Quốc hội thảo luận dự thảo Luật An ninh dữ liệu: Doanh nghiệp cần chuẩn bị gì?
Ngày 26/10/2026, Quốc hội khóa XVI xem xét dự thảon Luật An ninh dữ liệu, hướng tới bảo vệ chính dữ liệu xuyên suốt từ thu thập, lưu trữ, xử lý, truyền đưa đến tiêu hủy. Dự thảo nhấn mạnh quản lý theo cấp độ rủi ro, kiểm soát bên thứ ba, dữ liệu xuyên biên giới và chủ động phòng ngừa sự cố. Với doanh nghiệp, đây là tín hiệu cần sớm rà soát dữ liệu, quyền truy cập, nhà cung cấp và năng lực giám sát an ninh.
Dự thảo luật do Bộ Công an chủ trì xây dựng trong bối cảnh dữ liệu ngày càng trở thành tài sản quan trọng đối với kinh tế số, chuyển đổi số và hoạt động vận hành doanh nghiệp. Khác với việc chỉ tập trung bảo vệ hệ thống CNTT, định hướng của dự thảo là bảo đảm tính bảo mật, tính toàn vẹn và tính khả dụng của dữ liệu, từ thời điểm dữ liệu được tạo lập hoặc thu thập cho đến khi được lưu trữ, sử dụng, truyền đưa, chia sẻ và tiêu hủy.
Điều này có thể tạo ra một thay đổi đáng chú ý trong cách doanh nghiệp nhìn nhận bảo mật: không chỉ đặt câu hỏi “hệ thống có an toàn không?”, mà còn phải xác định dữ liệu nào đang được bảo vệ, ai được quyền tiếp cận và rủi ro phát sinh ở từng giai đoạn trong vòng đời dữ liệu.
Vì sao Việt Nam xây dựng Luật An ninh dữ liệu?
Hệ thống pháp luật hiện hành đã có nhiều quy định liên quan tới dữ liệu và an ninh mạng, nhưng mỗi văn bản điều chỉnh một phạm vi khác nhau. Luật An ninh mạng tập trung vào bảo vệ an ninh của hệ thống thông tin và không gian mạng, trong khi Luật Dữ liệu điều chỉnh các hoạt động liên quan tới xây dựng, quản trị, khai thác, chia sẻ và phân loại dữ liệu.
Dự án Luật An ninh dữ liệu được xây dựng nhằm bổ sung phần còn thiếu: bảo vệ an ninh của bản thân dữ liệu trong toàn bộ vòng đời, không phụ thuộc dữ liệu đang nằm ở hệ thống nào hoặc được xử lý theo mô hình nào.
Theo dự thảo, an ninh dữ liệu được nhìn nhận thông qua ba thuộc tính cốt lõi:
Tính bảo mật: dữ liệu không bị truy cập hoặc tiết lộ trái phép.
Tính toàn vẹn: dữ liệu không bị sửa đổi, phá hủy hoặc can thiệp trái phép.
Tính khả dụng: dữ liệu vẫn có thể được truy cập và sử dụng khi cần thiết.
Đây cũng là cách tiếp cận quen thuộc trong quản trị an toàn thông tin hiện đại, nhưng được đặt trực tiếp vào đối tượng cần bảo vệ là dữ liệu.
Luật An ninh dữ liệu khác gì Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân?
Một trong những nội dung đáng chú ý của dự thảo là nỗ lực phân định phạm vi để hạn chế chồng chéo giữa các luật.
Theo định hướng hiện tại:
Dữ liệu cá nhân tiếp tục được điều chỉnh về nguyên tắc, điều kiện xử lý và quyền của chủ thể theo pháp luật về bảo vệ dữ liệu cá nhân.
Quản trị, khai thác, chia sẻ và phân loại dữ liệu tiếp tục thực hiện theo Luật Dữ liệu.
An ninh của hệ thống thông tin tiếp tục thuộc phạm vi pháp luật về an ninh mạng.
An ninh của chính dữ liệu xuyên suốt vòng đời là trọng tâm của Luật An ninh dữ liệu.
