Thêm eKYC vào ứng dụng không chỉ là gắn một bộ công cụ chụp giấy tờ và quét khuôn mặt; đó là quyết định doanh nghiệp sẽ thu dữ liệu sinh trắc của khách, giao cho ai xử lý, và chấp nhận loại oan bao nhiêu người dùng thật. Câu hỏi đầu tiên nên là "có thật sự cần không", câu thứ hai là "cần đến mức nào", rồi mới tới "chọn dịch vụ nào".
Bài này viết cho người làm sản phẩm, trưởng nhóm kỹ thuật, chủ doanh nghiệp đang xây ứng dụng cho thuê, sàn giao dịch, dịch vụ tài chính, nền tảng tuyển cộng tác viên. Bài không giới thiệu nhà cung cấp nào và không bàn giá; chỉ đưa khung để bạn tự đánh giá. Ngành có quy định riêng về định danh khách hàng như ngân hàng, ví điện tử, chứng khoán, viễn thông cần đối chiếu yêu cầu của cơ quan quản lý ngành ở thời điểm triển khai.
Khi nào cần eKYC và khi nào là thu quá tay
Có nhóm doanh nghiệp bắt buộc định danh khách theo quy định ngành, với yêu cầu cụ thể về giấy tờ, đối chiếu, lưu trữ. Với nhóm này, câu hỏi không phải có làm hay không mà là làm sao đạt yêu cầu và vẫn giữ được trải nghiệm. Nhóm còn lại, như ứng dụng đặt dịch vụ, nền tảng cộng đồng, cửa hàng trực tuyến, thường không bắt buộc, và nên tự hỏi rủi ro mình muốn chặn là gì.
Nếu rủi ro là tài khoản ảo hàng loạt, xác minh số điện thoại, email và giới hạn hành vi có thể đã đủ. Nếu rủi ro là người bán lừa đảo trên sàn, có thể chỉ cần định danh người bán chứ không phải mọi người mua. Nếu rủi ro là cho thuê tài sản giá trị cao, định danh đầy đủ có lý. Mỗi bậc định danh cao hơn kéo theo nhiều dữ liệu nhạy cảm hơn, nhiều nghĩa vụ hơn, và nhiều người dùng bỏ dở hơn.
Nguyên tắc thu vừa đủ của pháp luật bảo vệ dữ liệu cá nhân áp dụng cả ở đây. Thu ảnh khuôn mặt và ảnh căn cước của toàn bộ người dùng chỉ để "cho chắc" là tạo ra một kho dữ liệu sinh trắc mà doanh nghiệp phải bảo vệ suốt đời sản phẩm, trong khi lợi ích có thể đạt được bằng cách nhẹ hơn.
Các khối của một luồng eKYC
Chụp và đọc giấy tờ. Người dùng chụp hai mặt giấy tờ, hệ thống nhận dạng chữ để lấy thông tin, kiểm ảnh có bị chỉnh sửa, bị chụp lại từ màn hình hay không. Chất lượng phụ thuộc nhiều vào hướng dẫn chụp và điện thoại của người dùng.
Đọc chip giấy tờ. Với căn cước gắn chip và hộ chiếu điện tử, điện thoại có kết nối tầm gần đọc được dữ liệu và ảnh lưu trong chip kèm chữ ký điện tử của cơ quan cấp. Đây là khối làm khó việc dùng giấy tờ giả nhất, nhưng không phải điện thoại nào cũng hỗ trợ.
So khớp khuôn mặt. So ảnh chụp người dùng với ảnh trên giấy tờ hoặc trong chip. Ngưỡng đặt cao hay thấp quyết định số người bị nhận nhầm và số người bị từ chối oan.
Kiểm tra người sống. Xác định khuôn mặt trước camera là người thật đang có mặt, không phải ảnh, video, mặt nạ. Có kiểu yêu cầu người dùng làm động tác, có kiểu kiểm thụ động. Thời AI, khối này phải chống được cả hình ảnh giả được chèn thẳng vào luồng camera.
Đối chiếu nguồn dữ liệu và chấm rủi ro. Tuỳ quy định và quyền được cấp, một số luồng đối chiếu với nguồn dữ liệu chính thức. Kết quả các khối được gộp lại thành quyết định chấp nhận, từ chối hay chuyển người duyệt.
Câu hỏi nên đặt cho nhà cung cấp dịch vụ
Danh sách dưới đây dùng khi làm việc với bất kỳ nhà cung cấp nào. Câu trả lời bằng văn bản, kèm phụ lục hợp đồng, có giá trị hơn tài liệu giới thiệu.
- Ảnh giấy tờ, ảnh khuôn mặt, mẫu khuôn mặt được lưu ở đâu, ở quốc gia nào, trong bao lâu, và có thể cấu hình thời hạn lưu không?
- Nhà cung cấp có dùng dữ liệu người dùng của chúng ta để huấn luyện hay cải thiện mô hình không? Nếu có, tắt được không?
- Kiểm tra người sống được đánh giá độc lập theo chuẩn nào, chống được loại tấn công nào, bao gồm chèn hình ảnh giả vào luồng camera?
