Thiết lập lá chắn cho tài sản số: Những điểm mới đáng chú ý trong Dự thảo Luật An ninh dữ liệu
Bước vào giai đoạn số hóa sâu rộng, dữ liệu không đơn thuần là những tệp thông tin rời rạc mà đã trở thành tài nguyên chiến lược, gắn liền với sức sống kinh tế và an ninh của mỗi quốc gia. Do đó, việc bảo vệ không gian mạng giờ đây không chỉ dừng lại ở các đường truyền hay thiết bị phần cứng, mà trọng tâm đang chuyển dịch mạnh mẽ sang chính dòng chảy dữ liệu.
Dự thảo Luật An ninh dữ liệu ra đời nhằm hoàn thiện tấm lá chắn pháp lý này, đồng thời mang đến góc tiếp cận thực tế: kiểm soát chặt chẽ những nơi có nguy cơ cao nhưng hạn chế tối đa rào cản hành chính cho các hoạt động thông thường.
Vì sao cần một hành lang pháp lý chuyên biệt cho an ninh dữ liệu?
Thực tế thời gian qua cho thấy nhiều cuộc tấn công mạng nguy hiểm đã chuyển hướng sang việc âm thầm thâm nhập sâu vào hệ thống để đánh cắp dữ liệu. Cùng với đó, làn sóng mua bán thông tin cá nhân trái phép, các vụ lừa đảo qua mạng hay mã độc tống tiền ngày càng phức tạp, đòi hỏi các cơ quan, tổ chức phải nâng cao năng lực ứng phó và phòng thủ từ sớm.
Hiện tại, hệ thống luật pháp đã có Luật An ninh mạng, Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân cùng một số quy định chuyên ngành. Dù vậy, chúng ta vẫn thiếu một khung khổ bao quát để bảo vệ an toàn cho bản thân dữ liệu xuyên suốt toàn bộ vòng đời từ lúc thu thập, lưu trữ, xử lý, chia sẻ cho đến khi tiêu hủy hoàn toàn. Các hoạt động nhạy cảm như gom dữ liệu quy mô lớn, huấn luyện AI bằng dữ liệu mật hay chuyển dữ liệu ra nước ngoài đều đang rất cần những chuẩn mực rõ ràng.
Nhằm hiện thực hóa tinh thần Nghị quyết số 57-NQ/TW ngày 22/12/2024 của Bộ Chính trị về bứt phá phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số, dự thảo luật đã được xây dựng gồm 6 chương, 29 điều. Văn bản này đóng vai trò xác lập khuôn khổ riêng biệt, chỉ rõ trách nhiệm của các bên và đưa ra giải pháp bảo vệ tương xứng với từng mức độ hiểm họa.
Phân loại 5 cấp độ rủi ro
Điểm sáng nổi bật nhất trong dự thảo lần này là mô hình quản lý dựa trên 5 cấp độ rủi ro, xét theo khả năng phát sinh sự cố và mức độ thiệt hại đối với an ninh quốc gia, trật tự xã hội cũng như quyền lợi chính đáng của tổ chức, cá nhân:
Cấp độ 1 và 2 (Rủi ro thấp): Doanh nghiệp gần như không phải thực hiện thêm các thủ tục hành chính phức tạp.
Cấp độ 3 (Rủi ro trung bình): Đơn vị quản lý dữ liệu phải tiến hành đánh giá tác động và thực hiện kiểm toán an ninh định kỳ.
Cấp độ 4 và 5 (Rủi ro cao và đặc biệt cao): Bắt buộc phải qua bước thẩm định chuyên sâu về an ninh dữ liệu trước khi đưa hệ thống vào vận hành chính thức.
Cách phân tầng này giúp dồn lực bảo vệ những hệ thống trọng yếu thay vì dàn trải nguồn lực, tránh tình trạng cào bằng gây lãng phí và áp lực tuân thủ không đáng có cho các hoạt động thường ngày.
Dự thảo cũng làm rõ: Việc xác định cấp độ rủi ro không làm thay đổi quyền sở hữu hay quyền khai thác dữ liệu hợp pháp của các bên. Khái niệm bảo đảm chủ quyền dữ liệu quốc gia không có nghĩa là Nhà nước thu hồi hay xác lập quyền sở hữu đối với các dữ liệu ngoài khu vực nhà nước. Điều này giúp vạch rõ ranh giới giữa chức năng quản lý an ninh của cơ quan công quyền với quyền tài sản hợp pháp của người dân và doanh nghiệp.
Bảo vệ xuyên suốt chuỗi cung ứng và cơ chế liên thông thủ tục
Để dữ liệu không bị thất thoát, các biện pháp an toàn kỹ thuật phải được duy trì liên tục qua từng mắt xích: đánh giá nguy cơ, mã hóa, phân quyền truy cập, sao lưu định kỳ, xử lý sự cố kịp thời và tiêu hủy an toàn khi hết hạn dùng.
Đối với việc gửi dữ liệu ra nước ngoài: Dữ liệu thông thường có thể lưu thông dễ dàng, nhưng dữ liệu rủi ro cao sẽ chịu sự giám sát nghiêm ngặt. Dự thảo cũng thiết lập cơ chế bảo vệ tổ chức, cá nhân trong nước trước các đòi hỏi cung cấp dữ liệu trực tiếp từ bên ngoài mà không thông qua các kênh tương trợ tư pháp chính thức.
Đối với chuỗi cung ứng dịch vụ: Doanh nghiệp phải quản lý chặt rủi ro từ các đối tác cung cấp dịch vụ công nghệ, giới hạn quyền truy cập, đưa điều khoản bảo mật vào hợp đồng và lập tức thu hồi quyền hạn nếu phát hiện bất thường. Các hệ thống rủi ro cao sẽ bị siết chặt việc kết nối và thao tác từ xa của nhà cung ứng bên ngoài.