Dự thảo cũng đặt ra nguyên tắc hạn chế thủ tục trùng lặp, theo hướng một đối tượng hoặc một nội dung rủi ro không bị đánh giá nhiều lần cho cùng một mục đích. Đây là yếu tố quan trọng với doanh nghiệp vì việc bổ sung luật mới không đồng nghĩa mọi tổ chức sẽ phải xây dựng một hệ thống tuân thủ hoàn toàn tách biệt với những quy trình hiện có.
Quản lý theo cấp độ rủi ro sẽ trở thành nguyên tắc quan trọng
Một điểm xuyên suốt của dự thảo là quản lý an ninh dữ liệu theo cấp độ rủi ro. Điều này có nghĩa không phải mọi loại dữ liệu đều được áp dụng cùng một mức kiểm soát.
Cơ chế quản lý an ninh dữ liệu được thiết kế theo 5 cấp độ rủi ro, từ cấp độ 1 thấp nhất đến cấp độ 5 cao nhất. Việc xác định cấp độ dựa trên khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội cũng như quyền, lợi ích hợp pháp của tổ chức, cá nhân.
Nghĩa vụ bảo vệ tăng theo cấp độ rủi ro. Với dữ liệu cấp độ 1 và 2, dự thảo định hướng gần như không phát sinh thủ tục hành chính. Từ cấp độ 3 trở lên, chủ quản dữ liệu phải thực hiện đánh giá tác động và kiểm toán định kỳ. Đối với cấp độ 4 và 5, việc thẩm định được thực hiện cùng với thẩm định an ninh mạng trước khi hệ thống chính thức vận hành.
Dự thảo đồng thời đặt ra yêu cầu bảo vệ dữ liệu xuyên suốt vòng đời, từ thu thập, lưu trữ, xử lý, truyền đưa đến tiêu hủy. Hoạt động chuyển và xử lý dữ liệu xuyên biên giới được kiểm soát theo cấp độ rủi ro, nhằm bảo vệ chủ quyền dữ liệu quốc gia nhưng vẫn tạo điều kiện lưu thông đối với dữ liệu có mức độ rủi ro thấp.
Dữ liệu có mức độ rủi ro thấp có thể được tạo điều kiện lưu thông và xử lý thuận lợi hơn, trong khi dữ liệu có khả năng gây hậu quả lớn khi bị mất, rò rỉ, chỉnh sửa hoặc gián đoạn sẽ phải chịu yêu cầu bảo vệ cao hơn.
Cách tiếp cận này giúp chuyển trọng tâm từ “bảo vệ tất cả dữ liệu bằng cùng một cách” sang “xác định dữ liệu nào quan trọng, rủi ro nào nghiêm trọng và áp dụng biện pháp tương xứng”.
Đối với doanh nghiệp, điều này khiến data inventory, data classification và risk assessment trở thành những nền tảng đặc biệt quan trọng. Nếu một tổ chức không biết mình đang sở hữu dữ liệu gì, dữ liệu nằm ở đâu và ai đang sử dụng, việc xác định biện pháp bảo vệ phù hợp sẽ rất khó khăn.
Dữ liệu phải được bảo vệ xuyên suốt toàn bộ vòng đời
Dự thảo Luật An ninh dữ liệu không chỉ tập trung vào giai đoạn lưu trữ. Việc bảo vệ được đặt xuyên suốt các hoạt động:
Thu thập → Tạo lập → Lưu trữ → Xử lý → Truyền đưa → Chia sẻ → Khai thác → Tiêu hủy
Điều này đặc biệt đáng chú ý với doanh nghiệp đang sử dụng Cloud, SaaS, hệ thống phân tán hoặc nhiều nhà cung cấp bên ngoài.
Ví dụ, một tập dữ liệu có thể được khách hàng nhập trên website, chuyển vào hệ thống CRM, đồng bộ sang Cloud, được nhân viên tải về máy tính, chia sẻ với đối tác, sao lưu sang hệ thống khác và cuối cùng được xóa hoặc lưu trữ dài hạn.
Nếu doanh nghiệp chỉ bảo vệ database chính nhưng bỏ qua các bước truyền dữ liệu, sao lưu, chia sẻ hoặc quyền truy cập của bên thứ ba, dữ liệu vẫn có thể bị lộ ở những giai đoạn khác. Do đó, một chương trình an ninh dữ liệu hiệu quả cần nhìn vào data flow chứ không chỉ nhìn vào nơi lưu trữ cuối cùng.
