Yêu cầu bảo mật cao
Theo quy định tại Điều 7 Thông tư 134 về an ninh bảo mật thông tin và lưu trữ dữ liệu của tổ chức cung cấp dịch vụ giao dịch chứng khoán trực tuyến, trang thông tin điện tử, hệ thống thư điện tử của tổ chức này phải được xác thực bởi chứng thư số.
Khoản 1, Điều 8, Thông tư 134 quy định về xác thực ghi rõ, các giải pháp xác thực áp dụng trong giao dịch chứng khoán phải có độ an toàn tối thiểu tương đương giải pháp xác thực hai yếu tố trở lên.
Các giải pháp bao gồm: giải pháp xác thực hai yếu tố; giải pháp xác thực sử dụng chứng thư số và các giải pháp xác thực khác được pháp luật cho phép, phù hợp với các quy định của cơ quan có thẩm quyền.
Trong đó, xác thực hai yếu tố theo định nghĩa tại Khoản 5, Điều 3, Thông tư 134 là phương pháp xác thực yêu cầu hai yếu tố để chứng minh tính đúng đắn của một danh tính.
Xác thực hai yếu tố dựa trên những thông tin mà người dùng biết như số PIN, mã khóa bí mật cùng với những thông tin mà người dùng có như thẻ thông minh, thiết bị token, điện thoại di động, hoặc những dấu hiệu sinh trắc học của người dùng để xác minh danh tính.
Trường hợp nhà đầu tư đặt lệnh qua điện thoại, Thông tư yêu cầu nhà đầu tư phải sử dụng số điện thoại đặt lệnh (đã đăng ký trước) và cung cấp (chính xác) tối thiểu các thông tin: số tài khoản giao dịch, thông tin xác thực theo quy định.
Điều 9 về phiếu lệnh điện tử của Thông tư 134 quy định, phiếu lệnh điện tử phải có tối thiểu các thông tin: số hiệu lệnh, loại lệnh, số tài khoản đặt lệnh, phương thức giao dịch, mã chứng khoán hoặc tên chứng khoán, số lượng và giá giao dịch, thời gian giao dịch (năm, tháng, ngày, giờ, phút), thiết bị đặt lệnh, địa chỉ vật lý của thiết bị đặt lệnh hoặc thông tin nhận dạng khác đảm bảo tính duy nhất của thiết bị đặt lệnh; phiếu lệnh hủy phải có thông tin về số hiệu lệnh, khối lượng hủy và xác nhận lệnh hủy.
Đặc biệt, phiếu lệnh điện tử phải được ký bằng chữ ký số hoặc gắn liền, kết hợp một cách logic với thông tin xác thực của nhà đầu tư theo quy định tại Điều 8, Thông tư này, trước khi được gửi vào hệ thống.
Như vậy, với quy định về phiếu lệnh điện tử, một lệnh giao dịch của nhà đầu tư sẽ chỉ được xác nhận khi đảm bảo có độ an toàn tương đương giải pháp xác thực hai yếu tố trở lên, có chữ ký số, ngoài các quy định thông thường về tính hợp lệ của lệnh liên quan đến khối lượng, giá, tiền… So với quy định cũ, yêu cầu bảo mật này cao hơn rất nhiều.
Cả công ty chứng khoán và nhà đầu tư đều than phiền
Trao đổi với phóng viên Báo Đầu tư Chứng khoán, phụ trách môi giới một công ty chứng khoán chia sẻ, Công ty đã áp dụng xác thực hai yếu tố theo hình thức một mã giao dịch tĩnh, một giao dịch một lần qua hình thức gửi mật khẩu giao dịch một lần (OTP). Tuy nhiên, chỉ trong vòng một tuần, một loạt nhân viên môi giới gửi phản hồi về công ty, than phiền vì sự bất cập.
“Khi phục vụ giao dịch, chúng tôi phải đảm bảo sẵn sàng đặt lệnh cho khách. Rất nhiều nhà đầu tư có ký hợp đồng ủy quyền đặt lệnh cho môi giới, vì không phải lúc nào họ cũng canh đặt lệnh khi thị trường lên xuống được. Nhưng việc đặt mật khẩu OTP khiến môi giới gặp khó”, một nhân viên môi giới cho biết.
Với các nhà đầu tư, việc phải chờ nhận mã số OTP mỗi lần giao dịch dẫn đến tình trạng tốc độ đặt lệnh giảm mạnh, do phải chờ tin nhắn/email gửi mật khẩu giao dịch.
“Nếu đường truyền mạng thông suốt thì không sao, chẳng may đặt lệnh tại nơi mạng điện thoại yếu, hoặc vì lý do trục trặc nào đó, mã OTP báo chậm, thì nhà đầu tư có thể phải chờ lâu, thậm chí không thể giao dịch.
Câu chuyện này cũng tương tự trường hợp nhà đầu tư dùng thẻ ma trận là phương thức bảo mật thứ hai. Đối với phiên giao dịch khớp lệnh định kỳ hoặc ở thời điểm cần giao dịch nhanh để tận dụng cơ hội, thì đây thực sự là một trở ngại không nhỏ”, một nhà đầu tư nói.
