Quyết định 106/QĐ-UBCK của Ủy ban Chứng khoán Nhà nước về việc ban hành Quy định hướng dẫn về yêu cầu hệ thống công nghệ thông tin của Công ty chứng khoán

QUY ĐỊNH HƯỚNG DẪN VỀ YÊU CẦU HỆ THỐNG CÔNG NGHỆ THÔNG TIN CỦA CÔNG TY CHỨNG KHOÁN

(Ban hành theo Quyết định số 106/QĐ-UBCK ngày 8/02/2010 của

Chủ tịch Ủy ban Chứng khoán Nhà nước)

 

I. QUY ĐỊNH CHUNG

1. Phạm vi điều chỉnh

Quy định này của Ủy ban Chứng khoán Nhà nước (UBCKNN) hướng dẫn về nguyên tắc các yêu cầu của hệ thống công nghệ thông tin cho các công ty chứng khoán thành lập và hoạt động tại Việt Nam.

2. Giải thích từ ngữ

Trong Quy định này, các từ ngữ dưới đây được hiểu như sau:

Hệ thống công nghệ thông tin của công ty chứng khoán bao gồm: trang thiết bị cho cơ sở hạ tầng công nghệ thông tin, phần mềm ứng dụng, trang thông tin điện tử.

Cơ sở hạ tầng công nghệ thông tin bao gồm máy chủ, máy tính cá nhân, máy in, thiết bị mạng, thiết bị lưu trữ, hệ thống đường truyền, hệ thống chống sét và các trang thiết bị khác.

Trang (cổng) thông tin điện tử (Website) của công ty chứng khoán là trang thông tin hoặc một tập hợp trang thông tin trên môi trường mạng phục vụ cho việc cung cấp, trao đổi thông tin liên quan đến các hoạt động của công ty chứng khoán.

Phần mềm ứng dụng của công ty chứng khoán: là chương trình máy tính thực hiện các nghiệp vụ liên quan đến công tác quản lý và hoạt động nghiệp vụ tại các công ty chứng khoán.

Phòng máy chủ của công ty chứng khoán là khu vực thuộc công ty chứng khoán đặt và sử dụng các trang thiết bị công nghệ thông tin như máy chủ, thiết bị mạng, đường truyền dữ liệu và các thiết bị phụ trợ khác.

Hệ thống mạng cục bộ (Local Area Network-LAN) là các máy tính được kết nối với nhau trong phạm vi một khu vực hạn chế, sao cho các máy tính trong mạng có thể trao đổi thông tin, dùng chung các thiết bị ngoại vi và sử dụng các chương trình cũng như các dữ liệu đã được lưu trữ.

Máy chủ là những máy tính chuyên dụng, có năng lực xử lý cao, có khả năng chạy ổn định liên tục, chuyên dùng để cài phần mềm phục vụ cho các máy tính khác truy cập yêu cầu cung cấp dịch vụ và tài nguyên.

Switch là thiết bị mạng có nhiều cổng làm chức năng kết nối các trạm làm việc (workstation) trong một mạng LAN lại với nhau theo cấu hình hình sao (Star configuration) bằng cách chuyển mạch (Switching).

Web Hosting là không gian trên máy chủ có cài đặt các dịch vụ Internet như world wide web (www), truyền file(FTP), thư điện tử (Mail), nội dung trang web hay dữ liệu khác. Web Hosting đồng thời cũng là nơi diễn ra tất cả các hoạt động giao dịch, trao đổi thông tin giữa Website với người sử dụng Internet và hỗ trợ các phần mềm Internet hoạt động.

