Chuẩn hoá công nghệ thông tin chứng khoán: Nền tảng để bứt phá

Uỷ ban Chứng khoán Nhà nước (UBCK) đang lấy ý kiến các thành viên thị trường để chuẩn bị trình Bộ Tài chính ban hành thông tư quy định về yêu cầu hệ thống công nghệ thông tin (CNTT) của các CTCK. Đây là một bước đi dù chậm nhưng rất cần thiết trong việc nâng cao tính chuyên nghiệp cũng như khả năng phục vụ NĐT. Về vấn đề này, ĐTCK đã có cuộc trao đổi với ông Võ Việt Anh, Trưởng phòng Công nghệ thông tin, CTCK Sài Gòn (SSI).

Ông Võ Việt Anh, Trưởng phòng Công nghệ thông tin, CTCK Sài Gòn

TTCK Việt Nam đã chính thức hoạt động đến năm thứ 9, số lượng CTCK cũng đã lên đến hàng trăm, nay chúng ta mới dự thảo văn bản quy định đầu tiên về hệ thống CNTT của các CTCK. Phải chăng đã là quá muộn?

Đúng là rất cần một văn bản như vậy từ lâu. Chúng ta đều biết rằng, hoạt động của các CTCK phụ thuộc hầu như hoàn toàn vào hệ thống máy tính. Đặc điểm hoạt động của ngành chứng khoán là khối lượng giao dịch rất lớn với yêu cầu thời gian đặc biệt cấp bách nên bắt buộc phải có sự hỗ trợ của máy tính, rủi ro công nghệ vì vậy cũng rất cao, nhưng đến nay chúng ta vẫn chưa có một quy định cụ thể nào để chuẩn hóa và làm “yên lòng” NĐT cũng như các tổ chức giám sát. Dự thảo thông tư mới chính là một bước tiến quan trọng theo hướng này.

Ông đánh giá như thế nào về những nội dung được đề cập tại của dự thảo thông tư trên?

Dự thảo đưa ra các quy định (tối thiểu) về mặt tổ chức hệ thống, về hạ tầng CNTT, về an ninh bảo mật và các phần mềm được áp dụng; yêu cầu về nhân lực và trách nhiệm báo cáo của các CTCK về hệ thống CNTT của mình.

Tuy nhiên, đây mới chỉ là các quy định chung mang tính nguyên tắc nhiều hơn là những chỉ dẫn hay tiêu chuẩn cụ thể. Có thể nói, hầu hết quy định trong dự thảo đều được các tổ chức tốt áp dụng, ở nhiều điểm một số tổ chức còn đi xa hơn thế.

Ông có thể đưa ra một số ví dụ cụ thể?

Ví dụ như yêu cầu về an ninh bảo mật. Trong dự thảo mới chỉ đưa ra yêu cầu về việc sử dụng các hệ thống tường lửa, phần mềm anti-virus, phân vùng một cách chung chung mà chưa đề cập đến các yếu tố khác đặc biệt quan trọng, như chứng thực người dùng hay phân quyền truy cập.

Tại SSI, không chỉ người dùng phải chứng thực khi sử dụng máy tính mà ngay cả máy tính và các thiết bị khác cũng phải được xác định là đúng của SSI mới kết nối được vào được mạng nội bộ và mới có thể bắt đầu truy cập được về mặt vật lý. Ngoài ra, dữ liệu trên máy chủ của chúng tôi đều được cách ly bảo vệ trong các vùng đặc biệt và chỉ có người được cấp quyền từ vị trí nhất định mới có thể truy cập được các dữ liệu này. Đó là chưa nói tới các thiết bị giám sát tự động và lưu vết mọi truy cập để kiểm tra tại SSI.

Gần đây, công chúng thường xôn xao bởi các thông tin về tin tặc xâm nhập website, có thể thay đổi kết quả giao dịch. Ngoài việc bảo mật cho khách hàng thì dự thảo nên quy định điều gì nữa để chống lại các nguy cơ từ tin tặc?