- Tỷ lệ chấp nhận nhầm và từ chối nhầm đo trên tập dữ liệu nào, có tách theo độ tuổi, điều kiện ánh sáng, dòng điện thoại phổ biến ở Việt Nam không?
- Khi người dùng yêu cầu xoá dữ liệu, quy trình xoá ở phía nhà cung cấp ra sao và mất bao lâu?
- Khi xảy ra sự cố lộ dữ liệu ở phía nhà cung cấp, họ thông báo cho doanh nghiệp trong bao lâu, gồm những thông tin gì?
- Nhà cung cấp có dùng bên thứ ba khác để xử lý dữ liệu không, đó là ai?
- Khi ngừng hợp đồng, dữ liệu được trả lại hay xoá như thế nào, có xác nhận bằng văn bản không?
Nếu nhà cung cấp không trả lời rõ những câu về dữ liệu, đó là thông tin quan trọng hơn mọi chỉ số độ chính xác họ đưa ra.
Chỉ số cần đo khi chạy thử
Đừng chỉ tin số liệu trong tài liệu giới thiệu. Chạy thử với người dùng thật của bạn, trong điều kiện thật, và đo ít nhất các chỉ số sau. Con số mục tiêu tuỳ sản phẩm, bảng chỉ nêu ý nghĩa.
| Chỉ số | Ý nghĩa | Cách đo khi thử |
|---|---|---|
| Tỷ lệ hoàn thành | Bao nhiêu người bắt đầu và đi hết luồng | Đếm theo từng bước để biết người dùng bỏ ở đâu |
| Tỷ lệ từ chối nhầm | Người thật, giấy tờ thật nhưng bị từ chối | Mời nhóm thử đa dạng độ tuổi, điện thoại, ánh sáng; đếm số lần bị từ chối |
| Tỷ lệ chấp nhận nhầm | Người không đúng giấy tờ nhưng lọt qua | Nhóm kiểm thử nội bộ làm theo kịch bản được phép, trong môi trường thử nghiệm |
| Thời gian hoàn tất | Từ lúc bắt đầu tới khi có kết quả | Đo trung vị và trường hợp chậm, trên mạng di động thật |
| Tỷ lệ phải chuyển người duyệt | Bao nhiêu hồ sơ hệ thống không tự quyết được | Ước lượng khối lượng việc cho nhóm duyệt thủ công |
Kiểm thử chấp nhận nhầm chỉ làm trong môi trường thử nghiệm, theo kịch bản nhà cung cấp đồng ý, với dữ liệu của chính nhóm kiểm thử. Không dùng giấy tờ, khuôn mặt của người khác dù để thử.
Thiết kế luồng để người dùng thật không bị loại oan
Một luồng eKYC tốt không chỉ chặn được kẻ gian mà còn không chặn nhầm người cao tuổi, người dùng điện thoại cũ, người ở nơi mạng yếu.
- Giải thích trước bằng một màn hình ngắn: sẽ chụp gì, vì sao, dữ liệu dùng vào đâu, lưu bao lâu.
- Hướng dẫn chụp cụ thể: đặt giấy tờ trên mặt phẳng tối màu, tránh loá đèn, chụp đủ bốn góc; với bước khuôn mặt, ngồi chỗ sáng, tháo kính râm, khẩu trang.
- Báo lỗi rõ ràng, nói người dùng cần làm gì khác chứ không chỉ "xác minh thất bại".
- Giới hạn số lần thử, nhưng sau vài lần thất bại thì đưa ra lối khác như chuyển người duyệt, xác minh tại điểm giao dịch, hay gọi lại hỗ trợ.
- Cho phép người dùng dừng giữa chừng và tiếp tục sau mà không phải chụp lại từ đầu, nếu quy định cho phép.
- Có kênh hỗ trợ cho người dùng không làm được trên điện thoại, đặc biệt người cao tuổi và người khuyết tật.
- Sau khi ra mắt, theo dõi tỷ lệ từ chối theo nhóm thiết bị, khung giờ, để phát hiện chỗ luồng đang loại oan người dùng.
Mỗi người dùng thật bị từ chối oan vừa là một khách hàng mất đi, vừa là một người có thể chuyển sang tìm "dịch vụ làm hộ" ngoài luồng, đúng thứ mà eKYC muốn chặn.
Dữ liệu sinh trắc và hợp đồng xử lý dữ liệu
Khi tích hợp dịch vụ eKYC bên ngoài, doanh nghiệp thường là bên quyết định mục đích xử lý dữ liệu, còn nhà cung cấp là bên xử lý theo yêu cầu. Quan hệ đó cần được ghi trong hợp đồng: phạm vi xử lý, nơi lưu, thời hạn, biện pháp bảo vệ, nghĩa vụ thông báo sự cố, xoá khi kết thúc. Nghĩa vụ cụ thể theo pháp luật bảo vệ dữ liệu cá nhân hiện hành, nhất là với dữ liệu sinh trắc và với dữ liệu chuyển ra nước ngoài, nên được người có chuyên môn rà trước khi ký.