II. YÊU CẦU HỆ THỐNG CÔNG NGHỆ THÔNG TIN CỦA CÔNG TY CHỨNG KHOÁN

1. Yêu cầu chung hệ thống công nghệ thông tin.

1.1. Công ty chứng khoán phải trang bị hệ thống công nghệ thông tin phục vụ các hoạt động nghiệp vụ đã được Ủy ban Chứng khoán Nhà nước cấp phép;

1.2. Hệ thống công nghệ thông tin phải được thiết kế có dự phòng, đảm bảo cho hệ thống luôn ở trong trạng thái sẵn sàng phục vụ giao dịch chứng khoán và cung cấp thông tin cho các nhà đầu tư;

1.3. Hệ thống công nghệ thông tin phải được thiết kế đảm bảo khả năng mở rộng, nâng cấp trong tương lai và đảm bảo tối ưu hoá năng lực xử lý thông tin của mạng máy tính;

1.4. Hệ thống công nghệ thông tin phải được thiết kế đảm bảo tập trung các dịch vụ thông tin, các cơ sở dữ liệu sử dụng chung trong toàn công ty chứng khoán;

1.5. Hệ thống công nghệ thông tin phải được thiết kế đảm bảo an toàn bảo mật;

1.6. Hệ thống công nghệ thông tin phải được thiết kế đảm bảo khả năng phân tách, phát hiện xử lý sự cố, nhanh chóng khắc phục lỗi hệ thống;

1.7. Hệ thống công nghệ thông tin của công ty chứng khoán khi kết nối với hệ thống giao dịch chứng khoán của các Sở Giao dịch Chứng khoán, Trung tâm Lưu ký Chứng khoán, phải đảm bảo tính tương thích về đường truyền, chuẩn công nghệ và an toàn bảo mật hệ thống. Các Sở Giao dịch Chứng khoán, Trung tâm Lưu ký Chứng khoán hướng dẫn, quy định phần hệ thống công nghệ thông tin kết nối với các công ty chứng khoán là thành viên theo thẩm quyền.

2. Yêu cầu kỹ thuật cơ sở hạ tầng công nghệ thông tin.

2.1. Yêu cầu chung về cơ sở hạ tầng công nghệ thông tin

a) Công ty chứng khoán phải trang bị máy chủ cho hệ thống công nghệ thông tin. Máy chủ phải có cấu hình phù hợp với yêu cầu của phần mềm cài đặt trên máy chủ và các dịch vụ mà máy chủ đó cung cấp. Các phần mềm ứng dụng và các dịch vụ liên quan đến hoạt động giao dịch của các nhà đầu tư phải được duy trì hoạt động trên các máy chủ. Không sử dụng máy tính cá nhân đóng vai trò máy chủ;

b) Hệ thống đường truyền kết nối thuộc hệ thống giao dịch của công ty chứng khoán, hệ thống đường truyền kết nối giữa công ty chứng khoán với Sở Giao dịch Chứng khoán và Trung tâm Lưu ký Chứng khoán phải đạt tốc độ kết nối đảm bảo các giao dịch được thông suốt;

c) Các thiết bị sao lưu dự phòng phải chuyên dụng. Phải có giải pháp sao lưu dự phòng tập trung cho dữ liệu của các ứng dụng nghiệp vụ;

d) Công ty chứng khoán phải trang bị hệ thống chống sét cho hệ thống mạng và máy chủ, đảm bảo chống sét đánh trực tiếp và chống sét lan truyền;

đ) Tài liệu kỹ thuật và vận hành hệ thống công nghệ thông tin tại công ty chứng khoán phải gồm các loại:

- Hồ sơ khảo sát thiết kế và thuyết minh kỹ thuật của hệ thống;

- Tài liệu tự kiểm tra, đánh giá của đơn vị hoặc do cơ quan chuyên môn có chức năng kiểm định xác nhận thiết kế của hệ thống đủ tiêu chuẩn an toàn cho vận hành;

- Quy định quy trình quản lý sử dụng hệ thống mạng, an toàn bảo mật, sao lưu dự phòng và vận hành hệ thống.