Như chúng ta biết, an ninh bảo mật bao giờ cũng là một vấn đề toàn diện. Cũng giống như một thùng đựng nước, bất kỳ một lỗ hổng nào cũng có thể làm nước chảy ra ngoài. An ninh cho hệ thống CNTT cũng vậy; bạn phải áp dụng liên hoàn nhiều biện pháp, trên tất cả mọi khía cạnh. Chẳng hạn, ngoài việc áp dụng triệt để mã hóa, mật khẩu một lần, chúng tôi còn cách ly các máy chủ vào vùng “phi quân sự”, “che chắn”, kiểm soát bởi tường lửa của CheckPoint, áp dụng hệ thống phòng vệ tự động...

Trong dự thảo cũng có đề cập đến vấn đề dò quét các lỗ hổng an ninh, nhưng việc thực hiện thế nào thì vẫn còn bỏ ngỏ. Ngoài việc tự đánh giá và kiểm tra định kỳ, tôi cho rằng, việc hệ thống CNTT của các CTCK được kiểm định bởi các tổ chức tư vấn an ninh có uy tín là hết sức cần thiết.

Gần đây, khi thị trường “nóng lên”, rất nhiều NĐT đã phàn nàn về việc không thể truy cập vào bảng giá hay phần mềm giao dịch của các CTCK. Đâu là nguyên nhân, thưa ông?

Khi thị trường nóng lên và đặc biệt là khi thị trường đảo chiều, số lượng lệnh sẽ gia tăng đột biến. Một hệ thống được thiết kế để đáp ứng tốt hàng chục nghìn giao dịch mỗi ngày có thể hoàn toàn quá tải nếu chỉ một nửa số giao dịch đó diễn ra trong vòng vài phút! Đây là vấn đề khả năng mở rộng hiệu năng một cách nhanh chóng, hiệu quả và cũng là một vấn đề kỹ thuật rất hóc búa.

Ở SSI, chúng tôi bắt đầu bằng việc đầu tư vào một hạ tầng mạng băng thông rộng xuyên suốt toàn quốc; kết hợp với công nghệ phân tải tự động, chúng tôi có thể linh hoạt chạy nhiều hệ thống song song nhằm nâng cao độ an toàn hay ghép băng thông và máy chủ để nâng cao năng lực phục vụ vào giờ cao điểm. Dự thảo mới chỉ đề cập đến khả năng mở rộng chứ chưa đi cụ thể vào vấn đề này.

Tuy nhiên, chúng ta cũng cần chú ý đến tính đồng bộ của cả hệ thống. Ví dụ như hạ tầng mạng ở phía khách hàng hay đầu mối HASTC. Hiện nay, các CTCK vẫn phải nhập lệnh bằng tay vào hệ thống của sàn Hà Nội; khi thị trường đảo chiều, chắc chắn sẽ có rất nhiều lệnh bị ùn tắc. Tôi nghĩ HASTC cần nhanh chóng nâng cấp hệ thống của mình để các công ty có thể nhập lệnh điện tử trực tuyến. Có như vậy mới giải quyết được tận gốc vấn đề.

Việc đáp ứng các yêu cầu của dự thảo liệu có tốn kém không, thưa ông?

Rõ ràng là các CTCK phải đầu tư vào đường truyền, vào thiết bị, vào phần mềm và an ninh bảo mật với chi phí không nhỏ. Tuy nhiên, tôi nghĩ những tổ chức muốn vươn lên cạnh tranh lành mạnh lâu dài phải nhìn nhận đây là đầu tư chứ không phải chỉ là chi phí. Ban lãnh đạo SSI hoàn toàn quán triệt quan điểm này và vì thế chúng tôi đã đầu tư hàng triệu USD mỗi năm cho hệ thống CNTT của mình.

Tháng tới, chúng tôi sẽ đưa vào hoạt động một hệ thống Contact Center hiện đại với hơn 100 bàn, lớn nhất trong các CTCK hiện nay.