Phía doanh nghiệp cũng phải tự giữ phần của mình: không lưu thêm bản sao ảnh khuôn mặt, ảnh giấy tờ trong hệ thống nội bộ nếu không cần; nhật ký hệ thống không ghi nguyên ảnh hay số giấy tờ; nhân viên hỗ trợ khách chỉ xem được phần thông tin cần cho việc hỗ trợ. Rất nhiều vụ lộ dữ liệu không xảy ra ở nhà cung cấp eKYC mà ở bảng quản trị nội bộ của doanh nghiệp tích hợp.
Phần AI: chống hình ảnh giả và hỗ trợ nhóm sản phẩm
Về AI, có hai mặt. Mặt phòng thủ: hình ảnh và video giả ngày càng giống thật, nên khả năng chống hình ảnh giả và chống chèn luồng camera là tiêu chí hàng đầu khi chọn dịch vụ, và cần được rà lại định kỳ chứ không chỉ một lần khi ký hợp đồng. Mặt hỗ trợ: chatbot giúp nhóm sản phẩm soạn màn hình giải thích, câu hỏi cho nhà cung cấp, kịch bản kiểm thử. Câu lệnh mẫu: "Bạn là người viết nội dung cho ứng dụng cho thuê thiết bị. Hãy viết màn hình giải thích ngắn trước bước chụp căn cước và khuôn mặt: vì sao cần, dữ liệu dùng vào đâu, lưu bao lâu, người dùng có thể yêu cầu xoá ra sao. Giọng thân thiện, dưới tám mươi chữ." Không dán dữ liệu người dùng thật vào chatbot khi làm những việc này.
Một điểm hay bị quên là theo dõi sau khi mở tài khoản. eKYC chỉ kiểm một lần ở cửa vào; kẻ gian đã lọt qua sẽ để lại dấu vết ở hành vi về sau, như đổi số điện thoại ngay sau khi xác minh, đăng nhập từ thiết bị lạ, giao dịch dồn dập bất thường. Kết hợp kết quả eKYC với tín hiệu hành vi, và cho phép yêu cầu xác minh lại khi có dấu hiệu rủi ro, giúp luồng định danh không phụ thuộc hoàn toàn vào một khoảnh khắc trước camera. Những tín hiệu này cũng là dữ liệu cá nhân, nên chỉ thu những gì cần cho việc phát hiện rủi ro và thông báo rõ trong chính sách quyền riêng tư.
Câu hỏi thường gặp
Doanh nghiệp nhỏ có nên tự xây eKYC thay vì thuê dịch vụ không?
Với phần lớn doanh nghiệp nhỏ, tự xây các khối như so khớp khuôn mặt và kiểm tra người sống đòi hỏi chuyên môn sâu và cập nhật liên tục trước các kiểu giả mạo mới. Thuê dịch vụ thường hợp lý hơn, miễn là hợp đồng về dữ liệu chặt chẽ.
Có cần đọc chip căn cước trong luồng eKYC không?
Đọc chip giúp chống giấy tờ giả tốt hơn hẳn so với chỉ chụp ảnh, nhưng không phải điện thoại nào cũng hỗ trợ. Nhiều luồng dùng đọc chip khi có thể và có phương án khác cho máy không hỗ trợ. Với ngành có quy định riêng, kiểm yêu cầu của cơ quan quản lý.
Tỷ lệ từ chối nhầm bao nhiêu là chấp nhận được?
Không có con số chung. Sản phẩm tài chính có thể chấp nhận từ chối nhầm cao hơn để giảm rủi ro, sản phẩm tiêu dùng cần thấp hơn để giữ người dùng. Quan trọng là đo trên người dùng thật của bạn và luôn có lối thay thế cho người bị từ chối.
Có nên lưu ảnh khuôn mặt người dùng sau khi xác minh xong không?
Chỉ lưu khi có mục đích và nghĩa vụ rõ ràng, với thời hạn xác định. Nếu kết quả xác minh và mã hồ sơ đã đủ cho nhu cầu, việc giữ thêm ảnh khuôn mặt chỉ làm tăng dữ liệu nhạy cảm phải bảo vệ.
Người dùng yêu cầu xoá dữ liệu eKYC thì doanh nghiệp làm gì?
Xoá ở hệ thống của mình, yêu cầu nhà cung cấp xoá phần họ giữ, và giải thích cho người dùng những dữ liệu phải giữ theo nghĩa vụ khác nếu có. Quy trình này nên được thoả thuận với nhà cung cấp ngay từ khi ký hợp đồng.
eKYC có chặn được hoàn toàn deepfake không?
Không hệ thống nào chặn được hoàn toàn. Kiểm tra người sống tốt, đọc chip, theo dõi hành vi bất thường sau khi mở tài khoản, cộng với người duyệt cho ca nghi ngờ, giúp giảm rủi ro. Khả năng chống giả mạo cần được nhà cung cấp cập nhật và doanh nghiệp rà lại định kỳ.