Dữ liệu xuyên biên giới sẽ được kiểm soát theo rủi ro
Hoạt động chuyển và xử lý dữ liệu xuyên biên giới cũng là một nội dung quan trọng của dự thảo. Định hướng hiện tại là áp dụng mức độ kiểm soát khác nhau tùy theo rủi ro của dữ liệu.
Dữ liệu rủi ro thấp được định hướng hạn chế tối đa thủ tục không cần thiết, trong khi các loại dữ liệu có mức độ rủi ro cao sẽ chịu yêu cầu kiểm soát chặt chẽ hơn.
Điều này đặc biệt liên quan tới các doanh nghiệp đang:
sử dụng Cloud ở nước ngoài;
dùng SaaS quốc tế;
chia sẻ dữ liệu với công ty mẹ hoặc chi nhánh nước ngoài;
thuê nhà cung cấp xử lý dữ liệu ngoài Việt Nam;
vận hành hệ thống đa quốc gia;
sử dụng dữ liệu để huấn luyện hoặc vận hành AI.
Doanh nghiệp vì vậy cần biết dữ liệu nào đang đi ra ngoài lãnh thổ, đi qua nhà cung cấp nào và được xử lý ở đâu.
Bên thứ ba và chuỗi cung ứng dữ liệu sẽ bị chú ý nhiều hơn
Một trong những điểm đáng quan tâm nhất đối với doanh nghiệp là trách nhiệm kiểm soát an ninh dữ liệu không chỉ dừng ở hệ thống nội bộ. Dự thảo đặt định hướng kiểm soát rủi ro trong toàn bộ chuỗi cung ứng sản phẩm và dịch vụ dữ liệu.
Trước khi cho nhà cung cấp tiếp cận dữ liệu, chủ quản dữ liệu cần đánh giá rủi ro và giới hạn phạm vi truy cập. Các nghĩa vụ bảo mật và trách nhiệm khi xảy ra rò rỉ cũng cần được quy định rõ trong hợp đồng.
Doanh nghiệp đồng thời cần có khả năng:
giám sát quyền truy cập của nhà cung cấp;
giới hạn dữ liệu mà đối tác được xem;
phát hiện hoạt động bất thường;
thu hồi quyền khi hợp đồng chấm dứt;
phản ứng khi xuất hiện sự cố
Đây là vấn đề đáng chú ý vì trong nhiều vụ rò rỉ dữ liệu, điểm yếu không nằm trực tiếp ở tổ chức sở hữu dữ liệu mà nằm tại nhà cung cấp, tài khoản hỗ trợ hoặc một integration bên ngoài.
Dự thảo Luật An ninh dữ liệu tiếp cận AI như thế nào?
AI đang trở thành một trong những môi trường xử lý dữ liệu có rủi ro đáng chú ý nhất. Dự thảo đặt vấn đề đánh giá an ninh dữ liệu đối với hệ thống AI theo hướng tích hợp với cơ chế đánh giá rủi ro của pháp luật về trí tuệ nhân tạo, thay vì tạo thêm một quy trình riêng biệt.
Đồng thời, định hướng hiện tại không yêu cầu doanh nghiệp bàn giao mã nguồn hoặc trọng số mô hình trong hoạt động quản lý thông thường, trừ những trường hợp đặc biệt phục vụ điều tra vụ án hình sự. Cách tiếp cận này cho thấy mục tiêu là cân bằng giữa quản lý an ninh dữ liệu với bảo vệ bí mật kinh doanh và công nghệ của doanh nghiệp.
Với doanh nghiệp đang triển khai AI, những câu hỏi quan trọng cần được đặt ra gồm:
AI đang sử dụng dữ liệu gì;
dữ liệu có nhạy cảm không;
người dùng nào được đưa dữ liệu vào AI;
dữ liệu có được chuyển tới bên thứ ba không;
hệ thống AI có lưu lại prompt hoặc file hay không;
kết quả do AI tạo ra có làm lộ thông tin nội bộ hay không.
