Detai19_Nhom10-1

BAN CƠ YẾU CHÍNH PHỦ HỌC VIỆN KỸ THUẬT MẬT MÃ AN TOÀN THƯƠNG MẠI ĐIỆN TỬ Đề tài 15 NGHIÊN CỨU VÀ XÂY DỰNG QUY TRÌNH QUẢN LÝ RỦI RO CHO HỆ THỐNG THANH TOÁN ĐIỆN TỬ Sinh viên thực hiện: Nguyễn Sỹ Tuấn(C) Nguyễn Phương Nam Nguyễn Hải Nam Nguyễn Thái Sơn Giảng viên hướng dẫn: T.S Đoàn Trung Sơn Hà Nội, 10 - 2020 MỤC LỤC DANH MỤC HÌNH ẢNH Chương I Tổng quan thương mại điện tử toán điện tử 1.1 Tổng quan thương mại điện tử 1.1.1 Khái niệm thương mại điện tử Thương mại điện tử (Electronic commerce – EC hay E-Commerce) khái niệm dùng để mô tả trình mua bán trao đổi sản phẩm, dịch vụ thông tin thông qua mạng máy tính, kể Internet Phản ánh bước TMĐT theo chiều ngang: “TMĐT việc thực toàn hoạt động kinh doanh bao gồm Marketing, bán hàng, phân phối tốn (MSDP – Marketing Sales Distribution Payment) thơng qua phương tiện điện tử” Phản ánh góc độ quản lý nhà nước, theo chiều dọc: TMĐT bao gồm: • Cơ sở hạ tầng cho phát triển TMĐT • Thông điệp liệu • Các quy tắc (luật điều chỉnh) • Các quy tắc riêng lĩnh vực • Các ứng dụng 1.1.2 Lợi ích thương mại điện tử Có thể liệt kê nhiều lợi ích mà thương mại điện tử đem lại cho phát triển kinh tế xã hội tồn cầu: • Hoạt động kinh doanh tồn cầu ngày/tuần, 24 giờ/ngày • • • • • • • • • • Năng cao tính thuận tiện, dễ dàng việc mua sắm Nâng cao số lượng khách hàng Tăng lợi nhuận vốn đầu tư Cá nhân hóa dịch vụ Sản phẩm dịch vụ theo yêu cầu khách hàng Nắm bắt nhu cầu khách hàng tiềm Phát triển mối quan hệ khách hàng Cải thiện dịch vụ khách hàng Cải thiện mối quan hệ với nhà cung cấp Cải thiện mối quan hệ với cộng động tài Như vậy, TMĐT đem lại lợi ích tiềm tàng khơng doanh nghiệp mà hệ thống ngân hàng, tổ chức người tiêu dùng Khách hàng có thêm thông tin phong phú thị trường đối tác, giảm chi phí dễ dàng tạo dựng củng cố mối quan hệ; rút ngắn chu trình sản xuất, tái tạo nhiều sản phẩm quan điểm chiến lược lâu dài; giúp thúc đẩy cho phát triển công nghệ thông tin giai đoạn chuyển tiếp sang kinh tế số hóa, kinh tế tri thức, xã hội thông tin với xu tất yếu đảo ngược Đặc biệt năm 2020 đại dịch Covid-19 nổ ra, thương mại điện tử đóng vai trị vơ quan trọng việc trì hoạt động mua bán trao đổi hàng hóa người bối cảnh tất người khơng khỏi nhà 1.2 Thanh tốn điện tử 1.2.1 Khái niệm Thanh tốn điện tử (hay cịn gọi tốn trực tuyến) mơ hình giao dịch không dùng tiền mặt phổ biến giới, việc tốn tiền qua thơng điệp điện tử (electronic message) thay cho việc giao tay tiền mặt Thơng qua tốn điện tử người dùng khơng sử dụng tiền mặt để toán chi trả hoạt động giao dịch mua bán mà thay vào sử dụng loại thẻ tín dụng, thẻ chứng thực bảo đảm Ngân hàng Điều an tồn tiện dụng, có tính bảo mật cao Theo cách hiểu toán điện tử (TTĐT) hệ thống tốn dựa tảng cơng nghệ thơng tin Việc tốn thực qua máy tính mạng máy tính, nối mạng với đơn vị thành viên tham gia toán Chuyển chứng từ giấy thành “chứng từ điện tử” làm cho