Ngân hàng phải siết yêu cầu mã hóa dữ liệu theo QCVN 4:2026/BQP mới

Trong quá trình các hoạt động ngân hàng ngày càng dựa trên dữ liệu và giao dịch điện tử, yêu cầu bảo vệ thông tin không chỉ nằm ở việc triển khai các giải pháp công nghệ mà còn liên quan đến các yêu cầu kỹ thuật đối với sản phẩm, dịch vụ mật mã được sử dụng. QCVN 4:2026/BQP được ban hành nhằm quy định các mức giới hạn về đặc tính kỹ thuật mật mã đối với những sản phẩm, dịch vụ này trong lĩnh vực ngân hàng.

Theo quy chuẩn, đối tượng áp dụng là các tổ chức kinh doanh, sử dụng sản phẩm, dịch vụ mật mã dân sự trong lĩnh vực ngân hàng. QCVN 4:2026/BQP do Ban Cơ yếu Chính phủ biên soạn, trình duyệt; Bộ Khoa học và Công nghệ thẩm định và Bộ trưởng Bộ Quốc phòng ban hành kèm theo Thông tư số 07/2026/TT-BQP ngày 20/1/2026. Quy chuẩn thay thế QCVN 4:2016/BQP.

Một nội dung đáng chú ý của QCVN 4:2026/BQP là yêu cầu về an toàn trong sử dụng các thuật toán mã hóa dữ liệu. Quy chuẩn quy định trong bọc khóa bằng thuật toán mã hóa đối xứng phải sử dụng một trong các chế độ gồm KW, KWP, CCM hoặc GCM.

Quy định này đặt yêu cầu cụ thể đối với cách thức bảo vệ khóa mật mã, qua đó tạo khuôn khổ kỹ thuật thống nhất cho việc sử dụng các cơ chế mã hóa trong phạm vi điều chỉnh của quy chuẩn.

QCVN 4:2026/BQP có hiệu lực từ 6/3/2026, tạo cơ sở kỹ thuật mới cho việc quản lý mã hóa dữ liệu sử dụng trong lĩnh vực ngân hàng. Ảnh minh họa

Bên cạnh đó, QCVN 4:2026/BQP quy định mỗi khóa mật mã chỉ được sử dụng cho một mục đích. Khóa dùng để mã hóa khóa không được sử dụng đồng thời cho mục đích mã hóa dữ liệu. Đây là yêu cầu được quy chuẩn đặt ra nhằm kiểm soát cách sử dụng khóa trong quá trình triển khai sản phẩm, dịch vụ mật mã dân sự.

Đối với chế độ CBC, quy chuẩn quy định chỉ được phép sử dụng để giải mã dữ liệu cũ và không sử dụng để mã hóa dữ liệu mới. Đây là một trong những điểm cần được các tổ chức thuộc phạm vi áp dụng lưu ý khi rà soát việc sử dụng các cơ chế mã hóa trong hệ thống.

Việc cập nhật các yêu cầu này xuất phát từ nhu cầu rà soát quy chuẩn hiện hành. Theo thuyết minh xây dựng quy chuẩn, một số nội dung kỹ thuật trong QCVN 4:2016/BQP, bao gồm chế độ sử dụng, thời hạn sử dụng và kích thước khối, không còn đáp ứng đầy đủ các yêu cầu an toàn theo khuyến nghị của một số tổ chức quốc tế như NIST và BSI. Đồng thời, quy chuẩn mới cập nhật yêu cầu đối với thuật toán mã khối MKV, một thuật toán do Ban Cơ yếu Chính phủ nghiên cứu, xây dựng và được công bố thành tiêu chuẩn quốc gia TCVN 14263:2024.

Không chỉ đưa ra các yêu cầu kỹ thuật, QCVN 4:2026/BQP còn quy định cơ chế quản lý đối với sản phẩm, dịch vụ thuộc phạm vi điều chỉnh. Các mức giới hạn về đặc tính kỹ thuật mật mã được xác định là các chỉ tiêu an toàn phục vụ quản lý theo quy định về quản lý chất lượng sản phẩm, dịch vụ mật mã dân sự.

Việc công bố hợp quy, chứng nhận hợp quy và kiểm tra chất lượng sản phẩm được thực hiện theo phương thức 1 theo các quy định về công bố hợp chuẩn, hợp quy và phương thức đánh giá sự phù hợp. Việc quản lý công bố hợp quy dựa trên kết quả chứng nhận của tổ chức chứng nhận được chỉ định theo quy định của pháp luật. Quy chuẩn cũng quy định Ban Cơ yếu Chính phủ xem xét thừa nhận kết quả đánh giá sự phù hợp do tổ chức đánh giá sự phù hợp nước ngoài thực hiện đối với các sản phẩm mật mã dân sự thuộc trách nhiệm quản lý theo quy định.

Về trách nhiệm, Cục Quản lý mật mã dân sự và Kiểm định sản phẩm mật mã - Ban Cơ yếu Chính phủ là cơ quan tiếp nhận công bố hợp quy và kiểm tra nhà nước về chất lượng sản phẩm mật mã dân sự.

Các tổ chức sử dụng sản phẩm, dịch vụ mật mã dân sự có trách nhiệm bảo đảm tuân thủ quy chuẩn và chịu sự kiểm tra của cơ quan quản lý nhà nước theo quy định. Trong khi đó, tổ chức có hoạt động sản xuất, kinh doanh sản phẩm, dịch vụ mật mã dân sự thuộc phạm vi điều chỉnh phải thực hiện các quy định về chứng nhận, công bố hợp quy và chịu sự kiểm tra của cơ quan quản lý.

An Dương