Doanh nghiệp cần chuẩn bị gì trước Luật An ninh dữ liệu?
Dự án luật vẫn đang trong quá trình Quốc hội xem xét, vì vậy doanh nghiệp chưa nên coi các nội dung dự thảo là nghĩa vụ pháp lý cuối cùng. Tuy nhiên, nhiều định hướng trong dự thảo phản ánh những thực hành quản trị dữ liệu mà doanh nghiệp có thể bắt đầu chuẩn bị ngay.
1. Lập bản đồ dữ liệu
Doanh nghiệp cần xác định mình đang sở hữu dữ liệu gì, dữ liệu nằm ở hệ thống nào, ai đang sử dụng, dữ liệu được chia sẻ cho ai, có dữ liệu nào đi ra nước ngoài và thời gian lưu giữ là bao lâu.
Nếu chưa có data inventory, đây nên là một trong những bước đầu tiên.
2. Phân loại dữ liệu theo mức độ quan trọng
Không phải mọi file đều cần mức bảo vệ giống nhau. Doanh nghiệp có thể bắt đầu với các nhóm như Public, Internal, Confidential và Restricted/Critical để xác định mức độ kiểm soát phù hợp.
Việc phân loại giúp ưu tiên ngân sách và biện pháp bảo mật cho những tài sản có rủi ro cao nhất.
3. Rà soát quyền truy cập
Doanh nghiệp cần trả lời được câu hỏi: Ai có quyền truy cập dữ liệu nào và vì sao?
Đặc biệt cần rà soát tài khoản Admin, quyền của nhân viên đã chuyển bộ phận, tài khoản nhân viên nghỉ việc, service account, quyền của nhà cung cấp, remote access và tài khoản Cloud. Nguyên tắc Least Privilege nên được áp dụng để giới hạn quyền theo đúng nhu cầu công việc.
4. Đánh giá nhà cung cấp và bên thứ ba
Hợp đồng với nhà cung cấp nên quy định rõ loại dữ liệu được tiếp cận, mục đích xử lý, biện pháp bảo mật, thời gian lưu trữ, yêu cầu thông báo sự cố, trách nhiệm khi rò rỉ và quy trình xóa hoặc hoàn trả dữ liệu.
Quyền truy cập của nhà cung cấp cũng cần được rà soát định kỳ và thu hồi khi kết thúc hợp đồng hoặc không còn nhu cầu sử dụng.
5. Bảo vệ dữ liệu bằng biện pháp kỹ thuật
Dữ liệu quan trọng nên được bảo vệ trong nhiều trạng thái khác nhau: khi lưu trữ, truyền tải, sao lưu, sử dụng trên Cloud hoặc chia sẻ với bên thứ ba.
Mã hóa, quản lý khóa, kiểm soát truy cập và ghi nhận hoạt động là những biện pháp nên được ưu tiên theo mức độ rủi ro của từng tập dữ liệu.
6. Chuẩn bị quy trình phát hiện và ứng phó sự cố
Doanh nghiệp cần xác định trước ai tiếp nhận cảnh báo, ai có quyền cô lập hệ thống, ai chịu trách nhiệm đánh giá dữ liệu bị ảnh hưởng, log được lưu ở đâu, nhà cung cấp nào cần liên hệ và bằng chứng nào phải được bảo toàn.
Doanh nghiệp có thể tăng cường bảo vệ dữ liệu như thế nào?
Không có một công cụ đơn lẻ nào có thể giải quyết toàn bộ yêu cầu về an ninh dữ liệu. Tùy vào loại dữ liệu, mức độ rủi ro và mô hình vận hành, doanh nghiệp cần kết hợp nhiều lớp kiểm soát từ bảo vệ dữ liệu, quản lý quyền truy cập đến giám sát và ứng phó sự cố.
Trong đó, một số biện pháp kỹ thuật có thể được ưu tiên để hỗ trợ doanh nghiệp hiện thực hóa các chính sách bảo vệ dữ liệu trong thực tế.
Mã hóa dữ liệu quan trọng
Với dữ liệu có mức độ nhạy cảm cao, giải pháp mã hóa dữ liệu doanh nghiệp của IPSIP Việt Nam có thể hỗ trợ bảo vệ dữ liệu trên các môi trường Cloud và hạn chế khả năng dữ liệu bị đọc hoặc sử dụng trái phép khi bị sao chép hoặc rò rỉ.