2.2. Yêu cầu về an toàn bảo mật

Công ty chứng khoán phải có giải pháp bảo mật để bảo đảm an toàn cho hệ thống công nghệ thông tin:

a) Sử dụng thiết bị tường lửa (firewall) để ngăn chặn các tấn công trực tiếp vào các thông tin quan trọng của hệ thống, kiểm soát các thông tin ra vào hệ thống tại trụ sở chính và các chi nhánh;

b) Khuyến nghị các công ty chứng khoán sử dụng thiết bị phát hiện và ngăn chặn xâm nhập (IPS) để ngăn chặn các kết nối trái phép vào các tài nguyên quan trọng khi chúng đi qua được tường lửa;

c) Sử dụng phần mềm chống virus (Anti-Virus) và phần mềm chống phần mềm gián điệp (Anti-Spyware) trên tất cả các máy chủ, máy trạm và tại cổng kết nối với mạng công cộng (Internet);

d) Thường xuyên cập nhật các bản sửa lỗi của hệ điều hành máy chủ, máy trạm và các phần mềm hệ thống khác. Cấu hình hệ thống để cập nhật tự động, tâp trung phiên bản phần mềm chống virus mới và các mẫu virus mới;

đ) Khuyến nghị các công ty chứng khoán sử dụng các giải pháp khác như: mạng riêng ảo; mã hóa các dữ liệu trên đường truyền; kiểm soát truy cập web nhằm giảm thiểu các nguy cơ mất an toàn cho các máy trạm khi truy cập web; ngăn chặn thư rác; tường lửa cho ứng dụng web;

e) Thực hiện chia tách hệ thống mạng thành các vùng mạng khác nhau theo mục đích sử dụng, đối tượng sử dụng và có chính sách bảo mật cho từng vùng;

g) Việc truy cập hệ thống phải được phân quyền đến từng bộ phận, cá nhân sử dụng để bảo vệ các lớp thông tin khác nhau. Các máy chủ phải được cài đặt, cấu hình để hệ thống có thể lưu vết mọi xâm nhập;

h) Các máy trạm, đặc biệt là các máy tính trang bị cho cán bộ nghiệp vụ liên quan đến thực hiện giao dịch chứng khoán tại công ty chứng khoán phải thực hiện các biện pháp an toàn bảo mật: niêm phong máy, cài đặt mật khẩu cho máy tính. Các máy tính nghiệp vụ thực hiện giao dịch chứng khoán không được kết nối với mạng công cộng (internet) nếu không thông qua hệ thống bảo mật;

i) Hệ thống đặt lệnh qua điện thoại và internet phải có biện pháp bảo mật để quản lý truy cập của người sử dụng. Hệ thống phải có khả năng tổ chức, tra cứu tìm kiếm dữ liệu nhanh;

k) Công ty chứng khoán phải xây dựng các qui định áp dụng cho mọi đối tượng có tham gia quản lý và sử dụng các tài nguyên và dịch vụ mạng để giúp người sử dụng biết được trách nhiệm của mình trong việc bảo vệ các tài nguyên thông tin trên mạng, đồng thời giúp các quản trị mạng thiết lập các biện pháp bảo đảm hữu hiệu trong quá trình trang bị, cấu hình, kiểm soát hoạt động của hệ thống, hướng dẫn người sử dụng nhận thức và tuân thủ các quy tắc bảo mật;

l) Công ty chứng khoán phải có biện pháp sao lưu dự phòng hệ thống thông tin định kỳ, đảm bảo khôi phục thông tin dữ liệu trong vòng 24 giờ kể từ khi phát sinh sự cố. Việc sao lưu dự phòng phải được thực hiện hàng ngày;

m) Thông tin sao lưu dữ liệu trên băng từ, đĩa quang, ổ cứng và các thiết bị lưu trữ khác phải được bảo vệ vật lý trong môi trường bảo mật và được lưu giữ an toàn. Căn cứ vào đặc tính kỹ thuật của từng loại thiết bị lưu trữ để có chế độ tái lưu thích hợp.