Cả khách hàng và môi giới cảm thấy khó khăn hơn nữa khi công ty chứng khoán áp dụng quy định mới về bảo mật, thông qua hình thức xác thực chữ ký số.
Giám đốc công nghệ thông tin của một công ty chứng khoán lớn cho hay, đến thời điểm này, dù đã qua 1 tháng kể từ thời điểm Thông tư 134 có hiệu lực, nhiều công ty chứng khoán lớn vẫn chưa áp dụng chữ ký số để xác thực phiếu đặt lệnh điện tử của khách hàng, vì sự bất tiện của quy định mới.
Theo đó, với quy định về giao dịch điện tử trước đây, nhà đầu tư có thể đặt lệnh ở bất kỳ đâu: trên máy tính, iPad, điện thoại… Tính linh hoạt của giao dịch điện tử sẽ không còn nếu nhà đầu tư bắt buộc phải lựa chọn chữ ký số áp dụng cho máy tính (thông qua USB), hoặc điện thoại (tích hợp trên sim điện thoại - hiện nay Việt Nam chưa áp dụng).
Chi phí cho một loại hình chữ ký số vào khoảng vài trăm nghìn đồng/năm. Quy định mới dẫn đến việc nhà đầu tư sẽ phải ôm khư khư điện thoại, máy tính bên mình, hoặc phải chấp nhận chi trả gấp đôi chi phí nếu muốn có tính linh hoạt cao khi giao dịch.
Đương nhiên, với việc áp dụng chữ ký số, nhà đầu tư sẽ không thể nhờ môi giới đặt lệnh trong tình huống cần thiết, trừ việc giao dịch qua điện thoại - một hình thức thủ công mà từ lâu nhà đầu tư không còn muốn áp dụng, vì độ chậm trễ và mất thời gian.
Trở ngại của việc áp dụng bắt buộc chữ ký số cùng với bảo mật hai lớp là khiến nhà đầu tư không thể ủy quyền giao dịch trong tình huống cần thiết, bị chậm trong quá trình giao dịch, tốn chi phí và phải luôn nhớ cắm, rút, mang theo USB xác thực.
Giám đốc môi giới của công ty chứng khoán lớn chưa áp dụng quy định theo Thông tư 134 cho rằng, yêu cầu cần có chữ số khi giao dịch chứng khoán điện tử là không cần thiết.
“Chúng tôi có 130.000 tài khoản khách hàng, từ xưa đến nay cho phép khách hàng được dùng hệ thống bảo mật hai lớp, với lựa chọn cho khách hàng là mật khẩu tĩnh và động, nhưng chưa khi nào xảy ra phiền phức hay khiếu kiện.
Tại Hội nghị thành viên thị trường vừa qua, một số công ty chứng khoán than phiền khi thời gian giao dịch của khách hàng bị kéo dài vì OTP.
Tôi cho rằng, khi có hai mật khẩu và yêu cầu nhập mật khẩu thứ hai sau mỗi lần đặt lệnh là đảm bảo an toàn. Thị trường cần nhanh và hiện đại, chứ không nên quá cẩn trọng đến mức gây ảnh hưởng đến khả năng giao dịch của nhà đầu tư”, vị giám đốc môi giới trên nói
Tổng giám đốc một công ty chứng khoán thuộc Top 5 về thị phần môi giới nhận xét: “Xác thực chữ ký số và OTP thông thường chỉ áp dụng với các giao dịch không cần tốc độ nhanh. Chúng ta vẫn có nhiều hình thức bảo vệ nhà đầu tư, trong đó quan trọng nhất là bảo vệ tiền, bằng cách hạn chế số tiền chuyển khoản online và chỉ được phép chuyển online đến tài khoản chỉ định từ trước.
Còn đối với giao dịch, tôi nghĩ rằng, quan trọng nhất vẫn là tính bảo mật của hệ thống, chứ không phải những quy định quá cẩn trọng, vì nó làm cản trở yêu cầu của nhà đầu tư là nhanh và kịp thời khi muốn giao dịch điện tử”.
Sẽ kiến nghị sửa đổi quy định
Trao đổi với phóng viên Báo Đầu tư Chứng khoán, một lãnh đạo Ủy ban Chứng khoán Nhà nước cho biết, Thông tư 134 được Bộ Tài chính ban hành trên cơ sở hướng dẫn các quy định tại Nghị định 27/2007/NĐ-CP, Nghị định 156/2017/NĐ-CP, Luật Giao dịch điện tử và các văn bản pháp luật khác có liên quan.
“Chúng tôi cũng đã ghi nhận một số phản hồi của các công ty chứng khoán về những bất cập khi triển khai quy định mới. Ủy ban sẽ tổ chức lấy ý kiến các thành viên để đưa ra kiến nghị sửa đổi lên Bộ Tài chính cho phù hợp nhất với thực tiễn”, lãnh đạo Ủy ban Chứng khoán Nhà nước nói.