khoảng cách đơn vị thành viên thu hẹp lại ngân hàng, giúp cho q trình tốn nhanh chóng đáp ứng nhu cầu chu chuyển vốn khách hàng kinh tế 1.2.2 Lợi ích tốn điện tử • Nhanh chóng, tiện dụng, phù hợp với dịng chảy thị trường Người tiêu dùng Việt có xu hướng toán điện tử cho hoạt động mua sắm siêu thị, cửa hàng tiện lợi, giao dịch hàng xa xỉ, có giá trị cao hay dịch vụ giải trí, du lịch, trả tiền hóa đơn (điện, nước, viễn thơng…) Việc tốn chủ yếu thực qua thiết bị di động có kết nối mạng Đáp ứng xu hướng kinh doanh online ngày bùng nổ, toán điện tử trọng đầu tư Người mua hàng thực chuyển tiền nhanh chóng đâu thơng qua điện thoại mà khơng cần phải tới ngân hàng • Dễ dàng theo dõi kiểm soát Tất khoản tiền lưu lại lịch sử giao dịch cho phép bạn tra cứu cách dễ dàng với vài thao tác đơn giản Bạn quản lý tài có cân đối chi tiêu hợp lý • Chun nghiệp hóa kinh doanh trực tuyến Hầu hết người tiêu dùng, bạn trẻ sử dụng toán điện tử internet banking, ví điện tử, mã QR… tính tiện dụng Do vậy, doanh nghiệp hay hộ kinh doanh hệ thống tốn trực tuyến gặp nhiều bất lợi Về lâu dài, tạo niềm tin người tiêu dùng chất lượng hàng hóa, việc tốn tiền mặt mua hàng trực tuyến khơng cịn Các sàn thương mại điện tử ngày đa dạng hóa hình thức tốn, giúp người dùng có nhiều lựa chọn • Hạn chế rủi ro dùng tiền mặt Các rủi ro thất thoát, thiếu tiền, quên ví dễ xảy giao dịch tiền mặt, đặc biệt với sản phẩm/dịch vụ có giá trị lớn Cịn với tốn điện tử, giao dịch nhanh chóng, xác tới số, minh bạch, rõ ràng bảo mật 1.2.3 Các hình thức tốn điện tử • Thanh tốn thẻ Đây hình thức tốn đặc trưng nhất, chiếm tới 90% tổng số giao dịch thương mại điện tử Thẻ toán (thẻ chi trả) loại thẻ có khả tốn tiền mua hàng hóa, dịch vụ vài địa điểm, kể website mua hàng trực tuyến chấp nhận tiêu dùng thẻ Hoặc dùng để rút tiền mặt trực tiếp từ ngân hàng hay máy rút tiền tự động Hiện nay, loại thẻ tốn chia làm loại, phát hành ngân hàng,  tổ chức tài Ví dụ như: Thanh tốn thẻ tín dụng ghi nợ quốc tế: Nếu khách hàng sở hữu loại thẻ Visa, Mastercard, American Express, JCB tốn 60  website kết nối với cổng toán OnePay Thanh toán thẻ ghi nợ nội địa: Loại hình chưa thực phổ biến Việt Nam phát triển nước ngồi Với cách tốn chủ thẻ Connect24 ngân hàng Vietcombank hay chủ thẻ đa ngân hàng Đơng Á thực toán điện tử website kết nối với ngân hàng cổng tốn OnePay • Thanh tốn qua cổng Cổng toán chất dịch vụ cho phép khách hàng giao dịch website thương mại điện tử Cổng toán cung cấp hệ thống kết nối an tồn tài khoản (thẻ, ví điện tử,…) khách hàng với tài khoản website bán hàng Giúp người tiêu dùng doanh nghiệp toán, nhận tiền internet đơn giản, nhanh chóng an tồn Hiện có số ngân hàng triển khai cổng tốn Điển hình như: Thanh tốn qua cổng tốn điện tử F@st Mobipay: Đây dịch vụ nằm  giải pháp toán ngân hàng Techcombank Cho phép khách hàng mở tài khoản thực giao dịch tốn hóa đơn tin nhắn điện thoại gửi tới