2.3. Yêu cầu phòng máy chủ

a) Phòng máy chủ của Công ty chứng khoán phải được bố trí đảm bảo đủ điều kiện cho các thiết bị hoạt động và đảm bảo an toàn bảo mật;

b) Phòng máy chủ phải có nội quy và áp dụng các biện pháp bảo vệ, kiểm soát ra vào. Những công việc tiến hành trong phòng máy chủ phải được ghi sổ nhật ký làm việc hàng ngày;

c) Phòng máy chủ phải đảm bảo các yêu cầu về độ ẩm, nhiệt độ, vệ sinh đạt tiêu chuẩn hoạt động cho máy chủ và các thiết bị; phải được trang bị các thiết bị phòng chống cháy nổ, hệ thống an ninh chống xâm nhập bất hợp pháp;

d) Phòng máy chủ phải được trang bị nguồn điện với các tiêu chuẩn kỹ thuật phù hợp với các trang thiết bị lắp đặt trong phòng máy đảm bảo hoạt động liên tục.

2.4.  Yêu cầu nguồn điện

a) Hệ thống cung cấp nguồn điện bao gồm lưới điện quốc gia, máy phát điện, bộ lưu điện và được thiết kế tự động đảm bảo cung cấp nguồn điện ổn định, liên tục, đáp ứng yêu cầu hoạt động cho hệ thống công nghệ thông tin;

b) Nguồn điện dự phòng phải đủ tiêu chuẩn, công suất cho hoạt động bình thường của hệ thống công nghệ thông tin trong thời gian nguồn điện chính có sự cố.

3. Yêu cầu về phần mềm ứng dụng

3.1. Yêu cầu chung về phần mềm ứng dụng

a) Phần mềm ứng dụng áp dụng tại công ty chứng khoán phải đảm bảo tuân thủ các quy định pháp luật về thị trường chứng khoán và phù hợp với điều kiện hoạt động, yêu cầu quản lý của công ty;

b) Công ty chứng khoán phải lựa chọn giải pháp công nghệ để xây dựng phần mềm ứng dụng đáp ứng khả năng nâng cấp mở rộng;

c) Công ty chứng khoán sử dụng phần mềm ứng dụng phải thực hiện các yêu cầu về bản quyền phần mềm theo quy định của pháp luật;

d) Phần mềm ứng dụng trước khi đưa vào sử dụng phải được đặt tên, thuyết minh rõ xuất xứ, tính năng kỹ thuật và có tài liệu hướng dẫn cụ thể kèm theo như: phân tích thiết kế hệ thống (khuyến nghị), tài liệu yêu cầu người sử dụng, hướng dẫn sử dụng... để giúp người sử dụng vận hành an toàn, có khả năng xử lý các sự cố đơn giản.

3.2. Yêu cầu về tính năng kỹ thuật

a) Phải có khả năng cảnh báo sai sót khi nhập dữ liệu;

b) Phải có khả năng lưu vết các giao dịch và các tương tác của người dùng;

c) Các phần mềm giao dịch chứng khoán phải có khả năng kiểm soát các truy cập về thao tác nghiệp vụ trong giao dịch, đảm bảo thực hiện đúng quy trình, chống sai sót;

d) Dữ liệu lưu trong cơ sở dữ liệu của phần mềm ứng dụng phải có các yếu tố để giám sát người sử dụng như: tài khoản và thời gian truy cập thông tin vào hệ thống; tài khoản và thời gian tạo ra dữ liệu, thời gian sửa dữ liệu cuối cùng và thời gian kiểm soát dữ liệu;

đ) Cơ sở dữ liệu của phần mềm ứng dụng phải được tổ chức để hệ thống phần mềm dễ dàng cập nhật thông tin, tổng hợp, lựa chọn, xử lý, truyền dẫn nhanh chóng và chính xác;

e) Việc xây dựng và đưa ra các giải pháp phần mềm ứng dụng phải đồng thời với việc xử lý dữ liệu, tích hợp đồng bộ với các thiết bị phần cứng, giải pháp về mạng truyền thông, an ninh mạng của công ty chứng khoán;

g) Phần mềm ứng dụng của công ty chứng khoán khi kết nối với hệ thống giao dịch chứng khoán của các Sở Giao dịch Chứng khoán, Trung tâm Lưu ký Chứng khoán phải đảm bảo tính tương thích và an toàn bảo mật.