Cơ chế "một cửa" tránh chồng chéo: Chính phủ thống nhất quản lý, ưu tiên phương thức "hậu kiểm" (kiểm tra sau khi hoạt động) và chỉ "tiền kiểm" với các trường hợp rủi ro cao. Nếu một đối tượng phải chịu sự thẩm định, báo cáo cùng lúc từ Luật An ninh mạng, Luật Dữ liệu hay Luật Bảo vệ dữ liệu cá nhân, tổ chức chỉ cần nộp một bộ hồ sơ duy nhất tại một đầu mối. Kết quả hợp lệ từ luật này sẽ được công nhận liên thông sang luật khác mà không bắt buộc làm lại từ đầu.
Đồng hành cùng trí tuệ nhân tạo và kích cầu công nghệ nội địa
Trước sự bùng nổ của AI, dự thảo yêu cầu các hệ sinh thái công nghệ mới phải đưa biện pháp an ninh vào ngay từ giai đoạn thiết kế ban đầu, đồng thời bảo đảm tính trong sạch và hợp pháp của dữ liệu nguồn. Quy trình kiểm tra an ninh dữ liệu AI sẽ được gộp chung vào việc đánh giá rủi ro chung của hệ thống AI, không tách riêng thành thủ tục rườm rà.
Đặc biệt, nhằm giữ kín bí quyết công nghệ và lợi thế cạnh tranh của giới khởi nghiệp, cơ quan quản lý sẽ không được phép yêu cầu doanh nghiệp nộp lại mã nguồn (source code) hay trọng số mô hình AI, trừ trường hợp đặc biệt phục vụ trực tiếp công tác điều tra án hình sự.
Bên cạnh các quy định quản lý, chính sách còn mở đường phát triển nền công nghiệp an ninh dữ liệu tự chủ thông qua các ưu đãi về thuế, thu hút đầu tư cho hạ tầng điện toán đám mây chủ quyền, trung tâm dữ liệu an toàn, các giải pháp mật mã tiên tiến, mật mã lượng tử và kháng lượng tử. Các doanh nghiệp nhỏ, vừa cùng các đơn vị khởi nghiệp sáng tạo cũng sẽ nhận được sự hỗ trợ cụ thể để gia tăng năng lực bảo vệ dữ liệu.
Chuyển từ tư duy chữa cháy bị động sang chủ động phòng thủ từ gốc thông qua phân loại rủi ro chính là kim chỉ nam của Dự thảo Luật An ninh dữ liệu. Việc hài hòa giữa nhiệm vụ giữ vững an ninh với cải cách thủ tục sẽ bồi đắp niềm tin số, thúc đẩy tự chủ công nghệ và tạo bệ phóng vững chắc cho nền kinh tế dữ liệu trong tương lai.
Giải pháp bảo mật tối ưu từ IPSIP Việt Nam
Khi Luật An ninh dữ liệu dần hoàn thiện với những tiêu chuẩn khắt khe về phân tầng rủi ro và giám sát chuỗi cung ứng, việc tìm kiếm một đối tác công nghệ nội địa uy tín trở thành ưu tiên sống còn. Đây chính là lúc các giải pháp tối ưu từ IPSIP Việt Nam chứng minh giá trị, giúp các tổ chức biến áp lực tuân thủ thành lợi thế cạnh tranh an toàn.
Là đơn vị cung cấp dịch vụ IT và An ninh mạng chuyên nghiệp với hơn 15 năm kinh nghiệm, IPSIP Việt Nam mang đến hệ sinh thái phòng thủ toàn diện: từ Trung tâm giám sát an ninh mạng (SOC 24/7), giám sát hạ tầng (NOC 24/7), quản trị Cloud an toàn cho đến kiểm thử xâm nhập (Pentest). Đặc biệt, nắm bắt xu hướng dùng AI phòng thủ AI, hệ thống của IPSIP tích hợp sức mạnh của trí tuệ nhân tạo tiên tiến, giúp tự động hóa quy trình phân tích hàng ngàn cảnh báo bảo mật, phát hiện sớm các bất thường và cô lập rủi ro theo thời gian thực trước khi chúng kịp lan rộng.
Việc đồng hành cùng IPSIP giúp các doanh nghiệp dễ dàng đáp ứng các yêu cầu kiểm toán định kỳ (đối với dữ liệu cấp độ 3) hay thẩm định chuyên sâu về an ninh trước khi đưa vào vận hành (đối với hệ thống cấp độ 4, 5) theo quy định của dự thảo Luật. Thay vì phải tự xây dựng một đội ngũ nội bộ tốn kém, các tổ chức hoàn toàn có thể tận dụng nguồn lực chuyên gia đạt chuẩn quốc tế từ IPSIP. Nhờ đó, tài sản số không chỉ được thiết lập lá chắn vững chắc mà còn đảm bảo tuân thủ chặt chẽ các yêu cầu pháp lý, tạo tiền đề để doanh nghiệp an tâm chuyển đổi số.
Chuyển từ tư duy chữa cháy bị động sang chủ động phòng thủ từ gốc thông qua phân loại rủi ro chính là kim chỉ nam của Dự thảo Luật An ninh dữ liệu. Việc hài hòa giữa nhiệm vụ giữ vững an ninh với cải cách thủ tục sẽ bồi đắp niềm tin số, thúc đẩy tự chủ công nghệ và tạo bệ phóng vững chắc cho nền kinh tế dữ liệu trong tương lai.
Tham khảo: Báo Đại biểu nhân dân