tổng đài 19001590 Để đảm bảo an toàn, bí mật cho khách hàng tốn chuyển khoản hệ thống Internet Banking tiện lợi Thanh tốn qua cổng tốn Đơng Á: Từ năm 2007, Ngân hàng Đông Á  cho phép chủ thẻ đa toán trực tuyến “Ngân hàng Đông Á điện tử” Internet Banking, SMS Banking, Mobile Banking • Thanh tốn ví điện tử Ví điện tử tài khoản online dùng nhận, chuyển tiền, mua thẻ điện thoại, vé xem phim, tốn trực tuyến loại phí internet tiền điện nước, cước viễn thơng, bạn mua hàng online từ trang thương mại điện tử Người dùng phải sở hữu thiết bị di động thơng minh tích hợp ví điện tử liên kết với ngân hàng tốn trực tuyến hình thức Hiện nay, Việt Nam có khoảng 20 ví điện tử cấp phép theo Ngân hàng nhà nước dự báo đến năm 2020 đạt ngưỡng 10 triệu người dùng •  Thanh tốn thiết bị điện thoại thơng minh Qua Mobile Banking Hình thức dần trở nên phổ biến hầu hết sử hữu điện thoại thơng minh Chính vậy, mua sắm, khách hàng không cần phải mang theo tiền mặt, thay vào tốn qua điện thoại với dịch vụ Mobile Banking Hệ thống toán qua điện thoại xây dựng mơ hình liên kết ngân hàng, nhà cung cấp viễn thông, người dùng  Qua QR Code Tiến công nghệ lý khiến toán QR Code ngày ưa chuộng Phương thức đơn giản, gọn nhẹ, dễ sử dụng thân thiện cho người tiêu dùng Tính QR Code tích hợp sẵn ứng dụng di động ngân hàng, sản phẩm dịch vụ Google Google Chart hay Google Map, bảng hiệu, xe buýt, danh thiếp, tạp chí, website, hàng hóa siêu thị, cửa hàng tiện lợi,… Người dùng sử dụng camera điện thoại quét mã QR để thực nhanh giao dịch chuyển khoản, tốn hóa đơn, mua hàng Chỉ với lần quét, sau vài giây, bạn tốn thành cơng nhà hàng, siêu thị, cửa hàng tiện lợi, taxi, chí website thương mại điện tử hay sản phẩm có gắn mã QR mà khơng cần sử dụng tiền mặt, thẻ, không lo lộ thông tin cá nhân điểm toán Chương II: Thực trạng toán điện tử Việt Nam Trong bối cảnh dịch Covid-19 bùng phát lây lan hình thức thương mại điện tử (TMĐT) kỳ vọng tạo đột phá có hội thay đổi thói quen người dùng Chẳng hạn Tổ chức Y tế giới cảnh báo nguy lây nhiễm Covid-19 từ tiền mặt, khuyên người dân nên chuyển sang dạng thức toán điện tử Mới đây, Ngân hàng Nhà nước Việt Nam yêu cầu ngân hàng phải thực khử trùng, sát khuẩn, vệ sinh thường xuyên khu vực giao dịch tiền mặt, kho quỹ máy giao dịch tự động (ATM) Đồng thời có biện pháp vệ sinh khử trùng tiền mặt (bó, bao) thu trước nhập kho cuối ngày trước nộp Ngân hàng Nhà nước… Và theo chuyên gia tài chính, lúc để khuyến khích người dân tăng cường sử dụng tốn điện tử thay thói quen dùng tiền mặt Từ góp phần thúc đẩy hoạt động TMĐT Việt Nam Hầu hết siêu thị, trung tâm mua sắm sở phân phối đại nước cho phép người tiêu dùng tốn khơng dùng tiền mặt mua hàng Hạ tầng kỹ thuật phục vụ cho toán thẻ cải thiện, số lượng ATM POS có tốc độ tăng trưởng nhanh Theo Vụ Thanh tốn - NHNN, tồn hệ thống ngân hàng có 18.300 ATM, 289.000 POS, 27 tổ chức cung ứng dịch vụ trung