 500, và nhà đầu tư nước ngoài không cư trú mở tài khoản đầu tư gián tiếp. Thông tư cũng bổ sung yêu cầu kiểm soát phiên bản ứng dụng Mobile Banking (đánh giá an toàn tối thiểu 3 tháng/lần, cấm hạ phiên bản) và mở rộng phạm vi điều chỉnh sang dịch vụ Tiền di động.
Lộ trình áp dụng
Đối với các quy định mới tại Điều 3 và Điều 10 của Thông tư, đơn vị cung cấp dịch vụ thanh toán trực tuyến cho cả khách hàng cá nhân và tổ chức phải áp dụng từ ngày 01/7/2026; đơn vị chỉ cung cấp dịch vụ cho khách hàng tổ chức áp dụng từ ngày 01/10/2026. Đây là văn bản thuộc lĩnh vực an ninh mạng, an toàn thông tin ngân hàng - chủ yếu tác động đến các tổ chức tín dụng, trung gian thanh toán và công ty Fintech, không thuộc các nhóm chủ đề thuế, kế toán, hóa đơn điện tử, lao động hay hải quan mà RegHub tập trung theo dõi.