Vì sao Morgan Stanley phát iPhone hạn chế cho nhân viên khi đến Trung Quốc đại lục?

Các ngân hàng quốc tế hoạt động tại Trung Quốc đang thay đổi cách nhân viên truy cập dữ liệu nhạy cảm. Việc Morgan Stanley được cho là cấp iPhone và iPad hạn chế chức năng cho hơn 300 nhân viên ngân hàng đầu tư tại Hong Kong khi họ đi công tác Trung Quốc đại lục cho thấy một chiến lược rõ ràng: nhân viên vẫn có thể liên lạc và làm việc cơ bản, nhưng thiết bị họ mang theo gần như không chứa dữ liệu quan trọng của công ty.

Quyết định này phản ánh cách các định chế tài chính toàn cầu đang thích nghi với môi trường pháp lý mới tại Trung Quốc, nơi các quy định về an ninh mạng, lưu trữ dữ liệu trong nước và chuyển dữ liệu xuyên biên giới ngày càng nghiêm ngặt.

Vì sao Morgan Stanley cấp thiết bị “chỉ dùng tại Trung Quốc”

Theo các nguồn tin quen thuộc với quyết định này, Morgan Stanley đã phát iPhone và iPad có chức năng hạn chế cho hơn 300 nhân viên ngân hàng đầu tư tại Hong Kong thường xuyên sang Trung Quốc đại lục để gặp khách hàng hoặc làm các thương vụ.

Mục tiêu là đảm bảo nhân viên vẫn có thể liên lạc với đồng nghiệp và khách hàng, nhưng thiết bị họ mang vào Trung Quốc không lưu trữ dữ liệu nội bộ hoặc thông tin khách hàng quan trọng.

Trước đây, chính sách “thiết bị sạch” kiểu này thường chỉ áp dụng cho lãnh đạo cấp cao của các công ty phương Tây khi đi đến những khu vực được xem là rủi ro về an ninh mạng. Tuy nhiên, trong trường hợp này, Morgan Stanley reportedly mở rộng cho nhiều cấp nhân sự — từ analyst đến managing director.

Điều đó cho thấy mức độ quan trọng của hoạt động kinh doanh liên quan đến Trung Quốc đối với đội ngũ ngân hàng đầu tư tại Hong Kong.

Các thiết bị này bị giới hạn như thế nào?

Những chiếc iPhone và iPad dùng khi đi công tác được quản lý chặt bởi hệ thống CNTT của ngân hàng và ít chức năng hơn nhiều so với điện thoại công việc thông thường.

Theo các báo cáo hiện có, chúng chủ yếu cho phép:

• Truy cập email công việc
• Sử dụng các ứng dụng họp trực tuyến

Những chức năng khác — như truy cập cơ sở dữ liệu nội bộ, tải các tệp lớn hoặc kết nối với các hệ thống doanh nghiệp quan trọng — được hạn chế hoặc không có trên thiết bị này. Tuy nhiên, cấu hình kỹ thuật chi tiết chưa được công bố công khai.

Cách tiếp cận này tuân theo nguyên tắc phổ biến trong an ninh mạng doanh nghiệp: “mang càng ít dữ liệu càng tốt”. Nếu thiết bị bị mất, bị kiểm tra hoặc bị xâm nhập, lượng thông tin nhạy cảm có thể lộ ra sẽ ở mức tối thiểu.

Bối cảnh pháp lý: Luật dữ liệu của Trung Quốc

Trong hơn một thập kỷ qua, Trung Quốc đã xây dựng một hệ thống luật toàn diện về an ninh mạng và quản trị dữ liệu, ảnh hưởng trực tiếp đến cách doanh nghiệp quốc tế xử lý thông tin trong nước.

Ba trụ cột chính gồm:

• Luật An ninh mạng (2017) – đặt nền tảng cho quản lý an ninh mạng và dữ liệu tại Trung Quốc.
• Luật An ninh Dữ liệu (2021) – phân loại dữ liệu theo mức độ nhạy cảm và kiểm soát chặt việc chuyển dữ liệu ra nước ngoài.
• Luật Bảo vệ Thông tin Cá nhân – PIPL (2021) – điều chỉnh việc thu thập, xử lý và chuyển dữ liệu cá nhân, thậm chí có thể áp dụng ngoài lãnh thổ trong một số trường hợp.

Hệ thống này thường yêu cầu một số loại dữ liệu phải được lưu trữ trong lãnh thổ Trung Quốc và việc chuyển dữ liệu ra nước ngoài phải trải qua các quy trình đánh giá hoặc phê duyệt.

Một số phân tích của chính phủ Mỹ cũng cho rằng dữ liệu lưu trữ trong nước có thể bị cơ quan chức năng Trung Quốc tiếp cận theo khung pháp lý về an ninh quốc gia, điều khiến các công ty nước ngoài đặc biệt thận trọng với thông tin nhạy cảm.

Xu hướng rộng hơn trong ngành tài chính quốc tế

Chính sách thiết bị của Morgan Stanley không phải là trường hợp riêng lẻ. Nhiều ngân hàng đa quốc gia đang điều chỉnh hệ thống công nghệ để vừa tuân thủ quy định tại Trung Quốc vừa bảo vệ hoạt động toàn cầu của mình.

Một số biện pháp phổ biến gồm:

• xây dựng hệ thống dữ liệu riêng cho Trung Quốc tách khỏi mạng toàn cầu
• hạn chế luồng thông tin nội bộ giữa Trung Quốc và trụ sở quốc tế
• đầu tư hạ tầng lưu trữ dữ liệu ngay tại Trung Quốc

Trước đó, Morgan Stanley cũng đã chuyển hơn 200 kỹ sư công nghệ ra khỏi Trung Quốc đại lục sau khi các quy định mới hạn chế quyền truy cập vào dữ liệu lưu trữ trong nước. Nhiều người được chuyển sang Hong Kong và Singapore.

Điều chính sách này cho thấy về rủi ro địa chính trị

Việc sử dụng thiết bị “sạch dữ liệu” ngày càng phổ biến khi doanh nghiệp hoạt động giữa các hệ thống pháp lý và chính trị khác nhau.

Trong bối cảnh quan hệ Mỹ – Trung căng thẳng hơn, nhiều tập đoàn chọn cách giảm thiểu rủi ro thay vì rút hoàn toàn khỏi thị trường Trung Quốc. Các chiến lược thường thấy gồm:

• phân tách hệ thống công nghệ
• hạn chế truy cập dữ liệu nhạy cảm
• cấp thiết bị riêng cho các chuyến công tác
• tách hạ tầng dữ liệu Trung Quốc khỏi mạng toàn cầu

Với các ngân hàng đầu tư toàn cầu, mục tiêu khá rõ: tiếp tục kinh doanh tại một trong những thị trường lớn nhất thế giới, nhưng giảm nguy cơ dữ liệu khách hàng, chiến lược hoặc giao dịch bị lộ do quy định pháp lý, kiểm tra thiết bị hoặc rủi ro an ninh mạng.

Nếu môi trường pháp lý và địa chính trị tiếp tục phức tạp hơn, các chính sách thiết bị “chỉ dùng khi đi công tác” như của Morgan Stanley có thể trở thành chuẩn mực mới trong ngành tài chính quốc tế.