Ngân hàng DBS (Singapore, 2023): năm lần gián đoạn dịch vụ số và lệnh tạm dừng mọi thay đổi CNTT không thiết yếu trong sáu tháng
Năm 2023, ngân hàng lớn nhất Singapore gặp năm lần gián đoạn dịch vụ lớn. Ngày 14/10, hệ thống làm mát của một trung tâm dữ liệu dùng chung hỏng và DBS không chuyển sang được trung tâm dự phòng vì cấu hình mạng sai. Ngày 1/11/2023, Cơ quan Tiền tệ Singapore (MAS) buộc DBS dừng mọi thay đổi CNTT không thiết yếu trong sáu tháng và cấm mua lại mảng kinh doanh mới. Bài học về rủi ro vận hành, kế hoạch dự phòng chưa được kiểm chứng và tốc độ thay đổi.
Bối cảnh thực tế
DBS là ngân hàng lớn nhất Singapore và nổi tiếng với chiến lược chuyển đổi số mạnh. Phần lớn giao dịch của khách hàng cá nhân diễn ra trên ứng dụng và ngân hàng trực tuyến, nên mỗi lần hệ thống ngừng là hàng triệu người bị ảnh hưởng.
Theo thông cáo của Cơ quan Tiền tệ Singapore (MAS) và câu trả lời của MAS trước Quốc hội Singapore:
- Năm 2023, DBS có năm lần gián đoạn dịch vụ lớn: 29/3, 5/5, 26/9, 14/10 và 20/10.
- Tháng 4/2023, sau sự cố tháng 3, MAS yêu cầu DBS thuê bên thứ ba độc lập rà soát con người, quy trình và công nghệ của dịch vụ ngân hàng số. Sau hai sự cố tháng 3 và tháng 5, MAS áp hệ số nhân 1,8 lần lên tài sản có rủi ro cho rủi ro vận hành (tức buộc giữ thêm vốn).
- Bản rà soát chỉ ra thiếu sót ở bốn mảng: khả năng phục hồi của hệ thống, quản lý sự cố, quản lý thay đổi, và quản trị – giám sát rủi ro công nghệ.
- Ngày 14/10/2023, hệ thống làm mát của một trung tâm dữ liệu chứa hệ thống của cả DBS và Citibank bị hỏng, nhiệt độ vượt ngưỡng nên máy chủ tự ngắt. Cả hai ngân hàng kích hoạt kế hoạch khôi phục nhưng không phục hồi được hoàn toàn tại trung tâm dự phòng; DBS nêu nguyên nhân là cấu hình mạng sai.
- Từ khoảng 14 giờ 54 ngày 14/10 đến 4 giờ 47 sáng 15/10, ước tính tới 810.000 lượt truy cập nền tảng số của hai ngân hàng thất bại và khoảng 2,5 triệu giao dịch thanh toán, ATM không thực hiện được. DBS bắt đầu khôi phục dần từ 20 giờ 21.
- Quy định của MAS yêu cầu khôi phục hệ thống trọng yếu trong 4 giờ và tổng thời gian ngừng ngoài kế hoạch không quá 4 giờ trong 12 tháng; MAS cho biết cả hai ngân hàng không đáp ứng.
- Ngày 1/11/2023, MAS yêu cầu DBS tạm dừng sáu tháng mọi thay đổi hệ thống CNTT trừ bảo mật, tuân thủ quy định và quản trị rủi ro; không mua lại mảng kinh doanh mới; không thu hẹp mạng lưới chi nhánh, ATM. Việc tái cấu trúc hệ thống có thể mất tới 24 tháng. Cuối tháng 4/2024, MAS quyết định không gia hạn lệnh tạm dừng nhưng giữ hệ số 1,8.