Mã hóa đặc biệt phù hợp với những dữ liệu cần duy trì tính bảo mật trong quá trình lưu trữ, truyền tải hoặc xử lý bởi nhiều hệ thống.
Kiểm soát tài khoản đặc quyền và quyền truy cập từ xa
Dự thảo nhấn mạnh việc giới hạn phạm vi tiếp cận dữ liệu của nhà cung cấp và kiểm soát chặt hơn truy cập đối với những hệ thống có rủi ro cao.
Trong trường hợp này, PAM & Bastion có thể hỗ trợ quản lý tài khoản đặc quyền, cấp quyền theo phạm vi, kiểm soát phiên truy cập và ghi nhận hoạt động của quản trị viên hoặc bên thứ ba.
Giải pháp này phù hợp với doanh nghiệp có nhiều server, môi trường Cloud, quản trị viên hoặc nhà cung cấp thường xuyên truy cập từ xa vào hệ thống.
Giám sát và phát hiện sự cố liên tục
Với hệ thống lưu trữ dữ liệu quan trọng, khả năng bảo vệ không chỉ nằm ở việc ngăn truy cập mà còn ở việc phát hiện sớm khi xuất hiện hành vi bất thường.
Dịch vụ SOC 24/7 của IPSIP Việt Nam có thể hỗ trợ tập trung sự kiện bảo mật, xác minh cảnh báo, phát hiện hành vi bất thường và phối hợp ứng phó theo phạm vi đã thống nhất.
SOC phù hợp với những doanh nghiệp cần duy trì khả năng giám sát, truy vết và xử lý sự cố liên tục, đặc biệt trong môi trường Cloud, nhiều chi nhánh hoặc có nhiều kết nối với bên thứ ba.
Các biện pháp trên không thay thế công tác pháp lý hoặc quản trị tuân thủ. Vai trò của chúng là cung cấp các lớp kiểm soát kỹ thuật để chính sách bảo vệ dữ liệu có thể được triển khai và kiểm chứng trong môi trường vận hành thực tế.
Góc nhìn chuyên gia từ IPSIP Việt Nam: Doanh nghiệp nên bắt đầu từ đâu?
Không nên triển khai cùng một mức bảo mật cho tất cả dữ liệu. Những dữ liệu có khả năng gây ảnh hưởng lớn khi bị rò rỉ, chỉnh sửa hoặc gián đoạn cần được ưu tiên.
Mã hóa, quản lý khóa, backup và kiểm soát việc sao chép dữ liệu cần được áp dụng theo mức độ nhạy cảm.
Doanh nghiệp cần khả năng phát hiện sự cố, truy vết hành vi và phản ứng trước khi một sự cố nhỏ phát triển thành rò rỉ dữ liệu quy mô lớn.
Doanh nghiệp nên nhìn nhận dự thảo Luật An ninh dữ liệu như thế nào?
Dự thảo Luật An ninh dữ liệu cho thấy quản trị dữ liệu tại Việt Nam đang dịch chuyển từ cách tiếp cận tập trung vào hệ thống sang cách tiếp cận rộng hơn: bảo vệ chính dữ liệu trong toàn bộ vòng đời và theo mức độ rủi ro.
Đối với doanh nghiệp, đây không chỉ là câu chuyện chuẩn bị cho một nghĩa vụ tuân thủ mới. Việc biết dữ liệu nằm ở đâu, ai được truy cập, bên thứ ba nào đang xử lý và tổ chức có thể phát hiện sự cố nhanh đến đâu đều là những yếu tố trực tiếp ảnh hưởng tới khả năng chống rò rỉ dữ liệu và duy trì hoạt động kinh doanh.
Trong thời gian dự án luật tiếp tục được Quốc hội xem xét, doanh nghiệp có thể ưu tiên xây dựng nền tảng quản trị dữ liệu ngay từ bây giờ, đồng thời theo dõi phiên bản luật cuối cùng và các văn bản hướng dẫn trước khi xác định nghĩa vụ tuân thủ cụ thể.
Nguồn tham khảo