gian toán, tốc độ tăng trưởng giá trị giao dịch qua hệ thống toán điện tử liên ngân hàng hệ thống chuyển mạch đạt 30% TTKDTM Theo đó, giao dịch toán qua internet thiết bị di động Việt Nam năm qua đạt tốc độ tăng trưởng nhanh Tại Việt Nam, kể từ dịch bùng phát đến nay, trang thương mại điện tử (TMĐT) tăng trưởng 20% so với tháng cuối năm 2019, cá biệt số trang mua sắm có mức tăng trưởng lên đến 150% so với ngày thường Theo số liệu thống kê Saigon Coopmart cho biết kênh mua sắm qua điện thoại, qua website doanh nghiệp tăng trưởng nhanh thời gian ngắn với hàng Hình Tấn công DDoS Nghe (sniffer) Nghe (sniffer) dạng chương trình nghe trộm, giám sát di chuyển thông tin mạng Khi sử dụng vào mục đích hợp pháp, giúp phát yếu điểm mạng, ngược lại, sử dụng vào mục đích phạm tội, trở thành mối hiểm hoạ lớn khó phát Xem thư điện tử dạng hành vi trộm cắp mạng Kỹ thuật xem thư điện tử sử dụng đoạn mã ẩn bí mật gắn vào thơng điệp thư điện tử, cho phép người giám sát tồn thơng điệp chuyển tiếp gửi với thơng điệp ban đầu Nhóm rủi ro thủ tục, quy trình giao dịch tổ chức Nhiều website tiến hành bán hàng theo u cầu mà khơng có xác thực cần thiết cẩn trọng thông tin người mua Họ đưa đơn chào hàng tiến hành giao hàng nhận đơn chấp nhận chào hàng từ phía người mua Do khơng có biện pháp đảm bảo chống phủ định người mua quy trình giao dịch website nên buộc người mua phải nhận hàng hay toán đơn đặt hàng thực hàng giao Hay đơn đặt hàng không nhà cung cấp thực khách hàng tiến hành trả tiền mà không nhận hàng, nhà cung cấp từ chối nhận đơn đặt hàng Khi bên thảo luận hợp đồng thương mại qua hệ thống điện tử, hợp đồng thiết lập cách bên đưa lời chào hàng bên chấp nhận lời chào hàng Sự tồn hợp đồng gây tranh cãi bạn khơng có chứng hình thành hợp đồng Doanh nghiệp sử dụng phương tiện điện tử (như e-mail) trình thiết lập hợp đồng rủi ro khơng lường trước Nhóm rủi ro pháp luật tiêu chuẩn công nghiệp Hiệu lực pháp lý giao dịch thương mại điện tử Nước ta có luật giao dịch điện tử, thừa nhận giá trị pháp lý tài liệu điện tử Cả người gửi người nhận tài liệu từ chối hiệu lực pháp lý khơng thể từ chối gửi hay nhận tài liệu có sử dụng chữ ký điện tử an toàn Tuy nhiên làm để đảm bảo thoả thuận đạt qua hệ thống điện tử có tính ràng buộc mặt pháp lý có khác hệ thống pháp luật khác nhau, ví dụ Việt Nam Nhật Bản? Chưa có cơng ước chung giao dịch thương mại điện tử có hiệu lực gây trở ngại việc giải tranh chấp hợp đồng bị vi phạm Lấy đơn giản ASEAN, chưa có quy định nội khối thức điều chỉnh giao dịch điện tử Việc lựa chọn án, trọng tài, luật điều chỉnh xẩy tranh chấp từ giao dịch điện tử vấn đề cần thiết để tránh rủi ro phát sinh Các quy định cản trở phát triển thương mại điện tử chưa tạo điều kiện thuận lợi cho phát triển thương mại điện tử đăng ký website, mua bán tên miền; chậm trễ dịch vụ chứng thực điện tử, toán điện tử phần thiếu văn pháp lý điều chỉnh Rủi ro