3.3. Yêu cầu về bảo mật và an toàn dữ liệu

a) Phần mềm ứng dụng phải đảm bảo có khả năng phân quyền theo chức năng đến từng người sử dụng. Mỗi người sử dụng được được phân định rõ ràng về nhiệm vụ và quyền hạn. Người không được phân quyền không thể truy cập vào công việc của người khác;  

b) Đối với các phần mềm ứng dụng có chức năng giao dịch qua internet phải có cơ chế xác thực người sử dụng và mã hóa dữ liệu trên đường truyền. Sử dụng hệ thống bảo mật, chữ ký số, chữ ký điện tử cho các giao dịch theo quy định tại Nghị định 27/2007/NĐ-CP ngày 23 tháng 02 năm 2007 của Chính phủ quy định về giao dịch điện tử trong hoạt động tài chính, Thông tư 78/2008/TT-BTC ngày 15 tháng 9 năm 2008 của Bộ Tài chính hướng dẫn thi hành một số nội dung của Nghị định số 27/2007/NĐ-CP ngày 23 tháng 2 năm 2007 về giao dịch điện tử trong hoạt động tài chính, Thông tư 50/2009/TT-BTC ngày 16 tháng 3 năm 2009 của Bộ Tài chính hướng dẫn giao dịch điện tử trên thị trường chứng khoán; theo đúng tiêu chuẩn về ứng dụng công nghệ thông tin được ban hành theo Quyết định số 20/2008/QĐ-BTTTT ngày 09 tháng 04 năm 2008 của Bộ trưởng Bộ Thông tin và Truyền thông;

c) Mật khẩu người sử dụng khi lưu trữ phải được mã hóa. Nghiêm cấm trao đổi mật khẩu người sử dụng dưới dạng văn bản không mã hóa (clear text) trong mọi trường hợp, ngoại trừ mật khẩu sử dụng một lần. Việc in, gửi mật khẩu cho khách hàng phải được bảo mật;

d) Phần mềm ứng dụng phải có chức năng sao lưu dự phòng, phục hồi các dữ liệu, thông tin giao dịch chứng khoán và các thông tin khác ít nhất là trong vòng 24 giờ kể từ khi phát sinh sự cố kỹ thuật;

đ) Công ty chứng khoán phải trang bị, tổ chức và sử dụng các thiết bị lưu trữ an toàn cho cơ sở dữ liệu và phần mềm ứng dụng, đảm bảo an toàn và vận hành theo đúng yêu cầu kỹ thuật;

e) Trước khi đưa phần mềm ứng dụng vào vận hành phải đảm bảo phần mềm đã được kiểm tra để phát hiện và khắc phục các lỗ hổng bảo mật.

4. Yêu cầu về trang (cổng) thông tin điện tử.

Công ty chứng khoán phải xây dựng một trang thông tin điện tử với địa chỉ xác định trên mạng Internet để công bố thông tin theo quy định hiện hành. Trang thông tin điện tử của công ty chứng khoán phải đảm bảo các yêu cầu sau:

4.1. Yêu cầu chung về trang (cổng) thông tin điện tử.

a) Trang thông tin điện tử của công ty chứng khoán phải được cơ quan có thẩm quyền cấp phép theo quy định của pháp luật với tên miền quốc gia Việt Nam “.vn”;

b) Trang thông tin điện tử được xây dựng trên nền tảng công nghệ của các sản phẩm thương mại phải có bản quyền phần mềm của sản phẩm đó;

c) Trên trang thông tin điện tử phải đăng tải các thông tin để liên hệ với công ty chứng khoán;

d) Trang thông tin điện tử phải được lưu trữ trên máy chủ tại công ty hoặc tại tổ chức cung cấp dịch vụ Web Hosting của Việt Nam.