tiêu chuẩn công nghiệp Thiếu hạ tầng công nghệ thông tin đồng chưa có hệ thống tiêu chuẩn cơng nghiệp phù hợp với tiêu chuẩn quốc tế khu vực Sự thiếu đồng tiêu chuẩn công nghiệp gây nhiều khó khăn việc trao đổi thơng tin đặc biệt hoạt động chào hàng, đặt hàng vận chuyển hàng hoá, thủ tục hải quan, thuế… Mặt khác khác biệt tiêu chuẩn công nghiệp thương mại truyền thống thương mại điện tử gây rủi ro khơng mong đợi Đặc biệt hàng hố vơ loại dịch vụ Internet chưa có hệ thống tiêu chuẩn cơng nghiệp để đánh giá xác Một số rủi ro điển hình khác • • • • • • • • • • • Rủi ro hội kinh doanh Rủi ro thay đổi công nghệ Rủi ro liên quan đến thông tin cá nhân Rủi ro bị tài sản thông tin Rủi ro bị đánh cắp danh phận Rủi ro gián đoạn kinh doanh Rủi ro bị tống tiền Rủi ro khủng bố máy tính Rủi ro bị phạt Rủi ro bị khiếu nại Rủi ro bị công Đánh giá rủi ro Đánh giá mức cao cho phép định nghĩa trình tự thứ tự ưu tiên cho hành động Vì nhiều lý khác nhau, ngân sách, nên khơng thể có khả triển khai tất biện pháp đánh giá rủi ro lúc mà giải rủi ro nghiêm trọng thơng qua quy trình xử lý rủi ro Có thể vội vàng để bắt đầu việc quản lý rủi ro chi tiết việc triển khai vạch sau hai năm Để đạt mục tiêu này, việc đánh giá mức cao bắt đầu với việc đánh giả mức cao hậu thay bắt đầu với việc phân tích có hệ thống mối đe dọa, điểm yếu, tài sản hậu Một lý khác để bắt đầu với việc đánh giá mức cao đồng kế hoạch khác có liên quan đến việc thay đổi quản lý (hoặc liên tục nghiệp vụ) Ví dụ: khơng thể đảm bảo hồn tồn an toàn cho hệ thống hay ứng dụng hệ thống hay ứng dụng lên kế hoạch thuê ngồi tương lai gần, có giá trị thực đánh giá rủi ro để xác định hợp đồng th ngồi Những đặc tính chu trình lặp việc đánh giá rủi ro mức cao bao gồm: • Đánh giá rủi ro mức cao đưa tầm nhìn tồn diện tổ chức hệ thống thơng tin tổ chức, xem xét khía cạnh công nghệ cách độc lập với vấn đề nghiệp vụ Theo cách việc phân tích bối cảnh tập trung nhiều vào nghiệp vụ mối trường vận hành so • với yếu tố công nghệ Đánh giá rủi ro mức cao giải danh sách hạn chế đe dọa điểm yếu nhóm lại phạm vi xác định hoặc, để đẩy nhanh quy trình đánh giá, tập trung vào rủi ro • kịch cơng thay tập trung vào thành phần chúng Những rủi ro mà thể đánh giá rủi ro mức cao thường tổng quát rủi ro nhận biết cụ thể Bởi kịch hay mối đe dọa nhóm phạm vi nên việc xử lý rủi ro đưa danh sách biện pháp quản lý phạm vi Các hoạt động xử lý rủi ro trước tiên đưa chọn lựa biện pháp phổ biến mà hợp cho • tồn hệ thống Tuy nhiên, đánh giá rủi ro mức cao giải chi tiết công nghệ nên phù hợp việc đưa biện pháp quản lý mặt tổ chức phi kỹ thuật khía cạnh quản lý biện pháp quản lý kỹ thuật, biện pháp bảo vệ kỹ thuật phổ biến lưu chống virus Ưu điểm việc đánh giá rủi ro mức cao là: • Kết hợp với phương pháp tiếp cận đơn giản khởi đầu đạt • chấp nhận chương trình đánh giá rủi ro Có thể xây dựng hình ảnh chiến lược chương trình an tồn • thơng tin thuộc tổ chức, hoạt động công cụ lập kế hoạch tốt Các nguồn tài nguyên tiền bạc sử dụng nơi có nhiều lợi ích hệ thống có nhu cầu bảo vệ nhiều giải trước tiên Do phân tích rủi ro ban đầu mức cao có khả xác nên nhược điểm tiềm ản số quy trình nghiệp vụ hệ thống khơng xác định cần đánh giá rủi ro chi tiết lần thứ hai Điều tránh có đầy đủ thơng tin khía cạnh tổ chức, thông tin hệ thống tổ chức, bao gồm thông tin thu từ việc đánh giả cố an tồn thơng tin Việc đánh giá rủi ro mức cao xem xét đến giá trị nghiệp vụ tài sản thông tin rủi ro từ quan điểm nghiệp vụ tổ chức Tại điểm định đầu tiên, số yếu tố hỗ trợ cho việc định liệu việc đánh giá mức cao có đủ để xử lý rủi ro hay không, yếu tố bao gồm sau: • Các mục tiêu nghiệp vụ đạt việc sử dụng nhiều tài sản thơng tin • khác Mức nghiệp vụ tổ chức phụ thuộc vào tài sản thông tin , tức liệu chức mà tổ chức xem tối quan trọng tồn tổ chức hiệu quản lý nghiệp vụ CĨ phụ thuộc vào tài sản hay khơng , có phụ thuộc vào tình bí mật , tính tồn vẹn tỉnh sẵn sàng , tính chống chối bỏ , trách nhiệm giải trình , tính xác thực độ tin cậy thơng • tin lưu trữ xử tài sản hay không Mức đầu tư tài sản thông tin, mặt phát triển, trì thay • tài sản Các tài sản thông tin mà tổ chức trực tiếp định giá cho chúng Khi yếu tố đánh giá, định trở nên dễ dàng Nếu mục tiêu tài sản quan trọng hoạt động nghiệp vụ tổ chức, tài sản có độ rủi ro cao chu trình lặp lại lần thứ hai, đánh giá rủi ro chi tiết, cần phải tiến hành tài sản thông tin cụ thể ( phần tài sản ) Một quy tắc chung để áp dụng là: việc thiếu an tồn thơng tin dẫn đến hậu gây thiệt hại lớn cho tổ chức, cho hoạt động nghiệp vụ tài sản tổ chức quy trình lập lại lần thứ hai việc đánh giá rủi ro , mức chi tiết , cần thiết cho việc nhận biết rủi ro tiềm ån 4.1 Đánh giá chi tiết rủi ro an tồn thơng tin Quy trình đánh giá chi tiết rủi ro an tồn thơng tin liên quan đến việc nhận biết định giá chuyên sâu tài sản, đánh giá mối đe dọa tài sản đánh giá điểm yếu Kết từ hoạt động sử dụng để đánh giá rủi ro sau nhận biết phương pháp xử lý rủi ro Bước chi tiết thường đòi hỏi nhiều thời gian, cơng sức chun mơn thích hợp cho hệ thống thơng tin có rủi ro mức cao Các hậu đánh giá theo nhiều cách, kể cách sử dụng phương pháp định lượng ( Ví dụ : tiền tệ ) phương pháp định tính ( dựa việc sử dụng tỉnh từ mức “vừa phải ” hay “ nghiêm trọng ”) , kết hợp hai Cần phải thiết lập khung thời gian tài sản có giá trị cần bảo vệ để đánh giá khả xảy mối đe dọa Khả xảy mối đe dọa cụ thể bị ảnh hưởng điều sau đây: • Sự hấp dẫn tài sản, tác động xảy áp dụng • mối đe dọa có chủ ý người xem xét Sự dễ dàng chuyển đổi việc khai thác điểm yếu tài sản thành lợi nhuận, áp dụng mối đe dọa có chủ ý người • xem xét Khả kỹ thuật tác nhân mối đe dọa, áp dụng mối • đe dọa có chủ ý người Tính nhạy cảm điểm yếu việc khai thác, áp dụng điểm yếu kỹ thuật phí kỹ thuật 4.2 Đánh giá tổng thể