4.2. Trang thông tin điện tử phải đảm bảo các yêu cầu về an toàn và bảo mật như sau:

a) Hệ thống máy chủ trang thông tin điện tử phải có khả năng giám sát và theo dõi thay đổi quyền điều khiển, thay đổi nội dung của Trang thông tin điện tử;

b) Thường xuyên cập nhật các bản vá lỗi cho các phần mềm nền xây dựng trang thông tin điện tử như hệ điều hành, hệ cơ sở dữ liệu, firewall...;

c) Có cơ chế tìm kiếm lỗ hổng bảo mật trang thông tin điện tử theo định kỳ bằng các phần mềm chuyên dụng;

d) Đối với những trang thông tin điện tử thực hiện giao dịch chứng khoán qua mạng thì phần nội dung giao dịch trực tuyến phải được tách riêng và đặt trên máy chủ riêng biệt tại công ty. Các thông tin giao dịch, tài khoản và mật khẩu phải mã hoá, đảm bảo bí mật cho nhà đầu tư. Hệ thống phải sử dụng công nghệ bảo mật theo Danh mục tiêu chuẩn về ứng dụng công nghệ thông tin trong cơ quan nhà nước của Bộ Thông tin và Truyền thông.

4.3. Trang thông tin điện tử phải đảm bảo các yêu cầu về sao lưu và phục hồi như sau:

a) Trang thông tin điện tử phải được sao lưu toàn bộ, bao gồm cả phần mềm và cơ sở dữ liệu lưu nội dung thông tin;

b) Trong trường hợp gặp sự cố, trang thông tin điện tử phải được phục hồi trong thời gian không quá 24 giờ kể từ khi xảy ra sự cố.

5. Yêu cầu về đội ngũ nhân sự

Các công ty chứng khoán phải có đội ngũ cán bộ kỹ thuật đủ trình độ để quản lý, vận hành và giám sát hệ thống công nghệ thông tin. Đội ngũ cán bộ kỹ thuật phải có trình độ chuyên môn về công nghệ thông tin và có các chứng chỉ chuyên môn phù hợp với từng vị trí công tác sau:

- Quản trị hệ thống mạng;

- Quản trị các hệ điều hành;

- Bảo mật hệ thống công nghệ thông tin;

- Quản trị cơ sở dữ liệu.

6. Nội dung yêu cầu kỹ thuật của hệ thống công nghệ thông tin trong hồ sơ đề nghị cấp Giấy phép thành lập và hoạt động công ty chứng khoán, bao gồm:

6.1 Phương án thiết kế hệ thống công nghệ thông tin. Nội dung gồm: giải pháp xây dựng cơ sở hạ tầng hệ thống mạng (LAN, WAN), sơ đồ kết cấu và chức năng của mạng; giải pháp an toàn bảo mật của hệ thống như nhận dạng, mã hóa khi truyền tải dữ liệu, chữ ký số, chia tách mạng và phòng chống rủi ro, phương thức giao tiếp qua mạng, phương thức truy nhập vào mạng; giải pháp xây dựng phần mềm... (theo mẫu Phụ lục I kèm theo).

6.2 Giải pháp lưu trữ và phục hồi dữ liệu trong trường hợp hỏng hóc hệ thống, các phương pháp giao dịch thay thế và các biện pháp liên quan đến việc khôi phục dữ liệu và hệ thống.

6.3 Dự kiến tên miền và nơi đặt Web Hosting trang thông tin điện tử của công ty.

III. TỔ CHỨC THỰC HIỆN

1. Cục Công nghệ Thông tin - Ủy ban Chứng khoán Nhà nước có trách nhiệm hướng dẫn, giám sát các công ty chứng khoán trong việc chấp hành Quy định này. Các công ty chứng khoán vi phạm quy định này sẽ bị Ủy ban Chứng khoán Nhà nước xử lý theo thẩm quyền.

2. Việc thay thế, sửa đổi, bổ sung Quy định này do Chủ tịch UBCKNN quyết định./.

 

CHỦ TỊCH (Đã ký)         Vũ Bằng